YMCA、データ侵害で罰金　ICOがHIV陽性者のプライバシーに関する懸念を表明

情報コミッショナー事務局（ICO）は、HIV陽性者のHIVステータスを明らかにしてしまうデータ侵害が繰り返されることで、HIV陽性者が「基本的な尊厳とプライバシー」を奪われているとして、より強固な保護を求めました。

この発言は、ICOがHIV陽性者に影響を及ぼしたデータ侵害について、Central YMCAに7,500ポンドの罰金を科したことを受けたものです。

YMCAでの侵害では、HIV支援プログラムの対象者向けのメールが、ブラインドカーボンコピー（BCC）ではなくカーボンコピー（CC）を使用して264件のメールアドレスに送信され、すべての受信者にメールアドレスが表示されました。

ICOによると、166人についてはメールアドレスから特定できる、または特定され得る状態でした。その結果、これらの人々がHIV陽性である可能性が高いと推測され得ました。

罰金は当初30万ポンドが勧告されていましたが、その後、罰金に関するICOの公共部門向けアプローチに沿って減額されました。

北アイルランドのHIV慈善団体Positive Lifeの最高経営責任者（CEO）であるジャッキー・リチャードソン氏は、「情報コミッショナーによるこの警告は、誰かのHIVステータスは常に配慮と慎重さを要することを、私たち全員に思い起こさせるべきです」と述べました。

National AIDS Trustの政策・調査・アドボカシー担当マネージャーであるアダム・フリードマン氏も、ICOの決定を支持し、組織がHIVステータスの保護に違反した場合には強力な規制措置が必要だと述べました。

BCCはデータ保護の盲点

ICOはこれまでにも、HIV陽性者に影響を及ぼしたデータ侵害について、慈善団体HIV Scotlandおよび保健委員会NHS Highlandに対して罰金または譴責を科しています。これらのデータ侵害はいずれも、機微な連絡におけるBCCメールの使用方法の誤りが原因でした。

2023年、ICOは機微な個人情報を含むメールを送信する際、BCCのメール機能の代替手段を使用するよう組織に警告しました。当時ICOは、BCCを正しく使用しないことが非サイバー系の侵害の上位10位に一貫して含まれており、2019年以降、報告件数が約1,000件に上ると述べました。

2022/2023年には、医療分野が個人データ侵害全体の5分の1超を占め、ICOへの報告の最も一般的な発生源となりました。