PSNI の FOI スプレッドシートは、職員の安全とデータガバナンスを問う試金石となった

Summary

2023年8月8日、北アイルランド警察は情報自由請求への回答として、警察官と文民職員9,483人分の情報を含む元データのワークシートが残ったファイルを公開した。公開時間は2時間半弱だった。自宅住所は含まれていなかったが、識別子、職務、組織単位、勤務場所が組み合わされ、特有の治安環境の下で集約された情報の危険性が大きく高まった。
公開記録を踏まえると、原因を「一人が表計算ファイルを間違えた」と片づけることはできない。人事データの抽出物が公開候補の内部に残り、複数の確認は目に見える回答部分に集中した。情報資産の所有、リスク評価、職務別研修、機密区分、最終ファイルの保証にも弱点があり、複数人が閲覧しても、公開されたバイナリに許可された項目しかないことは証明されなかった。
英国情報コミッショナー事務局は、UK GDPR 第5条1項(f)、第32条1項および第32条2項について、故意ではなく明白な過失による違反を認定した。算定額560万ポンドは公共部門に対する方針により75万ポンドへ減額された。ICO は深刻な潜在的被害、恐怖、不安、自己情報への支配を失った感覚を記録する一方、この事案に起因する身体的傷害の証拠は確認していないとした。
持続的な説明責任は測定可能でなければならない。公共機関は、空の状態から必要最小限の公開物を作り、隠れた内容とメタデータを調べ、公開するそのファイル自体を独立して承認し、ハッシュと判断記録を保存する必要がある。回収手順と職員支援を検証し、経営側が報告する完了と独立した有効性確認を分けて扱うことで、透明性と安全性を両立できる。

画面上の表ではなく、ファイル全体が公開物である

この事案を「誤ったスプレッドシートを送った事故」と説明するのは簡単だ。しかし、その表現では、表面に現れた最後の操作が統制システムの全体であるかのように見えてしまう。問うべきなのは、機微な人事システムから作られた作業用データが、なぜ抽出、加工、形式選択、確認、承認、公開、回収という経路を通り、内部構造を残したまま公共情報になったのかである。各段階には責任者か統制の機会があった。最終的な公開に至ったのは、経路全体としてファイルの安全性を証明できなかったからだ。

出発点は正当な透明性業務だった。PSNI は2023年8月3日、階級または等級別の警察官・職員数を求める情報自由請求を受けた。請求されたのは人数であり、氏名、服務番号、個々の勤務場所の一覧ではない。小さな統計表だけで回答できたはずだが、実際の作業は SAP 人事環境から得た、はるかに情報量の多い抽出データから始まった。それを使ってピボットテーブルと回答用タブを作り、豊富な元データを含むワークシートが同じファイル内に残った。

独立レビューは公開までの流れを詳しく再構成した。回答作成者は不要と考えた表示中のワークシートを削除したが、元のダウンロードデータが入ったシートを削除しなかった。画面には追加タブの存在を示す点が表示されていたものの、元データは見つからなかった。その後の人事部門と情報取扱部門による確認も、主として表示中の回答に向けられた。広報担当者も画面に見えている内容を確認した。8月8日14時32分にファイルは公開され、削除まで2時間半近くオンラインに置かれた。

公開されたコピーには物理的に32列があった。最終的な ICO の通知は、公開記録で数字が異なって見える理由を示している。1列は使われていなかったため、規制当局は実際に情報が入った31項目として説明した。対象は警察官と文民職員を合わせた9,483人で、姓、イニシャル、服務番号または職員番号、階級または等級、役割、組織単位、配属場所、勤務や契約に関する情報、性別などの組み合わせが含まれた。自宅住所は含まれていない。この境界は重要である。確認されていない情報まで加えて被害を誇張してはならない一方、住所がなかったことを理由に深刻性を過小評価してもならない。

危険性は、個々の項目よりも組み合わせと文脈から生じた。単独ではありふれて見える情報でも、特定の人、組織構造、勤務場所に結び付けば、警察組織の運用配置を示す地図に近づく。不本意な接触、威迫、パターン分析、標的化に利用され得る。PSNI は、データが反体制共和派の手に渡ったと説明し、その評価に基づいて威迫や標的化のリスクに対応した。この点は PSNI による安全上の評価として帰属を明示すべきであり、公開資料は、すべてのダウンロード者、再配布経路、入手者の意図を特定してはいない。

ここに、表示内容とファイル内容を区別する必要性がある。表計算ファイルは、開いたときに見えるセルだけではない。追加のワークシート、数式、コメント、名前付き範囲、フィルター、キャッシュされた値、外部リンク、メタデータ、過去の構造を含み得る。「表示された回答は正しいか」という問いと、「このバイナリそのものを外部公開してよいか」という問いは別物だ。PSNI の手順では、前者を複数人が確認しても、後者について証拠に基づく判断を必ず残す仕組みになっていなかった。

時系列が示すのは、単発の操作ではなくシステムの問題である

回答に必要な職員情報を人事部門が保有していたため、FOI 請求は企業情報機能から人事へ送られた。豊富な SAP 出力を使ってピボットテーブルを作れば、専用の報告インターフェースを用意せずに数を集計でき、業務上は便利だった。しかし、その便利さによって元システムの機微性まで公開業務へ持ち込まれた。同じワークブックが、内部分析の作業環境であると同時に、公衆向け回答の候補にもなった。

二つの用途を一つの物体に載せると、予測可能な危険が生じる。作業ファイルには計算、照合、修正に必要な補助情報が蓄積する。公開物には受領者が見ることを許された情報だけが必要だ。同じファイルを使う場合、安全性は「余分なものをすべて削除できたか」に依存する。各シート、項目、メタデータを漏れなく発見しなければならず、統制の強さは担当者の認識とソフトウェアの見せ方に左右される。これに対し、空のファイルから許可された出力だけを加える方法なら、すべての項目が明示的な選択を経なければ公開物に入らない。

また、「二人以上で見る」だけでは独立した統制にならない。複数人が同じアプリケーションで同じファイルを開き、同じ表示タブに着地し、同じ体裁を確認すれば、確認回数は増えても盲点は共有されたままである。独立性には、異なる問い、異なる方法、またはその両方が要る。一人は請求内容と回答を照合し、別の一人はパッケージ構造、全ワークシート、メタデータを検査し、最終ファイルを項目単位の公開仕様と比較すべきである。

公開先によってリスクも変わる。認証された一人にファイルを送ることと、公開ウェブサイトに置くことは同じではない。公衆への公開後は、コピーと再配布を実質的に制御できなくなる。露出時間が短ければ機会は減るが、回収を保証するものではない。元の公開場所から削除することは必要な封じ込めであって、消去ではない。受け手の範囲、データの機微性、治安上の背景、不可逆性が増すほど、承認基準も高くする必要がある。

発覚後、PSNI はファイルを削除し、内部の指揮体制を動かし、職員への連絡と脅威管理支援を拡大した。しかし、通常の回収が届くのは最初の公開場所までで、既に取得されたコピーをすべての端末、メッセージ、私的保管場所から取り戻すことはできない。この非対称性が、公開前の予防に大きな比重を置く理由である。ウェブページは訂正できても、個人データのファイルを公衆から確実に回収することはできない。

分類にも問題があった。元データは職員と治安の両面で明らかに重要なシステムから来たが、抽出後のファイルは、ライフサイクル全体で特別な取扱いを強制する状態を保持していなかった。独立レビューは、一貫しない分類、古い指示、自動ラベルの不足に言及した。意味の乏しいファイル名も、職員が頼り得る視覚的な注意喚起を弱めた。分類は方針文書に書かれているだけでは統制にならない。ファイルとともに移動し、利用者やシステムが実行できる操作を変えて初めて効力を持つ。

最終的な規制判断は、違反を明白な過失とし、意図的な開示とはしていない。だからといって個人の注意義務が消えるわけではない。しかし、組織規模の過失は、不安全な設計の中で日常業務を行うことによって生じる。急いで回答する職員が慣れた道具を使い、見えている作業タブを削除し、同僚へ渡しても、機械も手順も警告しない。その結果を単に人的ミスと呼べば、ミスを起こりやすくし、結果を重大にした統制上の条件が見えなくなる。システムを検討することは責任を薄めるのではなく、より正確にする。

データ管理の失敗が職員の安全問題になった理由

影響を受けた人々は一様ではない。警察官と文民職員は異なる任務、部門、場所、個人的事情を持つ。警察との関係が既に公になっていた人もいれば、職業を意図的に伏せていた人もいる。居住や勤務の事情により、本人や家族にとって職業の露出がより切迫した問題になる場合もあった。職員団体の証言は、日常行動の変更、職業を隠すこと、不安、転居に関する相談、信頼の喪失を伝えている。ただし、これを全員が同じ結果を経験したという主張に変えてはならない。

ICO の被害評価は、慎重に守るべき境界を示している。程度は異なるものの、恐怖、不安、情報への支配を失った感覚が実際の損害として広く認められた。既知の脅威が存在する環境で働く警察職員のデータであるため、潜在的な結果は極めて重大とも評価された。同時に、ICO は、この漏えいに起因する身体的傷害の証拠を確認していないと明記した。潜在的危険の大きさと心理的影響を認めながら、公開記録が身体的攻撃を立証していないことも保たなければならない。

緊急脅威管理グループへの自己申告は、支援需要の規模を示すが、傷害件数ではない。政府発表では2023年8月30日までに3,954件、最終的な ICO 通知では10月18日までに4,024件と記録され、特定日の赤、黄、緑の評価状況も示された。これは、その時点で評価を求めた、または受けた人を表す。数千件の攻撃が発生したことを意味せず、色分けも恒久的な個人属性ではない。むしろ、データ統制の失敗が組織の安全対応能力をどれほど消費したかを示す。

負担は本人だけにとどまらない。家族は職業情報が公になった意味を考え直し、管理者は識別子や連絡方法を変え、脅威管理チームは個別案件を評価した。PSNI は通常の警察業務を続けながら配布経路を調べ、監督機関は福祉、平等、人権への影響を検討した。公開統制の失敗は業務継続の問題となり、本来公共安全に使われる資源が、自組織の職員保護と情報取扱いへの信頼回復へ振り向けられた。

対外的に使う服務番号を PIN へ置き換えた措置は、露出したデータの将来価値を下げる方法を示す。服務番号は暗号上の秘密でなくても、別の記録を結び付けたり、ソーシャルエンジニアリングに使われたりし得る。番号の置換は一つの項目を将来使いにくくするが、既に流通したコピーから氏名、階級、役割、過去の配属場所を消せない。是正では、無効化できるもの、訂正できるもの、監視が必要なもの、もはや制御できないものを分ける必要がある。

一人当たり最大500ポンドの個人向け安全支援は具体的な介入である一方、説明責任も生む。適格性、利用状況、応答時間、アクセスのしやすさ、支援が評価されたリスクに合っていたかを集計して確認する必要がある。信頼の回復には、元ファイルを削除した事実だけではなく、所有責任、研修、エスカレーション、保証が持続的に変わったことを示す証拠が要る。

規制判断が示した、状況に見合う安全性

データ保護上の法的結論を確認する際は、ICO の最終的な金銭制裁通知が基準となる。通知は、完全性と機密性を定めた UK GDPR 第5条1項(f)、安全確保を定めた第32条1項と第32条2項への違反を認定した。対象期間は2018年5月25日から2024年6月14日までである。規制当局は公開時の出来事だけでなく、この種類の処理を管理してきた組織的措置も評価した。

通知は故意を認定せず、違反を明白な過失と位置付けた。意図的に公開したとの根拠のない物語を避けつつ、統制の失敗を軽く扱わないために重要な区別である。機微な警察職員データを管理する組織は、事故後になって、通常の FOI 業務が豊富な人事データ抽出、十分でない指示、表示タブ中心の確認に依存していたと知るべきではない。リスク評価、手順、研修、検証は、個別の請求が弱点を露呈する前から必要だった。

安全措置は状況に応じたものでなければならない。対象は北アイルランドで活動する識別可能な警察組織の職員であり、無断公開は威迫や標的化につながる可能性があった。一般的なオフィスファイルの慣行を基準にはできない。ICO は、この処理について適切なリスク評価を示せなかったこと、手順と職員研修に不足があったことを認定した。人事システム自体へのアクセス制御だけでは十分ではない。データがシステムを出た後の処理も同じ責任範囲にある。

これは重要な統治上の境界である。多くの組織は記録システムを保護しても、抽出後のファイルを利用者個人の責任として扱う。しかし、抽出物は複製しやすく、監視しにくく、元システムのアクセス制御を失っている。抽出が正式な業務機能である以上、目的の記録、項目の最小化、保管の制御、再利用の制限、保存期間、公開物の検査、経緯を証明するログまで、組織の責任は続く。

制裁額の説明にも精度が必要だ。ICO はまず560万ポンドを算定し、公共部門に対する執行方針を適用して、実際の金銭制裁を75万ポンドにした。二つは同じ算定過程の異なる段階であり、合算する費用ではない。減額は公共機関への罰金が公共サービスに与える影響を考慮した政策判断で、違反認定を覆すものでも、被害が小さいとするものでもない。

ICO は当初、制裁金に加えて執行通知も予定していた。2024年6月14日までに、PSNI は更新した指示、監査ログ、品質保証チェックリスト、表計算ファイルの方針を提出した。ICO は隠れたデータを扱う際の該当する防護策が是正されたと判断し、予定した執行通知を進めなかったが、金銭制裁は科した。特定の危険な公開経路を閉じることと、組織全体の改革を終えることは同じではない。

FOI 指示の更新は、余分なワークシートの再公開を防ぐことに役立つ。しかし、それだけで老朽化した人事基盤を置き換え、情報資産の所有を定着させ、すべてのデータ保護影響評価を改善し、データ保護責任者の上層部へのアクセスを強め、データ戦略や文化を変えることはできない。最終通知は特定の防護策が是正された証拠であって、独立レビューの37件すべてが完了したという証明ではない。

責任は実際に制御できる範囲に沿って考える

責任を、最後の誤りに最も近かった人だけへ集中させるべきではない。作成者はファイルに近かったが、統制全体を独占していたわけではない。上級幹部はガバナンス設計、資源、リスク選好を管理し、人事管理者はデータ製品と作業方法を管理した。企業情報部門は FOI 手順と公開基準、保証部門は検証・監視・問題提起、技術所有者は抽出環境と技術的な防護策を管理した。警務委員会は外部監督を担い、ICO は法定調査と執行を担った。

上級幹部の責任はリスク選好から始まる。警察組織が柔軟な業務に表計算ソフトを必要と判断することはあり得るが、その選択には機微性に応じた補完統制が必要である。幹部は、どの処理が職員全体のデータを抽出し、どの公開経路へ到達し得るか、統制の所有者が有効性を証明できるかを把握しなければならない。経路を列挙できない状態では、リスクを責任を持って受け入れたとは言えない。

次に情報資産の所有責任がある。所有者は、データの目的、利用できる者、特に機微な項目、許容される抽出、公開回答の作り方を説明できる必要がある。台帳に名前が載っているだけでは所有とは言えない。利用を定期的に見直し、統制を承認し、例外を解消し、証拠を提出する継続的な義務である。独立レビューが所有とデータ成熟度を重視したことは、データが運用資産ではなく作業の副産物として扱われていた、より広い問題を示している。

FOI 機能の責務は異なる。合法的な透明性を実現し、必要な場合は適切な除外を適用し、正確に回答しなければならない。公開担当者があらゆる元システムの専門家になることを前提にしてはならず、安全な回答が標準となる仕組みが要る。件数を求める請求には件数だけのファイルを渡すべきで、公開担当者が受け取るのは、項目仕様と由来を備えた公開候補であるべきだ。人事部門の作業方法を知らなければ安全性を判断できない内部作業環境を渡してはならない。

人事部門の管理者は抽出と加工の方法を変えられる立場にある。これは各職員がシステム設計に責任を持つという意味ではない。反復する全件抽出を限定された報告、テンプレート、統制された問い合わせへ置き換え、全件抽出が必要な場合の理由、保管先、分類、削除時期を決められるということだ。同僚による確認も、計算が合うかだけでなく、求められた項目と公開される項目の比較にしなければならない。

技術所有者は機械的に強制できる選択肢を持つ。高度にカスタマイズされたオンプレミスの SAP 環境が老朽化していれば、一部の選択肢は狭まるが、安全策が不要になるわけではない。抽出物を統制された場所へ保存し、自動的に分類し、移動を記録し、例外承認なしで公開経路へ送れないようにできる。承認済みの値だけから新しい出力を作る変換サービスや、ワークシートとメタデータを列挙する検査手段も考えられる。自動化できない場合、そのリスクを資金付きの変更計画に載せる必要がある。

データ保護責任者と上級情報リスク所有者には保証の責任がある。独立レビューは、上級幹部への直接報告、リスク評価、処理活動の記録、データ保護影響評価に関する問題を挙げた。データ保護責任者がすべての FOI 回答を個別に検査することはできない。高リスク処理をシステムが特定するか、業務所有者が証拠を出すか、例外が上層部へ届くかを検証する役割である。上級情報リスク所有者は、その結果を資源とリスク台帳につなげる。事故後にこの役割を副警察長級へ引き上げたことは形式上の強化だが、実効性は情報、異議申立て、継続的な実施で決まる。

研修も全階層にまたがる。一般的な年次講習は意識を高めても、ファイル形式、隠れたデータ、分類、公開検証の技能までは保証しない。公開担当者は、ワークブック構造を調べ、メタデータを除き、より安全な形式が必要な状況を判断し、不確実なら問題を上げられなければならない。管理者は統制証拠を解釈できる必要がある。研修の受講率は投入であり、試験された能力と誤りの傾向が成果である。

外部監督には別の役割がある。北アイルランド警務委員会は独立レビューを共同委託し、対応を監視するとした。その価値は、経営側の行動リストだけが成功の尺度になることを防ぐ点にある。統制が現場で使えるか、資金がリスクに見合うか、完了証拠が独立しているか、未解決項目に責任者と期限があるかを問える。同時に、説明責任の名目で新たな安全上の機微情報を公表してはならず、個人情報と運用上の境界を守る必要がある。

表計算ファイルの奥にあったガバナンス上の弱点

独立レビューは、組織のガバナンスと説明責任、責任を引き受けること、基盤、データ共有と利用、文化・技能・人材という五つの領域で37件の勧告を示した。この広さは、漏えいを個別手順の失敗であると同時に、組織的な弱点の表れとみた結果である。見落とされた一枚のシートだけを修正しても、その結果を生み出した条件は別の業務に残り得る。

データは部門を横断するため、統治構造が重要になる。人事が元データを持ち、情報部門が請求を扱い、広報が公開を支え、技術部門が道具を提供し、安全部門が結果に対応した。全経路を見る組織がなければ、各部門が局所的な遵守を報告しても、引継ぎ部分が危険なままになる。後に設置された Service Data Board は、横断的な視点を作るためのものだった。その有効性は会議回数ではなく、行った決定、解決したリスク、残した証拠で評価すべきである。

処理活動の記録とデータ保護影響評価も実務的な統制である。処理記録は、職員データが統計や公開のために抽出されること、受領者、保障、所有者を明らかにする必要がある。リスク評価は、情報の組み合わせ、脅威環境、公開の不可逆性、職員への影響を扱うべきだ。記録が不完全なら、事故前にワークフローを再設計する機会が失われる。

監査の弱さは問題を増幅する。レビューは、監査への関与が低いことや、変化が日常業務に定着する前に完了と報告する危険を扱った。進捗表示の「緑」は、方針が承認された、職員へ配布された、統制が導入された、試験に合格した、例外が監視された、独立者が有効性を確認した、という全く異なる状態を指し得る。終了基準は開始前に定義し、第三者が再実施できる資料で支えなければならない。

データ保護機能の位置付けも重要だ。独立性は役職名だけでは生まれない。データ保護責任者は上級意思決定者へ適時にアクセスし、高リスク処理を把握し、問題を自由に提起できる必要がある。一方で、すべての運用リスクの所有者になってはならず、業務部門の指導者が自らの処理に責任を負う。成熟した制度は、業務所有と独立した助言・検証を分ける。

SAP 環境は、ガバナンス上の帰結を伴う技術的負債だった。高度にカスタマイズされたオンプレミスシステムが寿命に近づき、複数の組織機能を支えていた。技術的負債そのものが漏えいを起こすわけではないが、安全な選択肢を狭め、手作業の抽出を促し、変更を高価にする。更新の事業評価には、機能だけでなく、統制上の露出と職員の手作業を減らす価値も含めるべきだ。資金の遅れは、責任者を伴う残存リスクとして見える状態に保つ必要がある。

分類の弱点は、方針とツールの相互関係を示す。古い指示、一貫しないラベル、自動分類の不足によって、データは移動するほど機微性の文脈を失いやすくなる。ラベルは人が意味を理解し、システムが結果を強制して初めて役立つ。職員全体の抽出物なら、制限された保管、外部共有の無効化、強制期限、公開ウェブへのアップロード阻止などが考えられる。警告だけを表示して自由な移動を許すラベルでは、チェック項目を満たしても結果は変わらない。

文化はこれらを結び付ける。受動的な遵守文化は、所定のフォームが埋まったかを問う。能動的な保証文化は、通常の業務圧力の中でも統制が結果を変えるかを問う。職員は、非難を恐れず危険な迂回手順を報告できる必要があり、管理職は反復する手作業を設計上の信号として扱うべきである。学習とは「次回は注意する」という約束ではなく、観察し、測定し、持続できる変化である。

公開回答を空の状態から作る

最も重要な技術的・手続的教訓は、内部の作業データと外部の公開物を分離することである。この請求で許可された出力は、少数の集計値だった。より安全な経路では、承認済みの問い合わせや計算を実行し、その数値だけを新しい空の文書へ書き、公開仕様にない項目を拒否する。元の抽出物が公開候補になることはない。

ゼロから作ると、失敗の形が変わる。引き算型では、余分な要素をすべて見つけることが安全性の条件となる。足し算型では、項目が明示的に選ばれない限り出力へ入らない。計算自体が間違う可能性は残るため照合は必要だが、元データのシート全体を持ち出す危険は大幅に下がる。最終物を許可されたスキーマと比較し、他の内容があれば閉じた状態で停止するという明確な試験もできる。

形式は受け手と内容から選ぶべきだ。PDF は不用意な編集を減らせるが、メタデータ、添付物、隠れた層を保持することがある。CSV は複数シートをなくす一方、抽出した列をすべて露出させることがある。ウェブ表も適切な場合はあるが、隠れたマークアップやキャッシュを含み得る。安全な形式が一つあるのではない。正確な最終物を検査して必要最小限にし、アクセシビリティーと利用性も確保することが統制である。

公開経路は、機微情報を露出せずに由来を残すべきだ。請求、元システム、承認した問い合わせまたは集計、項目仕様、作成者、確認者、公開先、保存規則を記録し、承認ファイルの暗号学的ハッシュを保存できる。公開時に再計算し、変更があれば拒否する。ハッシュは内容の正しさ自体を証明しないが、確認した物と公開した物が同一であることを証明する。

独立確認には方法の多様性が要る。一人は回答が請求と公開法に合うかを確認し、別の一人は異なる方法でファイル構造と最小化規則を検証する。高リスクなら、第三の統制が元データから出力までの計算を抽出確認するか、安全リスクを承認する。役割は作業前に決め、作成者による自己承認をシステム上防ぐべきだ。

自動検査は一貫性を高める。スキャナーは深く隠された状態を含むシート、名前付き範囲、個人データのパターン、外部リンク、文書メタデータを列挙し、許可スキーマと比較できる。ただし、パターン照合は特殊な識別子を見逃し、無害な情報を誤って警告することもある。責任ある統制とは、機械検査、人の判断、明確なエスカレーション経路の組み合わせである。

公開チャネルにも固有の防護が必要だ。公共向けシステムは、統制された場所から来た承認形式だけを受け付け、アップロード者とハッシュを記録する。機微な分類には短い再確認時間を設け、証拠のために前版を保管できる。緊急非公開機能は、技術的に可能な範囲で資産と関連キャッシュを削除する。安全、プライバシー、広報、法務、職員支援、外部監督を結ぶ連絡網は、事故後に即席で作るのではなく、演習しておく必要がある。

公開後の監視が循環を閉じる。限定期間、公開ページが期待したハッシュのファイルを配っているか確認し、合法な範囲で無断コピーを監視し、報告を受け、元の作業ファイルが方針に沿って削除または保存されたか確認する。監視は万能な回収を約束しないが、検知と証拠保全を改善する。いつ監視を終え、誰が残存リスクを受け入れたかも記録する。

例外は、禁止を唱えるのではなく管理する必要がある。表計算ファイルが最も使いやすい公開形式である場合や、複雑なデータ公開が必要な場合もある。標準の最小出力では対応できない理由、追加リスク、独立承認を記録し、例外には期限を設ける。同じ例外が繰り返されるなら、標準サービスの再設計や投資が必要だという信号である。

発表件数ではなく、是正の効果を測る

公開記録には複数の是正時点がある。PSNI は初期対応で PDF のみの公開へ移行し、その後 PDF と CSV を扱う指示、更新した FOI 手順、監査ログ、品質保証チェックリスト、表計算ファイルの方針を整備したと報告した。最終的な ICO 通知は、関連する隠れたデータの防護が2024年6月までに是正されたと認めた。余分なデータが公開された具体的経路に直接対応する措置であり、実質的な意味がある。

より広い対応として、上級情報リスク所有者の役割を副警察長級へ上げ、Service Data Board を設置し、対外服務番号を PIN へ変更し、職員向け安全支援を提供した。年次報告は、調査・情報、安心確保、レビューと教訓、広報という四つの作業領域に整理した。どれも修復計画の構成要素だが、成果指標による確認が必要である。

2024年6月時点の警察長説明責任報告は、17件の勧告が完了したとした。2026年2月の議会証言では29件が完了し、いくつかは進行中または資金に依存し、独立レビュー担当者が進捗を確認するため戻ったと報告された。後の証言では行動総数に概数表現が使われたため、元レビューの37件が安定した基準である。2026年の証言は特定時点の実施報告であって、まだ得られていない最終的な独立確認ではない。

各勧告の終了記録には、統制目的、責任を負う幹部、運用所有者、期限、証拠、試験方法、結果、例外、残存リスクが必要だ。行動や技術の変化を目的とする項目を、方針の承認だけで閉じてはならない。研修は能力を試験し、新しい会議体は決定実績を示し、抽出統制は代表的なファイルで試し、更新システムは危険な旧経路が単に利用減ではなく無効になったことを示す必要がある。

重大事件後は独立検証が特に重要となる。内部チームには進捗を示す圧力があり、信号式の進捗表示は楽観的解釈を促しやすい。独立者は元証拠を抽出し、試験を再実行し、実際に手順を使う職員から話を聞くべきだ。設計上の有効性と運用上の有効性を分ける必要もある。よく設計されても使い方が不均一な統制も、広く使われても必要なリスクを検知できない統制もある。

指標には未遂事象を含める。スキャナーが公開前に隠れたシートを発見したなら、ゲートが機能した証拠であると同時に、危険なファイルが依然としてゲートまで来ている証拠でもある。成功した公開だけを記録すると、上流の品質情報を失う。高リスク抽出の試行、阻止した公開、例外数、確認者間の不一致、解決時間、反復する失敗、期限超過の行動を測り、傾向を研修とシステム投資へ戻すべきだ。

職員にも、教訓が実務になったかを確かめる道が必要である。集計された進捗情報なら、どの識別子を変え、支援がどのように使われ、独立試験が何を示し、資金依存の項目がどれかを説明できる。運用上の安全と個人情報は守らなければならないが、機密性を検証不能な保証だけを出す理由にしてはならない。優れた説明責任は、立証できる事項だけでなく、安全に公開できない事項と不確実な事項も明示する。

財務上の数字を一つの総額にしない

この事案には複数の公表金額があり、それぞれ異なる問いに答えている。2023年9月の議会証言では、復旧と訴訟に関する1億7,400万から2億1,700万ポンドのシナリオが論じられた。これは不確実性の高い初期推計で、最終請求額ではない。2023〜24年度年次報告は、即時対応の追加資金600万ポンドと、その時点で想定された規制制裁への61万ポンドの引当を記録した。最終制裁は75万ポンドだった。

2025年12月、北アイルランド行政府は漏えい費用と和解交渉に向けて1億1,900万ポンドを充てると決めた。配分は義務に対応する財源を示すが、個別和解の最終額や全期間の総費用を証明しない。これらを単純に加算してはならない。重複する可能性があり、シナリオ、会計上の引当、資金配分など性質と時点も異なる。

よりよい財務説明では分類が必要だ。直接対応費には調査、広報、安全支援、技術変更がある。規制費用は最終制裁、法的リスクは防御と和解活動、長期変革は他の目的にも資するシステム更新とデータ統治能力、機会費用は他の警察業務から振り向けた職員時間である。各数字に証拠日を付け、約束済み、支出済み、引当済み、推計、和解済みのどれかを明示すべきだ。

公共部門への減額には政策上の緊張がある。大きな制裁は是正や公共サービスの資源を消費し、小さな制裁は違反の重大性と釣り合わないように見える。ICO は違反を否定せず、明示的な減額によって対応した。したがって監督は、執行と資金を伴う修復の双方を見る必要がある。制裁が軽減された分、資源が職員支援と持続的統制に使われたことを示す証拠の重要性が増す。

検証可能な十の説明責任基準

第一に、許可された回答を定義する。項目、集計、受け手、形式、法的根拠、アクセシビリティー、期限を公開仕様に記し、曖昧なら処理を止める。作業環境でもあるファイルについて「この表を公開する」は仕様にならない。

第二に、データ経路を地図化する。元システム、変換、一時保管、人、道具、公開先を記録し、元の分類を抽出後も維持する。全件データが記録システムを離れるなら、理由、行き先、削除時期を残す。

第三に、最小限の物を生成する。承認した出力だけを空のテンプレートへ書くサービスを優先し、余分な項目、ワークシート、埋め込み物を拒否する。PDF、CSV、オフィス形式は検査対象の容器であって、安全性を保証する名称ではない。

第四に、職務を分離する。作成者は最終承認者になれない。法務または FOI の確認と、ファイル構造の技術確認を分ける。高リスク公開には責任あるリスク所有者を置き、確認者は「確認済み」ではなく、何を試したかを記録する。

第五に、承認をファイルのバイト列へ結び付ける。正確な公開候補のハッシュを判断とともに保存し、アップロード時に再確認する。承認後の変更は承認を自動的に無効とし、公開先のファイルも期待したハッシュと比較できる。

第六に、隠れた内容とメタデータを検査する。形式に応じて、ワークシート、範囲、リンク、コメント、変更履歴、添付、文書属性、その他の埋め込み構造を列挙し、検出項目を許可スキーマと比べる。人による確認では、検査手段の限界も理解する。

第七に、回収を運用能力にする。担当者、非公開にする権限、キャッシュ削除、証拠保全、通知基準を定め、演習する。報告から封じ込めまでの時間を測り、回収不能な公開先を明示する。

第八に、定義されたサービスで影響を受けた人を支援する。関係した情報と関係しなかった情報を正確に説明し、個人リスクの相談経路を用意し、支援記録を保護し、応答時間と集計成果を追う。身体的傷害の証拠がないことを、心理的影響や自己情報を制御できない感覚の軽視に使ってはならない。

第九に、試験によって是正を閉じる。各項目に所有者、証拠、独立した受入基準を設け、方針発行、導入、利用、効果を区別する。監視で再発を見つけたら再開し、経営側の主張を外部確認のように示さない。

第十に、不確実性を残す。拡散、被害、費用、完了に関して分からないことを明記し、推計を更新しても過去の記録を書き換えない。安全上の評価は発言主体へ帰属させる。精度は説明責任を弱めず、影響を受けた人を守り、説明を強くする。

透明性には工学的な仕組みが要る

情報自由法は、PSNI に職員の元データを公開するよう求めてはいなかった。請求されたのは統計である。問題は公共機関が質問に答えたことではなく、回答を計算するための機微な資料と、公衆へ出す統計結果を製造工程で確実に分離できなかったことだ。透明性を原因とみなせば、対策は安全な公開ではなく、公開の縮小になってしまう。

この事件が示すのは、透明性がデータ工学とガバナンスの機能でもあるということだ。公共機関は、監督、研究、信頼に役立つ情報を持つ一方、個人情報と治安上の機微情報も持つ。成熟した仕組みは、出力を最小化し、由来を保ち、最終物を検査し、責任ある判断を記録することで、双方の義務を果たせる。他の運用システムと同様に、投資、技能、上級レベルの所有責任が必要である。

公開された対応記録には実際の進展と未解決の作業の両方がある。ICO が認めた公開経路の防護、Service Data Board、より高い階層の情報リスク所有、識別子の変更、支援策は、それぞれ失敗の一部に対応した。後の証言で、一部の行動が進行中または資金に依存するとされたことは、何もしていない証拠ではない。改革には異なる時間軸があるということだ。独立した証拠が終了を支えるまで、状態を見えるままに保つ必要がある。

PSNI のワークブックが職員安全の問題になったのは、データが意味と保護を与えていた境界の外へ出たからである。説明責任の試金石になったのは、人、手順、システム、監督に責任が分散していたからだ。持続的な答えは、誰も二度とタブを見落とさないという約束ではない。一つのタブを見落としても元データが無言のまま公共データにならず、是正したという各主張を証拠で確認できる公開システムを作ることである。

Frozen source register

北アイルランド警察、独立レビュー。
北アイルランド警察および北アイルランド警務委員会、「内側から守る――2023年8月8日の PSNI データ漏えいに関するレビュー」。
英国情報コミッショナー事務局、北アイルランド警察に対する執行記録。
英国情報コミッショナー事務局、PSNI 金銭制裁通知。
英国情報コミッショナー事務局、スプレッドシートの誤りを受けた75万ポンドの制裁案。
英国情報コミッショナー事務局、文書を公衆へ開示するための新しい指針。
北アイルランド警務委員会、共同委託した独立レビューの公表。
北アイルランド警務委員会、追跡対応に関する声明。
北アイルランド警務委員会、警察長説明責任報告――2024年6月。
北アイルランド警察、2024年3月31日終了年度の年次報告書および会計。
英国議会北アイルランド問題委員会、口頭証拠：PSNI データ漏えい、2023年9月5日。
英国議会北アイルランド問題委員会、口頭証拠：職員団体、2023年12月12日。
英国議会北アイルランド問題委員会、口頭証拠：北アイルランド警務委員会、2023年12月13日。
英国議会北アイルランド問題委員会、口頭証拠：PSNI 幹部、2023年12月13日。
英国政府、北アイルランド担当大臣による PSNI データ漏えいについての演説。
英国政府、「2023年情報セキュリティーレビュー最終報告書」。
北アイルランド司法省、PSNI データ漏えいに関する資金配分声明。
英国議会北アイルランド問題委員会、2026年2月25日の口頭証拠。