8月18日、フランス経済・財務省の会見室で、公共行動・公会計担当相のダヴィッド・アミエルはこう言った。「はい、私たちは謝罪します。フランス国民にとって、今回起きたことは耐え難いものだからです」。謝罪の対象は、税務当局のシステムから個人と事業者合わせて67万8000人分の情報が流出した事件だ。閣僚が国民に向かって頭を下げる、その一言に、いまフランスが抱えている問題の輪郭がすべて詰まっている。便利であるはずの行政デジタル化が、いつのまにか「守られなかった」という感覚に変わってしまった瞬間だ。

この謝罪は単発の出来事ではない。同じ週、フランスでは驚くほど似た構図のニュースが連続して報じられていた。共済組合ミュチュエル・ジェネラル・ド・プレヴォワイヤンス（MGP）では、技術サービス提供会社がサイバー攻撃を受け、会員の本人確認情報や銀行口座番号（IBAN）が抜き取られた。国民教育省では、ハッカー集団「ゼロバイツ」が3億4600万行のデータを吸い上げたと主張し、省は7月末に発表した侵入事案がこれに当たると認めた。公共財政総局は、未処理相続に関する公開ポータルで「3度目の流出」があったことをさらに明らかにした。一つひとつは規模も性質も異なる。しかし並べてみると、健康保険、教育行政、税務、相続という、市民が国家に情報を預ける主要な窓口が、同じ数週間のうちに次々とほころびを見せたことになる。

なぜこれが単なる「セキュリティ事故」では済まないのか。サイバーセキュリティー専門家のブノワ・グリュネンヴァルがフランス2のインタビューで指摘したのはそこだ。「問題は流出の規模が大きいことだけでなく、他の情報流出と組み合わさっていることです」。一件の漏えいそのものよりも、それが別の漏えいと照合され、市民一人ひとりの輪郭が外部で再構成されてしまうことが恐ろしい、という指摘である。彼が挙げた例は象徴的だ。フランス射撃連盟の会員情報が流出した後、「銃器が安全に保管されているか確認したい」と称する偽警察官が会員の家を訪ねてきたという。デジタルの漏えいが、玄関先の詐欺という物理的な脅威に変換される。ここで問われているのは技術の脆弱性だけではなく、国家がどこまで自分たちのデータの行き先を統治できているか、という統治能力そのものだ。

フランス政府の対応を見ると、この「統治能力」への意識がにじむ。首相セバスチャン・ルコルニュは国家情報システム安全庁（ANSSI）に「徹底的な監査」を要請し、公共財政総局は影響を受けた35万人余りへの個別連絡を始めた。国民教育省も、影響を受けた可能性のある職員全員に個別通知したと説明している。MGPも同様に、対象となった会員に個別に事情と注意点を知らせ、CNIL（情報・自由全国委員会）とACPR（健全性監督・破綻処理機関）という二つの規制機関に届け出た。要するに、フランスの制度は「漏えいが起きたこと」自体よりも「起きた後にどう説明し、誰に通知し、誰が責任を取るか」という一連の手続きに重心を置いている。これは偶然ではなく、CNILという独立した監督機関が長年、企業や行政に対して個人データの扱いに説明責任を課してきた土地の作法なのだろう、と見ることができる。

ここで視点を日本に移すとどうなるか。日本ではマイナンバー制度をめぐる議論が、フランスとはやや異なる角度から進んでいるように見える。日本の場合、しばしば話題の中心になるのは「デジタル化がなぜこんなに進まないのか」という利便性の遅れの方であり、行政窓口での手続きの煩雑さや、現場の運用負荷が語られることが多い、と一般に言われる。フランスの一連の事件が示すのは、その先にある問題だ。デジタル化が一定水準まで進んだ社会では、次に問われるのは「速さ」ではなく「漏れたときに誰が謝り、誰が通知し、誰が責任を負うか」という制度設計そのものになる。日本がこれから同じ地点に立つとすれば、そのとき参照されるべきは、通知の義務化や監督機関の権限をどう設計してきたか、というフランスやEUの経験なのかもしれない。

アメリカに目を向けると、また別の構図が浮かぶ。フランスの事件はいずれも国家機関や公的性格の強い共済組合が舞台だったのに対し、一般にアメリカでは巨大な民間プラットフォームが個人データの集積点になっていると言われることが多い。国家が情報を統治する責任を負うフランス型と、民間企業が事実上の情報インフラを握るアメリカ型、そしてEUが個人データを「権利」として位置づけ、国境を越えて事業者の責任を追及する枠組みを持つという構図は、同じ「デジタル化の便益とリスク」という問題に対して、まったく異なる答えを用意していることになる。どの型が市民にとって安心なのかは、簡単には決められない問いだろう。

もう一つ、この夏のフランスで見逃せない動きがある。パリ検察は、次期大統領選の候補者とされるガブリエル・アタル氏とエドゥアール・フィリップ氏を標的にした、ロシアによる介入疑惑の捜査に着手した。アタル氏についてはフランスのメディアを模した偽情報動画が、フィリップ氏については健康状態に関する中傷動画が拡散したという。データ漏えいと偽情報の拡散は、表面上は別の事件に見える。しかし両者に共通するのは、情報の「真正性」と「所在」を誰が管理できるのか、という一点だ。国家が市民の個人データを守れないことと、国家が選挙という公共空間での情報の真偽を統御できないことは、根っこのところで同じ問いにつながっている、と見ることもできる。デジタル化が進んだ社会において、国家の正統性は「情報をどれだけ集約できるか」ではなく「情報をどれだけ守り、真正性を保証できるか」で測られるようになっているのではないか。

これからフランスの行政がどう動くかは、ANSSIの監査結果と、CNILがどこまで実効的な指導を行えるかにかかっている。個別通知や告訴といった事後対応の制度は既にあるが、それが「最小限のデータしか集めない」という予防的な発想にまで踏み込めるかどうかが、次の段階の試金石になるだろう。データを集約すればサービスは便利になる。しかし集約すればするほど、一度の破れが連鎖する範囲も広がる。フランスの一夏の出来事は、その両立の難しさを、謝罪の言葉という形で私たちに見せてくれた。

あなたなら、マイナンバーや保険証、教育記録といった情報を、どこまで一つの国家システムに預けることに同意できるだろうか。便利さと引き換えに手放すものが何なのか、一度立ち止まって考えてみる価値があるのではないだろうか。