個人情報の保護と責任

[koron]

• 通報者情報は原則秘匿する
• 運営が通報者情報を開示した場合、その責任は運営に帰属する

[koron]

通報に伴う個人情報は 通報者情報 は 原則 秘匿する

これはその通り。
CoCにも書いてある…つもりだったんだけど、ないね。
CoCの精神に則れば、書くべき案件。

要は通報した人の個人情報は保護されるから安心して連絡してね。

ってこと。

---

追加で保護されるべき人全員を書き下す

• 通報した人
• (いれば) 行為を受けた人
• 行為をした人
• (あれば) 第三者情報 (さらされてしまったまったく関係ない人の個人情報、みたいなイメージ)

保護の強さは案件のクラス(?)で違うことになりそう。
でもいまはそこまで書き下さない。

[koron]

運営が 個人情報 を開示した場合、その責任は運営に帰属する

これはおおむねあってるが少し違う。

通報に関する個人情報はは決して開示すべきではない。
万が一開示してしまったら、開示した責任そのものは運営にある。
1次情報から2次情報まで全て、
運営の責任において問答無用で削除するべし。

根拠は二次被害防止と個人情報保護
これは非常に強い。

あと拡散行為についてはまた別の責任が発生する。
拡散に協力したものは「持続的な妨害行為」「第三者の機密情報の開示」「不同意での個人情報の開示」で処罰対象
もちろん態様を判断するが、
想定される最悪のケースにおいては
チャンネルを一時的にアーカイブし、から発言削除し、各加担者を強制退会しないとならない。
ストレスで運営全員ハゲる。

[koron]

それとは別の観点。
CoCの精神に基づくと「運営が送る DM は機密情報」である。
なので そこに(業務の一環として)書かれた必要最低限の個人情報は「開示」 ではない。

これを受け取り手が公開するのは信用の破壊であり、許容できない。
なぜならハラスメントに伴う接触停止命令においては
「行為を受けた人」をDMにて伝えることが必須。
この運営が送る DMを公開されてしまうのであれば、
運営は「行為を受けた人」の個人情報を保護することができず
二次被害を食い止める手段を失う。
(「行為を受けた人」が見てしまう≒安全が脅かされる)

そうなるとどうなるか。
運営は警告というステップを飛ばし強制退会を選択せざるを得ない。
解釈に幅のあるCoCにおいても、
これはもうほぼ自動的かつ強制的ににそうなってしまう。

これは運用のドキュメントに書くべきところかも。

[koron]

参考情報: #7 (comment)

---

運営は、必要があって送信したDMは極めて機密性の高いものだと考えてる。
つまりそれ自体が公開されることを前提としていない。
なぜならばCoC勧告や警告を受けたという事実も、
運営が守るべきユーザーの秘密(名誉)だから。

[koron]

ハラスメントに関する「運営が送る DM 」で「通報した人」を書くことは無い。
万が一書いていたらそれは大きなミスである。
受け取った方には「あってるかどうか」折り返し確認してもらうことを期待するが、これは義務ではないけれど
「親切」を標榜する当コミュニティの参加者に対しては「期待したい」

それはそれとして運営の責任を考える場合、
ここでは2つのケースが考えられる。

まず、より重大な本当に「通報した人」を書いてしまったケース

万が一そのようなことになった場合、DMの機密が守られていたとしても、
運営は「通報した人」へ謝罪する必要がある。
またそれを受け取った側には特大の警戒マークを付けざるを得ない。
万が一「通報した人」へのハラスメントが確認されれば警告なしの退会が妥当となる。
これはCoCによって自動的・強制的に起こる。
そういう情報を知らせてしまった責任と、その情報を利用した責任は別である。
責任は相殺されない。

次にあまり影響のない「行為を受けた人」というラベルを「通報した人」と間違えて表記したケース

ハラスメントに関する連絡では接触禁止対象として「行為を受けた人」は開示しなければならないから。
この場合、運営は文面を間違えたことを謝罪し、訂正文を送るべき。

いずれの場合、どの段階でも「運営が送る DM は機密情報」であることは揺らがない。

[koron]

親issueにあった開示という言葉の使われ方が不確かで良くないので、何らかの言い換えが必要。

仮に「運営からのDMで知った内容」くらいの意味であれば、機密情報。
公開することは厳禁だし、それを悪用するのも厳禁。

信用の破壊行為でCoCの段階的な適用(エスカレーション)というものが成立しなくなる。

[koron]

いったん僕の頭の中の吐き出しはココマデ (rev.2)

[conao3]

cocには

第三者の機密情報の開示や名誉棄損、不同意での個人情報の開示などの不適切とみなされる投稿。

があり、このissueはそれに関するものと理解しています。「氏名」は「個人情報」であるという見解は一致していると思いますが、一人の氏名を開示すること、例えば単にユーザー名をメンションすることを以ってcoc違反とするというのは運用上おかしいと思います。
このcocから読み取れるのは、第三者に属する個人情報、つまり第三者の電話番号などを不同意で開示するということを禁止しているように一見では読み取ります。
そしてこれを禁止しているのは妥当です。

しかし今回の例であれば、まさに通報者の保護を目的にしており、法律のアナロジーとしては個人情報保護法 (https://laws.e-gov.go.jp/law/415AC0000000057/) と公益通報者保護法 (https://laws.e-gov.go.jp/law/416AC0000000122) と別立てになっていることからも、cocとしても別立てにした方が誤解がないのではないかと思います。

公益通報者保護法にまさに通報者を特定する情報を漏らしてはならないと既定されています。

（公益通報対応業務従事者の義務）
第十二条　公益通報対応業務従事者又は公益通報対応業務従事者であった者は、正当な理由がなく、その公益通報対応業務に関して知り得た事項であって公益通報者を特定させるものを漏らしてはならない。

明確化のため、「通報者を特定する情報を開示すること」という新規項目を追加することを提案します。

[omohikane]

一点、法律用語の扱いについて補足します。

今回の議論では「個人情報」など、法令上の意味を持つ用語が比較的広い意味で使われている場面があるように感じています。これらの用語は一般的な不適切行為を表す言葉としても使われがちですが、法令上の概念としては要件や射程があります。そのため、CoC 上で用いる場合には、法律用語そのものを安易に広げるのではなく、CoC として何を禁止・保護したいのかを別途明確に書く方がよいと考えます。

たとえば「個人情報」という語についても、氏名やメールアドレス等は文脈によって法令上の個人情報に該当し得ます。一方で、Slack 上のユーザー名・表示名・メンション等を、常に一律に「個人情報」として扱うのは過度に広い解釈になる可能性があります。少なくとも、通常の議論や連絡におけるメンションまで直ちに CoC 違反と読めるような文面にはしない方がよいと思います。

今回問題になっているのは、単にユーザー名や表示名が含まれていたかどうかではなく、通報者・相談者・被害を訴えた人などを、本人の同意なく特定し得る情報が共有または公開されたかどうかだと理解しています。

そのため、「不同意での個人情報の開示」という既存項目だけで扱うよりも、別項目として、たとえば以下のように明確化することに賛成です。

通報者・相談者・被害を訴えた人を、本人の同意なく特定し得る情報を不適切に開示すること。

このようにすれば、電話番号・住所・メールアドレス等の非公開情報や、法令上の個人情報に該当し得る情報の保護とは別に、通報者保護という今回の論点を明確に扱えると思います。

また、CoC 上では以下の区別を明示した方が、運用上の誤解を減らせると考えます。

• 法令上の個人情報に該当し得る情報
• 電話番号、住所、所属、メールアドレス等の非公開情報
• 通報者・相談者・被害申告者を特定し得る情報
• Slack 上の表示名・ユーザー名・メンション等の公開識別子
• 文脈上、特定個人の推測につながる情報

法律用語を広く使いすぎると、CoC の適用範囲が必要以上に曖昧になり、通常の議論や検証行為まで萎縮させる可能性があります。
したがって、法令上の概念は慎重に扱いつつ、CoC として保護したい対象は「通報者等を特定し得る情報」「非公開情報」「個人攻撃」など、より具体的な表現で定義するのがよいのではないでしょうか。

[koron]

このIssueで僕が一貫して語ってる「個人情報の保護」は「公益通報者保護法」に近いほうですね。
で、それに関することがCoCに書いて無くて、あれれ? ってなってる状態。
書かなくても暗黙の了解じゃんってレベルではあるんですが、
「行為を受けてる人」自身も「通報」しやすくなる
という観点で書いてあった方が良いって感じです。

cocには

第三者の機密情報の開示や名誉棄損、不同意での個人情報の開示などの不適切とみなされる投稿。

があり、このissueはそれに関するものと理解しています。

こちらの「第三者の機密情報の開示や名誉棄損、不同意での個人情報の開示などの不適切とみなされる投稿」は後から足されたものでして、本当に関係ない人の個人情報が書かれたらって話と、いきなりユーザーの電話番号や住所が晒されたらって話のカバー要素が強かったハズです。

このあたりを考慮してもうちょっと提案内容を具体的にしてみてください。 @conao3

[koron]

法律用語を使うと厳密になりすぎるし、その解釈を勝手に広げるのは逆にあぶないよね、っていう主張はわかります。

かといって、「法令上の個人情報に該当し得る情報」みたいなのを書くと、
確かに正確なのですがCoCとしては厳密すぎて特定の用途にしか使えない
ほとんど役に立たない言葉遊びになりさがるようにも思います。

そもそも通報制度とそこでの秘密が守られることに加え、
運営からのDMが機密であることはCoCとは別の厳密な約束であるべきじゃないでしょうか?

そのあたりを勘案してなにか良い案を作ってみてください @omohikane

[omohikane]

進め方についてコメントします。

参加者から具体的な文案や改善案を募ること自体には賛成です。
ただし、今回問題になっているのは、単に今後の CoC 文面をどう書くかだけではなく、運営が実際に削除・警告・BAN 示唆などの措置を行う際に、どの概念をどのように解釈し、どの根拠で判断したのかという点でもあります。

そのため、参加者側に文案の具体化を求める前に、まず運営として、現時点で以下をどのように理解・整理しているのかを示していただきたいです。

• 「個人情報」
• 「通報者保護」
• 「通報者・相談者・被害申告者を特定し得る情報」
• 「運営 DM の機密性」
• 「運営判断の検証可能性」

これらは、今回の措置において実際に問題となった概念であり、今後の文案作成の前提になると思います。

参加者が文案作成に協力することは可能だと思います。
しかし、運営が行使した措置の根拠となる概念整理や説明責任まで参加者側に委ねる形になると、責任の所在が曖昧になります。

したがって、まず運営側から、今回の措置においてこれらの概念をどのように解釈していたのか、どこに現行 CoC の不足があったと認識しているのか、今後どのように整理したいのかについて、たたき台を示していただきたいです。

そのうえで、参加者が文案や改善案を出す、という順序の方が適切ではないでしょうか。