●平成20年2月7日
みずほ銀行本店個人情報相談窓口に電話、お客様サービス管理チームT行員が対応
漏洩先の公共建物の会社名は、みずほ銀行に明かさずに、
八重洲口支店のO行員の名前を挙げて経緯を説明。
●平成20年2月13日
T行員より電話、八重洲口支店長の聞き取り調査の結果報告。
O行員は、支店長に対して
「そんな大それたことはしてない、M（M子苗字）という名前には記憶が無い」と答えたとの回答を頂く。
私は、7月の電話まで、公共建物の名前を、みずほ銀行側に教えていません。
その時点では、公共建物とみずほ銀行の蜜月具合を存じませんでしたので、最大限、公共建物の名前に傷がつかないように配慮致しました。
しかし、矛盾が生じました。
漏洩先公共建物側では、Ｉ氏と行員から、書面で確認したとしています。
書面で確認というのですから、Ｉ氏とO行員に、一筆、不正入手、漏洩の無かったことを書かせたのでしょう。
銀行側は、漏洩先企業名は知らないはず、O行員は報告上げていないんでしょうか。
公共側の説明と矛盾していますね。
公共の説明が真実なら、O行員は大事なお取引先様に、顧客情報を漏らしていないと、一筆書かせられたことを、支店長に報告していないことになります。
行員にしてみれば、大事なお取引先様に一筆書かせられたなどという事態は、出世や銀行の体面に関わる一大事だと思いますが。
●平成２０年７月１１日
口座を作ったK沢支店を訪ね、みずほ銀行の個人情報管理体制について話を伺う。
O行員（イニシャルは同じですが、八重洲口支店の漏洩行員とは別、K支店の個人情報担当の行員さん）は、名前での検索できないと回答されました。
「新宿西口事件後は、アクセスログが残されているので安心して欲しい。
みずほ銀行では、CIF（カスタマーインフォメーションファイル）という言い方はしません。
顧客名で検索は出来ないこと」を説明して下さいました。
名前で検索が出来なかったら、通帳を無くし口座番号も忘れたという場合にどうするんでしょう、家族名寄せも出来無いと思います。
●平成20年8月14日
サービス管理チームＴ行員に電話をかける。
アクセスログについての説明を受ける。（このページの下部で再生できます。）
●平成20年７月２２日付
サービス管理チームT行員宛て手紙を書く。
●平成２０年９月２９日
金融庁の検査の情報提供呼び掛けに、手紙を書く、が、動かない。
検査局と銀行第一課宛です。
●提訴予告通知と照会書を送付
営業秘密・保守の問題を盾にして、ほとんどの回答を拒否
まともな回答は、O行員の着任年月日だけでした。
みずほ銀行への照会内容は、
・聞き取り調査を担当した支店長名
・O行員の八重洲口支店着任年月日
・京橋支店の担当者名
・平成18年5月当時、印刷ログは取得できたのか
（すなわち、支店長席だけからアクセス権限は緩和されていたか）
・・・・よくよく前田会長の記者会見の記事を読み返してみたら、
支店長席のアクセス権限の問題は、「取引先の条件検索」で「基本属性照会」ではないんですね。
「取引先の条件検索」って、法人の取引先でしょうから、個人客には関係ない。
「基本属性照会」は、照会はできるが、印刷はできないようにする。
え～、じゃあ、照会時に、メモして持ち出したら？
この記者会見の時点で問題にしているログは、
全アクセスログでなく、「基本属性照会」の印刷だけのログです。
回答拒否の理由は、営業秘密と保守。
これも、おかしくないですか？
平成18年2月21日の前田全銀協会長（当時みずほフィナンシャルグループ社長・現 会長）は、新宿西口支店の暴力団情報漏洩事件後の記者会見（下部に詳細記載）で、営業秘密を暴露ってことでしょうか？
銀行トップが営業秘密を暴露したってことになりますか？
おまけに、お客様サービス課のT行員も秘密暴露？
都合が悪くなると、説明義務のあるものを営業秘密守秘義務、伝家の宝刀、便利な文言です。
他行は営業秘密なんて言ってません、しっかり管理方法を説明しているじゃないですか。
他行は他行って、おっしゃるんでしょうね。
保守って、サーバーセンターの場所とか人員配置とか、そういう事とは違うのかしら？
みずほ銀行には、顧客に説明して、安心してもらうって考え方は無いのでしょうか。
無いんですね。
ありませんでしたね。
微塵も。
説明できるようなシステムじゃないから営業秘密で言い訳して隠してる、そう見えますよ。
もうひとつの理由に、本照会とは関連が無いからとありますが、
聞き取り調査を担当した八重洲口支店の支店長の氏名は、関連が無いのでしょうか？
現場の長で、アクセス権限の問題の問題もあって、個人情報取り扱いの責任者でもあると思いますが。
●平成２０年１０月８日
再照会 あっさり無視、放置。
O行員の着任知り、漏洩時期を絞り込む
再度照会に対する回答はありませんでした。
提訴予告通知だとか文書提出命令とか、制度が新しくなっても、相手が資料出さなければそれまで。
米国のディスカバリと大違い。素人の本人訴訟では、とても扱える代物じゃあありません。
個人情報保護法 ガイドラインについて
さて、法律は、どのように定められているのでしょうか・・・・・。
アクセスログとは、
いつ、誰が（どの行員が）、どの端末から、何のデータ（誰のデータ）に、何をしたかの記録です。
漏洩が発生した時に被害の拡大や再発を防ぐため迅速に原因を調査する必要があります。
そのためにアクセスログを残しデータべース化することが義務付けられています。
個人情報保護法個人情報保護法20条、金融分野におけるガイドライン10条-6-5で
ガイドラインアクセスログ（行員が顧客の個人情報にアクセスした記録）の保存だけではなく、
分析を義務付けています。
○個人情報保護法20条
（安全管理措置）
第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
○金融分野におけるガイドライン
第１０条
安全管理措置
（法第20条及び基本方針関連）
6 技術的安全管理措置
1.個人データの利用者の識別及び認証
2.個人データの管理区分の設定及びアクセス制御
3.個人データへのアクセス権限の管理
4.個人データの漏洩・毀損等の防止策
5.個人データへのアクセスの記録及び分析
6.個人データを取り扱う情報システムの稼働状況の記録及び分析
7.個人データを取り扱う情報システムの監視及び監査
・・・このようにガイドラインで定められています。
努力義務ではなく、義務です。
みずほ銀行は、義務違反です。
みずほ銀行とのやりとりの中で、本店お客様サービス係のT行員は、このように説明しています。
平成２０年８月１４日 コチラからT行員に、電話をかけました。
