個人情報の管理は、取扱い台帳1枚で範囲が決まる

個人情報の管理は、対策の数で決まりません。1枚の取扱い台帳があるかどうかで形になります。取扱い台帳とは、どの情報を何のために集め、どこに置き、だれが見るかを書いた一覧です。いつまで持ち、どう捨てるか、何かあったときだれへ連絡するかも同じ1枚に入れます。

怖いと感じるのは、やることが多いからではありません。どこまでやれば終わりなのかが決まっていないからです。対策の一覧を見比べても、終わりの線は見えてきません。自分の名簿1つについて台帳の項目を埋め切ったところが、その線になります。

順番も効いてきます。暗号化やパスワードから先に手を付けると、同じ名簿の複製が増えたまま鍵をかける形になりがちです。棚卸しで正本を1か所に決めてから措置を足すと、手戻りが減ります。

この記事では、講座の申込者の顧客名簿を合成例として使います。氏名、勤務先、メールアドレス、電話番号の4項目を120件分持っている設定で、件数も日付も説明のために置いた値であり、実在の会社や名簿の記録ではありません。

個人情報と個人データは、探せる形にまとめたかどうかで分かれる

個人情報は、生きている人のだれなのかが分かる情報です。名前などで探し出せるようにまとめた名簿やデータベースを、法律では個人情報データベース等と呼びます。個人データとは、その個人情報データベース等を作っている一件ずつの個人情報のことです。申込用紙1枚に書かれた氏名も個人情報です。その氏名を名簿の行として並べ、名前で引ける状態にすると、同じ情報が個人データにも当たってきます。

この違いは、安全管理の措置を考えるときに効いてきます。情報を安全に管理する措置を求める決まりが向くのは、個人データとして扱う側です。ただし、紙1枚の申込用紙も個人情報なので、置き場所と見る人を決める対象から外しません。安全管理の措置を名簿から先に整えるのは、1つにまとめた側のほうが複製も増えやすいからです。

どこまでが個人データに当たるかは、情報の持ち方と使い方で変わります。個人情報保護委員会のガイドライン（通則編）には、個人情報と個人データの考え方、従業者や委託先の監督、リスクに応じた安全管理措置が整理されています。

自分の名簿がどちらに当たるかという個別の判断は、このガイドラインの最新の内容で確かめてください。読んでも決めきれないときは、専門家へ相談する前提で進めます。ここから先は、個人データとして扱う名簿を1つ整える手順として読み進めてください。

最初の棚卸しは、1つの名簿がどこに何件あるかを数える

棚卸しは、同じ名簿の複製を全部並べる作業です。合成例の置き場所は、紙の申込書、表計算ファイル、メールの添付、メール配信サービスの4か所になります。この4か所について、置き場所、中身、件数、正本か複製か、次にすることの5つを書き出します。

件数まで数えるのが要です。件数が合わない複製は、更新が届かないまま残っている複製です。先に件数を書いておくと、あとで消し忘れを見つけられます。

正本は1つだけです。合成例で正本にするのは、表計算ファイルの120行です。紙の申込書は本人が書いたものなので、正本ではなく、入力内容を照合するもとに回します。

件数の差は、理由まで言えるようにします。配信サービスの95件は、申込書で案内メールの配信を希望した人の分です。希望していない25件は登録しません。95件と25件を足すと、正本の120件に戻ります。

メールの添付2通は、どちらも3か月前に送った時点の80件分です。今の120件のうち残りの40件は、当時まだ申込が入っていません。古い複製は件数が合わず、更新も届かないため、消す対象に入れています。

利用目的を先に書くと、集めなくてよい項目が1つ見える

必要な項目は、利用目的から決まります。先に利用目的を文にしてから、項目を1つずつ当てていく順です。目的のどれにも当たらない項目は、集めるのをやめる候補になります。

合成例の利用目的は2つです。1つ目は、申込内容の確認と、開催前後の連絡。2つ目は、次の講座の案内メールの配信です。この2つに、名簿の4項目を当てます。

• 氏名は、連絡の宛名と案内メールの宛名に使うため、2つの目的の両方に当たります。
• メールアドレスの用途は、案内メールの送り先と、申込の控えの送り先です。
• 電話番号は、開催日が変わったときの急な連絡に使うため、1つ目の目的に当たります。
• 勤務先は、2つの目的のどちらにも当たりません。次の申込書から欄を外す候補です。

目的へ当てられない項目が出たときの道は2つです。1つは、目的を書き足して使い道をはっきりさせる方法。もう1つは、次の申込書から欄を外し、集めるのをやめる方法です。合成例では後者を選び、すでにある120件分の勤務先は、保存期限に合わせて扱いを決めます。

項目を減らすと、守る範囲も小さくなります。集めない項目は、漏れることもありません。対策を増やす前に、まず持ち物を減らせないかを見ます。

正本を1か所に決め、全項目を見られる人を名前で数える

保管で決めるのは、置き場所と見られる人の2つです。置き場所だけ決めても、見られる人が増え続ければ複製も増えます。合成例では、正本の置き場所を1か所、全項目を見られる人を2人に固定します。

置き場所の分け方は、次の3つです。

• 正本の表計算ファイルは、クラウドストレージの「顧客名簿」フォルダに1つだけ置きます。
• 紙の申込書は、事務室の鍵のかかる引き出しにまとめ、鍵の置き場所を2人だけが知っている状態にします。
• 作業に使うパソコンは、席を離れるときに画面をロックし、名簿ファイルを机上の保存先へコピーしません。

見られる人は、役職ではなく名前で数えます。合成例では、全項目を見られるのは代表と事務担当の2人です。受付を手伝う人には、氏名と申込コースだけを書いた当日用の名簿を渡し、電話番号とメールアドレスは入れません。

2人という数は、台帳に名前を書いて数えられる状態を指します。月に1回、共有相手の一覧を開き、台帳の名前と合っているかを見比べてください。合わない名前が増えていたら、その月のうちに外します。

安全管理の措置は、組織・人・物・技術の4つに割り振る

安全管理の措置は、組織的、人的、物理的、技術的の4区分で考えます。この4区分は、個人情報保護委員会のガイドライン（通則編）の整理に沿ったものです。並べてみると、どこかに偏っていないかが見えてきます。

表の右の列には、台帳のどの項目に書くかを入れています。措置を別の紙にまとめると探せなくなるため、置き場所は台帳の中です。

4区分に分けたあと、措置を足す前に一度見ます。偏りが見えるのは、技術的な措置だけが並んで、人的な措置が空のときです。渡す範囲を決めずに鍵を増やしても、手伝う人は全項目を見たままになります。

共有と持ち出しは、渡す項目と件数を決めてから動かす

共有と持ち出しで決めるのは、だれに渡すかの前に、何件のどの項目を渡すかです。範囲を決めずに名簿ごと渡せば、複製が1つ増えます。合成例で動かす前に決めるのは、次の3つです。

• 社内で見てもらうときは、ファイルを添付せず、正本のフォルダへ閲覧できる人を一時的に加えます。作業が終わった日に外します。
• 会場へ持って出るのは、氏名と申込コースだけの当日用の名簿です。持ち出した日、持ち出した人、戻した日を1行ずつ記録します。
• 同じ案内を複数の人へ送るときは、宛先欄にアドレスを並べません。1件ずつ送るか、配信サービスの一斉送信を使います。

誤送信が怖いのは、送ったあとに取り戻せないからです。合成例の配信は95件なので、宛先を並べて送れば1回で95人分が互いに見える状態になります。宛先を並べる形をやめて防げるのは、受信者同士のアドレスが互いに見える事故までです。別の名簿を添付する誤りや、送信先の設定違いでは、1通でも複数件が漏れます。送信前に、添付したファイルの中身と、選んだ送信先の範囲を別で確かめてください。

持ち出しの記録は、紛失に気づく仕組みにもなります。戻した日が空いたままの行が残れば、どこかに置き忘れた可能性が見えます。記録がなければ、いつから無いのかを後から特定できません。

委託先には必要な範囲だけを渡し、5つを取り決める

外部へ作業を頼むときは、名簿をそのまま渡しません。目的に必要な項目と件数だけを切り出して渡します。合成例では、案内メールの配信作業を外部の事務代行へ頼む形にします。

渡す範囲は、氏名とメールアドレスの2項目、配信を希望した95件だけです。電話番号と勤務先、申込書の原本は渡しません。渡す範囲は台帳の7番に書き、相手にも同じ文を見せます。

取り決めは、契約書か書面で次の5つを残します。個人情報保護委員会のガイドラインに関するQ&Aでは、委託先と安全管理措置について合意し、取扱状況を把握する方法が示されています。

• 安全管理措置：渡したファイルをどこに置き、だれが見るのかを、相手側でも名前の数で決めてもらいます。
• 再委託：相手が別の会社へ回す場合は、事前に知らせてもらい、こちらが可否を決める形にします。
• 事故時の連絡：漏えいや誤送信に気づいた時点で、だれへ何時間以内に連絡するかを数字で決めます。
• 契約終了時の返却と削除：返すのか消すのかを先に選び、消した場合は結果を書面で知らせてもらう約束です。
• 取扱状況の確認：確認の方法と時期は、渡す情報の内容と量、起こり得るリスク、契約の内容に応じて決めます。合成例では年に1回とし、置き場所と見た人の範囲を書面で報告してもらう日を決めています。

5つのうち抜けやすいのは、再委託と契約終了時の扱いです。作業が終わったあとに相手の手元へ残った複製は、こちらの台帳から見えません。だから、返却か削除の結果を書面で受け取るところまでを取り決めに入れます。

相手が大きな会社でも、確認を省きません。頻度や方法は相手の体制や契約に合わせて決め、合成例では年に1回に置いています。決めた時期に置き場所と見た人の範囲を書面でもらい、台帳の7番の横に受け取った日を書き足します。確認した日が空のままなら、委託の管理は動いていません。

保存期限と廃棄は、紙・ファイル・配信サービスで別に書く

保存期限は、置き場所ごとに別で決めます。同じ名簿でも、紙と表計算ファイルと配信サービスでは終わり方が違います。法令で保存期間が決まっている書類はその期間に合わせ、決まっていないものは利用目的が終わる時点が基準です。

合成例の保存期限と廃棄の方法は、次の4つです。

• 表計算ファイルの正本は、最後の申込日から3年で行を消します。3年という長さは合成例の決め方で、法令で決まった期間ではありません。
• 紙の申込書は、表計算ファイルへ入力した内容を照合した翌月末までで、そのあとは裁断します。
• メールの添付2通は、期限を待たず4月10日までに消します。目的が終わっている複製です。
• 配信サービスの宛先は、配信停止の連絡を受けた日から7日以内に配信用の一覧から外します。単純に消すだけだと、配信停止済みという事実も消え、別の名簿から登録し直す危険が残ります。再配信を防ぐため、メールアドレスと申し出のあった日だけを配信停止記録として、閲覧を限った別の場所に残します。残す期間は事業者が自分で決める部分で、合成例では正本と同じ3年にしています。

廃棄は、方法まで書くと止まりません。紙は裁断してから捨て、袋のままごみに出しません。表計算ファイルは行を消したあと、削除済みの置き場所からも消します。決めた期間が過ぎたら、別に残した配信停止記録も同じように消してください。

消したつもりでも、バックアップには残ります。バックアップの保存期間が過ぎるまでは、同じ内容が別の場所にある前提で数えてください。台帳を整えたあとの備えとして、消失や破損から戻す設計は最低限のバックアップ設計で別に扱っています。

取扱い台帳の記入済み例と、別の情報へ差し替えるひな形

台帳は11項目で足ります。ここまでに決めたことを、同じ順で1枚に並べる形です。まず、合成例を全部埋めた1枚を置きます。

完成した1枚は、だれが見ても同じ答えになります。どの情報を、だれがどこで扱い、何かあったときだれへ連絡するか。この3つが1枚で答えられる形です。

次は、別の情報へ差し替えるひな形です。角かっこの中だけを入れ替えて使います。

差し替えるのは、角かっこの中だけです。項目の番号と並びは変えません。1枚に2種類の情報を詰め込まず、従業員の情報や取引先の担当者の情報は別の1枚にします。

このひな形が合うのは、自分の事業で集めた情報で、だれが見るかを自分で決められる場合です。他社から預かって処理している情報は、相手との取り決めが先に来ます。その場合は、取り決めの内容を2番と7番に写してから残りを埋めてください。

漏えい等に気づいたら、拡大を止めて事実を書き留める

気づいた直後にやるのは、報告が必要かどうかの判断ではありません。拡大を止めることと、事実を書き留めることです。判断の材料は、記録がなければそろいません。

動く順番は、次の4つです。

• 拡大を止めます。誤送信なら同じ方法での送信をやめ、共有の設定が開いていれば閉じ、紙なら持ち出しを止めます。
• 事実を記録します。まずは気づいた時刻と、分かっていることだけでも書き出してください。
• 責任者へ連絡します。台帳の11番に書いた相手へ、気づいた当日のうちに伝えます。
• 報告と本人への通知が必要かを確かめる段です。個人情報保護委員会の公開情報で、報告の対象になり得る事態と本人通知の考え方を確かめてください。

記録は、6つに分けます。合成例では、4月14日15時20分に事務担当が誤送信に気づいた形で書きます。

• 気づいた日時と気づいた人：4月14日15時20分、事務担当。送信は15時05分です。
• 何が起きたか：案内メールの宛先欄に、95人のメールアドレスを並べて一斉送信した誤りです。
• どの情報が何件か：メールアドレス95件。氏名、電話番号、勤務先は含みません。
• 相手はだれか：受信した95人。1人がほかの94件を見られる状態です。
• すでに取った措置：15時30分に同じ方法での送信を止め、15時45分に受信者へおわびと削除の依頼を1通ずつ送っています。
• まだ分かっていないこと：受信者が転送したかどうか、ほかに同じ送り方をしたメールがあるか。

ここで大事なのは、消さないことです。送信済みのメールや共有の記録を消すと、だれに何が渡ったのかを確かめられなくなります。自分の判断で「大したことではない」と片づけず、台帳の11番の相手へ必ず上げてください。

報告や本人への通知が必要になる事態と手続きは、法令で定められています。件数や情報の種類だけで決まるものではないため、合成例のこの件が報告の対象かどうかは、ここでは決めません。個人情報保護委員会の公開情報で最新の内容を確かめ、迷う場合は専門家へ相談してください。

連絡先と報告先は、事故が起きる前に調べておきます。個人情報保護委員会は、漏えい等が起きたときの対応と報告先をまとめた資料を公開しています。台帳の11番に社内の連絡先と確認先を並べて書いておけば、探す時間が要りません。

台帳が埋まったかを確かめる7項目

完了は、気持ちではなく台帳で判定します。次の7つに空欄と「検討中」が残っていなければ、1枚として使える状態です。

• 1番から11番まで、空欄が残っていません。
• 棚卸しで出た4か所すべてに、正本か複製かと、次にすることが入っています。
• 正本は1か所だけで、全項目を見られる人の名前が書いてあり、人数を数えられます。
• 3番の必要項目に、2番の利用目的へ当てられない項目が残っていません。
• 7番の渡す項目と件数は、実際に渡しているものと同じです。
• 9番と10番に、紙、表計算ファイル、配信サービスの3つの扱いが別々に入っています。配信停止記録を別に残す場合は、置き場所と残す期間も書いてあります。
• 11番の連絡先は1つに決まっていて、連絡する人も台帳の置き場所を知っている状態です。

7つが埋まると、だれが見ても同じ答えが返る1枚になります。ここで得られるのは、漏えいが起きないという保証ではありません。どこに何があり、だれが見て、何かあったときだれへ連絡するかを即答できる状態です。

手が止まったときの戻し方

途中で止まる場所は、だいたい決まっています。詰まりごとに、起きていることと戻し方を並べます。

止まったときに戻る場所は、いつも台帳です。台帳の何番が空いているかを見て、その番だけを埋めます。全部をやり直す必要はありません。

最初の一歩は、名簿を1つ選ぶところから

個人情報の管理は、対策の数ではなく1枚の台帳で形になります。11項目が埋まれば、どこに何があり、だれが見て、何かあったときだれへ連絡するかを即答できます。怖さが薄れるのは、範囲が決まったときです。

今日やるなら、名簿を1つ選んで置き場所を数えるところまでで足ります。合成例の置き場所は4か所ですが、2か所だけの場合もあります。数え終わったら、正本を1つ決めてください。

対策を全部そろえてから始める必要はありません。1枚の台帳に、今わかっていることだけを書き入れてください。空いた番号が、次に決めることの一覧になります。