個人情報の漏えいを防ぐためには、名前や住所、電話番号、メールアドレス、クレジットカード情報など、さまざまな情報のうち、どの情報が個人情報に該当するかを特定し、適切に管理することが重要です。
個人情報を特定するためには、情報の種類や量に応じた適切な手順が求められます。明確なルールと手順を設定することで、個人情報を漏れなく特定し、管理することが可能です。
本記事では、個人情報を特定する方法と特定が重要な理由を解説します。
1. 個人情報の特定とは
個人情報の特定とは、プライバシーマークの規格要求事項にある管理策のひとつです。
具体的には、氏名や住所、電話番号、メールアドレスなど、個人を特定できる情報を収集、それをどのように保管し、誰がアクセスできるかを明確にし、個人情報管理台帳で個人情報を管理します。
個人情報の特定は、企業がプライバシーマーク（Pマーク）を取得する際にも重要です。Pマークは、個人情報を適切に管理していることを示す証であり、企業の信頼性を高めます。
■ そもそも個人情報とは
個人情報とは、特定の個人を識別できる情報です。名前や住所、生年月日、電話番号、メールアドレスなどが含まれ、個人情報保護法に基づいて保護されています。インターネットの普及により、個人情報の取り扱いをより慎重に行うことが求められています。
個人情報を扱う企業においては、個人情報を収集する際、どの情報が個人情報に該当するのかを理解しておくことが重要です。
【関連記事】
■ 特定個人情報との違い
個人情報と特定個人情報の違いは、利用目的にあります。
特定個人情報は、個人情報の中でも特に重要な情報とされ、マイナンバー（社会保障・税番号）を含む個人情報です。特定個人情報は特定個人情報保護法によって定義されており、利用目的は「税・社会保障・災害対策」に限定されています。
一方、個人情報は個人情報保護法によって定義されており、利用目的に制限はありません。
■ 個人情報保護法における定義
個人情報は、個人情報保護法によって以下のように定義されています。
|
第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
|
個人情報保護法は、個人情報の取り扱いに関する基準を定め、個人の権利利益を保護するための法律です。個人の権利を守るための重要な法律であり、個人情報を扱う企業は定義や規制内容を理解しておく必要があります。
個人情報保護法が制定されたのは、情報化社会の進展に伴い個人情報が多くの企業や団体で収集・利用されるようになり、情報の流出や不正利用などから個人のプライバシーを守る必要性が高まったためです。個人情報保護法に基づき、事業者は個人情報を適切に取得し、利用目的を明確にし、本人の同意を得ることが求められます。さらに、情報の漏えいを防ぐための安全管理措置も義務付けられています。
2. 個人情報の特定が重要な理由
個人情報の特定が重要な理由は、企業の信頼性を高め、法令遵守を確実にするためです。個人情報保護法や関連する規制に従うことは、企業にとって避けられない責務となっています。情報漏えいや不正利用が発生した場合、信頼を失うだけでなく、法的なペナルティを受ける可能性があるため、個人情報を正確に特定し、適切に管理する必要があるわけです。
個人情報の特定は、個人情報をどのように収集・利用・保護するかを明確にするための第一歩です。企業は情報の取扱いに関する透明性を確保し、顧客や関係者からの信頼を得ることができます。また、個人情報の特定は、情報漏えいを未然に防ぐためのリスク管理にも直結しています。
■ Pマーク取得における個人情報の特定の役割
Pマーク（プライバシーマーク）取得において、個人情報の特定は非常に重要な役割を果たします。個人情報を適切に特定することで、企業は情報の漏えいリスクを最小限に抑えることが可能です。Pマークは企業が個人情報を適切に管理していることを証明するものであり、信頼性を高めるための重要な要素です。
JISQ15001:2006の要求事項においても「事業者は，自らの事業の用に供するすべての個人情報を特定するための手順を確立し，維持しなければならない。」と記載されており、「自らの事業の用に供する」目的で個人情報を扱う必要があることが分かります。
|
4.3.1 個人情報の特定 事業者は，自らの事業の用に供するすべての個人情報を特定するための手順を確立し，維持しなければならない。
|
個人情報の特定においては、情報の収集や利用、保管に関するフローを明確にすることが重要です。特定した個人情報を利用目的に応じて適切に管理することで、利用目的外の情報の使用を防ぎ、法令遵守を確保することができます
【関連記事】
プライバシーマークとは？制度の仕組みや取得するメリット、手順を解説
3. 個人情報の特定の具体的な手順
個人情報の特定では、業務フロー図を活用して情報の流れを可視化し、どのプロセスでどの情報が扱われるかを確認します。次に、ガイドラインを参考にしながら、特定すべき情報の基準を明確にします。最後に、個人情報管理台帳を作成し、特定した情報を整理・管理します。以下で詳しく解説していきます。
■ 業務フロー図の活用
業務フロー図を用いた個人情報の特定は、組織内の情報流れを視覚的に把握し、効率的に個人情報を特定する手法です。業務フロー図は業務の流れやプロセスを図式化したもので、情報がどのように収集され、どの段階で処理されるのかを明確に示します。業務フロー図を用いることで個人情報がどのプロセスで関与しているかを容易に確認でき、特定がスムーズに進めることができるわけです。
業務フロー図を作成する際には、業務の全体像を把握することが重要です。はじめに、情報の入力から出力までの流れを詳細に描き出します。次に、各プロセスでどのような情報が使用されているのかを洗い出し、それが個人情報に該当するかを確認します。
業務フロー図を活用することで個人情報の流れを視覚的に理解できるため、特定の精度が向上します。また、業務の効率化にも寄与し、無駄な情報収集や管理を排除することが可能です。
■ ガイドラインの活用
経済産業省が提供するガイドラインには、どのような情報が個人情報に該当するのか、具体的な事例とともに明示されています。ガイドラインを活用することで、個人情報の特定から管理まで一貫した対応が可能となり、法令遵守とセキュリティの両立を図ることが可能です。
ガイドラインには、個人情報の適切な管理方法も詳しく記載されています。情報の保管場所やアクセス権限の設定、情報漏えいを防ぐためのセキュリティ対策などを実践することで、個人情報の保護が強化されるでしょう。
【参考資料】
個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン「経済産業省」
■ 個人情報管理台帳の作成
個人情報管理台帳の作成は、個人情報の特定や管理において欠かせないプロセスです。個人情報管理台帳を適切に整備することで、情報の漏えいや誤用を防ぐだけでなく、業務効率の向上にも寄与します。
個人情報管理台帳を作成する際には、収集する情報の項目を明確に定義することが重要です。氏名や住所、電話番号、メールアドレスなど、どの情報が個人情報に該当するかをリストアップします。これにより、個人情報の特定が容易になり、どの情報をどのように管理するかを明確にすることが可能です。
次に、収集した個人情報がどの業務で使用されるのか、またどの部門が責任を持っているのかを台帳に記載します。情報の利用目的を明確にすることで、情報の誤用や不正利用のリスクを軽減できます。個人情報の保管場所やアクセス権限についても台帳に記載しておくと、情報への不正アクセスを防ぎ、必要な時に迅速に情報を取り出せます。
また、個人情報管理台帳は、法令の改正や業務内容の変更に応じて定期的に見直し、更新することが求められます。台帳の内容を定期的に見直すことで、常に適切な個人情報管理を維持できます。
4. 特定後の個人情報の整理と管理
個人情報を特定しても、整理や管理が不十分だと、情報流出やプライバシー侵害のリスクが高まり、企業の信用を損なう可能性があります。
個人情報を整理する際には、まず収集した個人情報の分類とリスク評価を行い、重要度に応じた管理体制を整えることが重要です。特定後に個人情報の整理と管理を行うことにより、情報の取扱いにおけるリスクを最小限に抑えることができます。具体的には、情報のアクセス権を制限する、定期的なセキュリティチェックを行うなどの対策が必要です。
■ 個人情報の整理
特定後の個人情報の整理とリスク評価は、個人情報を適切に管理するための基本的なステップです。個人情報がどのように取得され、どこで保管されているかを把握する必要があります。
具体的には、個人情報の分類を行い、どの個人情報が重要かを判断します。例えば、顧客の氏名や住所、電話番号などの情報は、漏えいした場合に大きなリスクを伴います。このようなリスクの高い個人情報をリスト化し、どのレベルの保護が必要かを評価することが重要です。
■ リスク評価
次に、リスク評価を行います。リスク評価では、個人情報が外部に漏れる可能性があるかを分析し、それに対する対策を講じます。具体的な対策としては、アクセス権限の制限やデータの暗号化、定期的なセキュリティチェックの実施などが挙げられます。
最後に、これらの情報整理とリスク評価の結果を文書化し、定期的に見直すことで、常に最新の情報とリスクに対応できる体制を整えることが重要です。
定期的な監査と見直し
個人情報管理の体制を定期的にチェックし、必要に応じて改善を行うことで、常に最新のセキュリティ対策を維持できます。自社の管理体制が十分なのか不安に感じる場合は、外部の専門家による監査を利用するのも一つの方法です。
5. まとめ
今回は、個人情報を特定する方法と特定が重要な理由を解説しました。
企業がプライバシーマークを取得しようとする際、重要なのは個人情報の特定です。個人情報を適切に特定するプロセスを確立し維持することで、個人情報の漏えいや不正使用を防止し、個人情報をより確実に保護することできます。
アトミテックでは、委託先リスク管理の手順をまとめた委託先リスク管理ガイドを公開しています。ぜひ自社の委託先管理の参考になさってください。
