Googleワークスペース

1.茅ヶ崎市の小学校が生徒にGoogle Workspace For Educationのパスワードの提出を求めている?
Twitter上で、ある茅ヶ崎市の小学校の親の方(hiro_様 @papa_anniekey)が、「茅ヶ崎市の小学校が生徒のGoogle Workspace For Educationのアカウントのパスワードの年1回の変更を親に求めたうえで、新しいパスワードを学校に提出しろとプリントで要求しているのは情報セキュリティの観点からおかしい」とツイートし、ネット上で大きな注目が集まっています。確かにこれは突っ込みどころが満載すぎて驚いてしまいます。
『子供が小学校から持って帰ってきた文書、セキュリティ側の人間からすると違和感しかない。 1年経ったから情報セキュリティの観点からパスワード変更?意味わからん。理由になってない。 パスワードをこの紙に記載の上教師に提出?パスワードは個人に帰属でしょ。
@Chigasaki_city
#茅ヶ崎市』
ヒロ様のツイート1
(hiro_様(@papa_anniekey)のTwitterより)
https://twitter.com/papa_anniekey/status/1489026061937508357

この茅ヶ崎市の小学校におけるGoogle Workspace for Educationの生徒のパスワードに関する問題は、①茅ヶ崎市が生徒やその親にパスワードの年1回の定期変更を求めていること、②新しいパスワードを書面に書いて学校に提出することを求めていること、③そのような行為はGoogle Workspace for Educationの利用規約に違反しているおそれがあること、④そもそも自治体・教育委員会や学校がGoogle Workspace for Educationを未成年の小学生に全面一律に利用させることが妥当なのか、⑤茅ヶ崎市個人情報保護条例8条、11条違反のおそれおよび個人情報保護法17条、20条違反のおそれ、など様々な面で問題があると思われます。

2.パスワードの定期変更
そもそもパスワードの年1回などの定期変更は必要なのでしょうか?

この点、総務省サイトの「安全なパスワード管理」のページはつぎのように説明して、パスワードの定期変更は不要であるとしています。
・安全なパスワード管理|総務省

なお、利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。
総務省パスワード
(総務省「安全なパスワード管理」より)

この総務省の「安全なパスワード管理」をみても、パスワードの定期変更は不要であるとされています。

3.パスワードを他人や学校に教えてよいのか?
また、この総務省の「安全なパスワード管理」は、「パスワードの管理方法」として、「他人に知られないよう、かつ自分でも忘れてしまうことがないように管理をしましょう。」と明記しています。

総務省パスワード2
(総務省「安全なパスワード管理」より)

この点、児童とSNSの問題に関して、内閣府サイトの『保護者向け普及啓発リーフレット「ネットの危険からお子様を守るために 今、保護者ができること」』の2ページ目もつぎのように、「他人にIDやパスワードは絶対に教えません。」と記載しています。
内閣府パスワード
(内閣府『保護者向け普及啓発リーフレット「ネットの危険からお子様を守るために 今、保護者ができること」』2ページより)
・ ネットの危険から子供を守るために>保護者の皆様へ|内閣府

そのため、職場だけでなく学校でも、個人が自らのパスワードを学校に教えることは情報セキュリティの観点から適切でないと思われます。

なお、2021年12月には、練馬区のある中学校がSNSのパスワードを学校に書面に書いて提出することを求めるプリントを配布したことが炎上し、練馬区は謝罪と撤回を行いました。

・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス

4.茅ヶ崎市個人情報条例や個人情報保護法に違反しているのではないか?
(1)学校と個人情報保護法制
茅ヶ崎市の教育委員会や公立学校は、茅ヶ崎市の個人情報保護条例の適用を受けます。また、私立学校は個人情報保護法の適用を受けます。また、文科省の指針通達「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講すべき措置に関する指針」(平成16年11月11日)は、公立学校に対しても個人情報保護法を遵守することを求めています。

(2)不正の手段による個人情報の収集の禁止
そこでまず、茅ヶ崎市個人情報保護条例8条3項は、「実施機関は、個人情報を収集するときは、適法かつ公正な手段により収集しなければならない。」と規定しているところ、上でみたように、パスワードの定期変更を求め、新しいパスワードを学校に提出することを求めることは、不適法であり、不公正な手段によるパスワードという個人情報の収集であり、茅ヶ崎市の教育委員会は同市の個人情報保護条例8条3項に違反していると思われます。

茅ヶ崎市条例2

同時に、個人情報保護法17条1項も「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。」と規定しており、茅ヶ崎市の教育委員会・小学校は「偽りその他不正の手段」によりパスワードという個人情報を収集しており、個人情報保護法17条1項違反であると思われます。

(3)安全管理措置
つぎに、茅ヶ崎市個人情報保護条例11条1項は、「実施機関は、個人情報の漏洩、滅失及び毀損の防止その他の個人情報の適切な管理のために必要な措置を講じなければならない。」と自治体の教育委員会や学校などの実施機関に対して個人情報の安全管理措置を講じるように定めています。

茅ヶ崎市条例

また、個人情報保護法20条も「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」と、学校などの事業者に対して、個人データに対する安全管理措置を講じるように求めています。

そして、個人情報保護委員会の「個人情報保護法ガイドライン(通則編)」の「8-6 技術的安全管理措置」は、事業者に対して「アクセス制御」や「アクセス者の識別と認証」を適切に行うことを求めており、パスワードの定期変更を求めたり、パスワードの学校への提供を求めている茅ヶ崎市の学校や教育委員会の行為は、茅ヶ崎市個人情報保護条例11条1項と個人情報保護法20条および個人情報保護法ガイドライン(通則編)の8-6に抵触しているおそれがあります。

(なお、個人情報保護法17条違反があった場合、本人は個人情報取扱事業者に対して、個人データの利用の停止と消去を請求することができます(法30条1項)。また、本人はこの請求から2週間後に、裁判所に対して個人データの利用停止と消去を求める訴訟を提起することが可能です(法34条1項)。さらに茅ヶ崎市個人情報保護条例17条以下も開示請求の規定を置いています。)

5.Google Workspaceの利用規約などに違反するのではないか?
「Google Workspace for Education 利用規約」はネット上でも公開されています。そこでこの利用規約を読むと、「2.5 不正使用」は、自治体・教育委員会や学校に対してつぎのように、「本サービスの不正使用を防止し、不正使用をやめさせるための…合理的な努力を行う」ことを求め、「本サービスの不正使用または不正アクセスを発見した場合は直ちに Google へ通知」することを求めています。

Google不正使用の禁止
(Google Workspace for Education 利用規約より)
・Google Workspace for Education 利用規約|Google

上でみたように、日本の総務省や内閣府がパソコンやスマホなどの「パスワードは他人に教えてはいけない」ことを国民に周知し、またパスワードの定期変更も不要と周知しています。

また、不正アクセス禁止法「何人も、不正アクセス行為(略)の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならない。」(4条)と規定しており、自治体や企業、学校などが他人のIDやパスワードなどをみだりに収集してはならないと定めていることなどを考えると、茅ヶ崎市の小学校が生徒のパスワードの定期変更と新しいパスワードを書面に書いて提供することを求めていることは、この利用規約の「不正使用」または「不正アクセス」に該当し、Googleから茅ヶ崎市が、契約解除や損害賠償などを請求されるリスクがあるのではないでしょうか(民法415条または709条)。

5.学校でGoogleのシステムを利用することは妥当なのか?
GoogleがPCやスマホなどのCookieやIPアドレスなどを利用して、ユーザーのネット閲覧履歴、購買履歴、移動履歴などの個人データを収集・分析し、ユーザーを監視やプロファイリングなどを行い、行動ターゲティング広告などを実施していることはよく知られています。

日本の個人情報保護法は直接、プロファイリングを規制する条文はありませんが、しかしEUGDPR(一般データ保護規則)22条1項「コンピュータの個人データの自動処理のみによる法的決定、重要な決定の拒否権」、つまりいわゆる「プロファイリング拒否権」を定めています。

そして、日本の2000年の労働省「労働者の個人情報の保護に関する行動指針」第2、6(6)も同様の内容の条文を置いており、AIやコンピュータによる個人のプロファイリングやスコアリングは個人の人格権などの人権侵害であるとの認識が西側世界で広まりつつあります。(2019年の厚労省「労働政策審議会労働政策基本部会報告書~働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために~」9頁、10頁も同様の問題点を指摘しています。)

また、EUは2021年4月に「AI規制法案」を公表しましたが、これはAIをその危険性から4段階に分類して法規制するところ、教育分野や雇用分野、出入国管理などの行政サービスなどへのAI利用は上から2番目の危険性の「高リスク」に分類され、法規制が実施される内容となっています。

日本の個人情報保護法や情報法の学者の先生方の一部には、「個人情報保護法の立法目的は、プライバシー権の保護や自己情報コントロール権の保護ではなく、プロファイリング拒否権である」と主張する先生方も現れるに至っています。

このような状況下で、茅ヶ崎市が、小学校の生徒に対してGoogle Workspace for Educationを利用させることが果たして妥当な判断であるのかも、問題の一つであると思われます。(同様に、2022年1月6日にデジタル庁が公表した「教育データ利活用ロードマップ」も、西側世界の個人情報保護・個人データ保護の流れに逆行するものであると思われます。)

6.まとめ
このように、茅ヶ崎市の小学校におけるGoogle Workspace for Educationの生徒のパスワードに関する問題は、①茅ヶ崎市が生徒やその親にパスワードの年1回の定期変更を求めていること、②新しいパスワードを書面に書いて学校に提出することを求めていること、③そのような行為はGoogle Workspace for Educationの利用規約に違反しているおそれがあること、④そもそもGoogle Workspace for Educationを未成年の小学生に全面一律に利用させることが妥当なのか、⑤茅ヶ崎市個人情報保護条例8条、11条違反のおそれおよび個人情報保護法17条、20条違反のおそれ、など様々な面で問題があると思われます。

文部科学省や総務省、個人情報保護委員会などは事実確認を行い、茅ヶ崎市の教育委員会や小学校などに必要な対応を行うべきではないでしょうか。

■追記(2022年2月6日)
このブログ記事について、明治大学理工学部の情報セキュリティの齋藤孝道先生より、「生徒の保護に欠けるのではないか」「もし学校内でセキュリティ上の重大な事故が発生しても学校や教師は責任を負わないのだろうか」との趣旨のコメントを頂戴しました。

「Google Workspace for Education利用規約」の「3.2 法令遵守」は、「3.2 法令遵守。お客様は、(a)お客様およびお客様のエンドユーザーによる本サービスの使用が本契約に従って行われることを保証し、(b)商業上合理的な努力によって本サービスの不正使用と不正アクセスを防止し、不正使用があった場合は中止させ、(c)本サービス、アカウント、またはお客様のパスワードの不正使用または不正アクセスを認識した場合には速やかに Google に通知するものとします。」と規定しており、Googleは、茅ヶ崎市の教育員会や学校の管理者が生徒のパスワードを知っていなくても、システムを監視・モニタリングすることができる仕組みを用意しているようです。

このように学校がGoogle Workspace for Educationのようなシステムを導入した場合には、企業が電子メールやグループウェア、基幹システムなどを導入した場合と同様には、組織内での不正防止やセキュリティ対策、個人情報の安全管理措置(個人情報保護法20条、21条)などのために、システムの監視・モニタリングが必要となりますが、その一方で電子メールなどは従業員や生徒などのプライバシーにも関するものなので、その調整が問題となります。

この点、個人情報保護委員会個人情報保護法ガイドラインQA4-6は、企業などが社内の情報システムのモニタリングを行う場合には、①モニタリングの目的をあらかじめ特定し、社内規則に定め、従業員に明示すること、②モニタリングの実施に関する責任者とその権限を定めること、③あらかじめモニタリングの実施に関するルールを策定し、その内容を従業員に周知徹底すること、④モニタリングがあらかじめ定めたルールに従って適正に実施されているか確認を行うこと、の4点が必要であるとしています(岡村久道『個人情報保護法 第3版』225頁)。

個人情報保護法QA4-6
(個人情報保護法ガイドラインQA4-6より)

なお、このような企業などの組織内のシステムのモニタリングは、従業員などのプライバシー権との調整が問題となるところ、この点が争われた裁判例は、「監視・モニタリングの目的、手段およびその態様等を総合考慮し、監視される側に生じた不利益とを比較考量の上、社会通念上相当な範囲を逸脱した監視はプライバシー権の侵害となる」と判示しています(F社Z事業部電子メール事件・東京地裁平成13年12月3日判決、山本龍彦「職場における電子メールの監視と不法行為責任」『新・判例ハンドブック情報法』(宍戸常寿編)98頁)。

したがって、企業や学校が組織内のシステムを監視・モニタリングすること自体は不正防止などの観点から正当であるとしても、その手段・方法などが社会通念を逸脱するような場合には、当該監視・モニタリングは従業員や生徒などのプライバシー権侵害となり、違法と評価される可能性があります(民法709条、憲法13条)。

この点、企業や学校が不正防止やセキュリティ対策、個人情報の漏洩防止などの安全管理措置のために社内ルールなどを定めて明示した上で、情報システムの監視・モニタリングを行うこと自体は正当です。しかし、茅ヶ崎市の小学校のように、生徒のパスワードの提出を求めることは、仮にそれがGoogle Workspace for Educationの不正防止のための監視・モニタリングなどの目的であったとしても、手段・方法として社会通念を逸脱しているので違法と判断される可能性があるように思われます(民法709条、憲法13条)。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・岡村久道『個人情報保護法 第3版』218頁、225頁、516頁
・小向太郎・石井夏生利『概説GDPR』93頁
・西田典之・橋爪隆補訂『刑法各論 第7版』145頁
・山本龍彦「職場における電子メールの監視と不法行為責任」『新・判例ハンドブック情報法』(宍戸常寿編)98頁
・坂東司朗・羽成守『新版 学校生活の法律相談』346頁
・安全なパスワード管理|総務省
・ ネットの危険から子供を守るために>保護者の皆様へ|内閣府

■関連記事
・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)