企業の個人情報保護法への取組と事例:2018年版(2)イントロダクション個人情報保護法への取組と事例をテーマにしたお話しの2回目になります。前回は個人情報保護の経緯と背景として、2003年の個人情報保護法の成立に至るまでの情勢と個人情報が狙われる背景の話をしてきました。今回は個人情報保護の取組に入るにあたって、最も根本的な部分である「個人情報」とは何か、をお話ししていきたいと思います。個人情報保護と一口に言いますが、そもそも何が個人情報なのかを明確に定義付けせずに保護を語ることはできません。「だいたいこういうもの」ということはわかっていても、どこまでが対象なのかがわかっていないと明確な対策は行えません。発表している「個人情報の保護に関する法律についてのガイドライン(通則編)」に基づいて、できるだけ平素な言葉と具体例に置き換えながら、法律が定義している「個人情報」について解説していきたいと思います。個人情報保護法は法律なので、表現している言葉も難しいし概念的な表現なので理解するのが難しいです。いう資格が存在するくらいですから、本格的に全部を理解しようとするとかなりの勉強量が必要になります。それをあまり簡単すぎる説明にすると言葉足らずになるので、多少まどろっこしいかもしれませんが、なるべく詳細までお話ししていこうと思いますので、お付き合い願います。個人情報とは個人情報保護法が定義している「個人情報」は以下の2つです。・公にされてる個人を特定することができる情報(官報、電話帳、SNS等)意外と思われるかもしれませんが、公にされている情報も「個人情報」です。この後幾つもの言葉が出てきますが、「個人情報」全てが厳密な管理や罰則の対象となるわけではありません。「個人を特定することのできるもの」が全て個人情報である、ということです。留意点として、死亡している人の情報は遺族等生存する個人に関する情報である場合は、生存する個人の情報に含まれます。法人その他団体の情報は個人情報には含まれませんが、役員や従業員の情報は個人情報に含まれます。「個人」は日本国籍の人だけでなく、外国籍の人も含まれます。(2)の具体的な例を列挙すると以下のようなものになります。ついては平成29年施行の改正から追加された項目です。生体認証が普及し生体情報が個人を特定するものになったことが反映されています。マイナンバーなど個人を特定できる公的な番号も「個人情報」として定義されることになりました。呼び、これも平成29年施行の改正で加わった項目です。オプトアウトについては別途詳細を説明しますが、簡単に言うと「この情報は第三者提供しますよ」と明示して、個人情報委員会に届け出た場合、個人情報を本人の同意無しに第三者に提供できる仕組みのことです。個人を識別することができないように個人情報を加工して、個人情報を復元することができないようにしたものを「匿名加工情報」と呼びます。ビッグデータへの個人情報の利用を想定して、匿名化した場合の取り扱いを通常の個人情報と分けることを目的に設定されている項目です。個人情報データベースと個人データ、保有個人データ個人情報を単純に所持しているだけという状態と、明確な目的を持って整備・保管する場合でその呼び名が変わってきます。)で検索しやすいように索引が付けられたり、コンピューターでの検索が可能なように整備された個人情報を含むデータを「個人情報データベース」と呼びます。個人情報データベースには以下のようなものが該当します。・顧客情報を紙のカードに記載して、インデックスを付けてファイリングしているものデジタルなデータだけではなく、紙データも検索のために整備されているものはデータベースとして取り扱います。不特定多数の人が購入可能で、且つ法令に違反していないものは個人情報データベースには該当しません。ハローページなどの電話帳や住宅地図、官公庁の職員録など書店などで購入できるものは、検索しやすいように整備されていたとしても個人情報データベースに該当しません。切り分けられるポイントは「個人の権利や利益を損なう恐れが少ない」ことです。そもそも一般に流通しているものなので、誰かが杜撰な保管方法をして内容を漏えいさせたとしても、漏えい自体が原因で危険に晒されるものではありません。元の情報と異なる目的で後から別の情報を独自に付け加えた場合、それは個人情報データベースと呼べるものになる可能性があります。個人情報データベースの要素である個人情報が「個人データ」です。個人情報データベースから出力されたものは個人データに含まれるため、以下のものも個人データになります。逆に「個人情報データベース」に現時点で含まれていないものは「個人データ」になりません。具体的には個人情報データベースにこれから入力する、紙帳票などに記載された個人情報などがこれにあたります。整備、整理されていない個人情報は、法律上「個人データ」とは呼びません。提供の停止に応じることができる個人データを「保有個人データ」と呼びます。別項でお話ししますが、個人データは本人の開示等の請求にこたえる必要があります。これらを行わなければいけない「保有していることを公表できる個人データ」=保有個人データなのです。「公表できる個人データ」があるということは「公表できない個人データ」もあります。具体的には以下のような個人データです。・本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。被害者の支援団体が保有している、加害者及び被害者の個人データ・違法又は不当な行為を助長し、又は誘発するおそれがあるもの。...例1:暴力団等の反社会的勢力による不当要求の被害等を防止するために保有している反社会勢力に該当する人物の個人データ...例2:不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している当該行為を行った人物の個人データ・国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。...例:要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ・犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。...例:警察からの捜査関係照会等で初めて取得した個人データ尚、保有期間が6ヶ月以内で個人データを消去する場合は、保有個人データにはなりません。スポンサーリンク取扱や罰則に違い=管理レベルを分けられるここまでの説明を図にすると以下のような感じです。整理せずに個別の形で保持している「個人情報」と、整理された「個人情報データベース」の形で保持している「個人データ」では法律上の取り扱いが変わってきます。ある場合なども対応が異なります。「個人情報」を保護しなければいけないのは確かなのですが、その内容や保有形態によって管理レベルなどを変える必要がある、もしくは変える余地があるのです。全ての個人情報をオフラインで施錠されたセキュリティゾーンでしか使用・閲覧ができないガチガチの管理ができれば安全かもしれませんが、それでは実業務に支障をきたすこともあります。逆にそれくらいしなければいけない情報もあります。全てを一緒くたに管理にしないことで管理の手間は係るかもしれませんが、レベル毎に適正な管理ができていれば個人情報を活用することもできます。個人情報保護法は何でもかんでも駄目というために存在しているわけではなく、正しい手順で個人情報を利用するためのガイドラインでもあります。ページ「情シスHack」で紹介した個人情報保護関連の記事を纏めました。前のことですが、役員から電話がかかってきました。「怪しいメールが届いた。「ファイル転送サービス」というものの存在は情シスになってはじめて知りました。前回は標的型攻撃メールからビジネスメール詐欺の実例、標的型攻撃メール訓練の概要をお話しました。ビジネスメール詐欺の話は[...]GoogleWorkspace14日間無料おためしGoogleWorkspaceを14日間無料で試用できます。※Googleのサイトへ接続します。当サイトからGoogleWorkspaceをお申込みいただいた方へ、開始1年目の利用料が10%OFFになるクーポンを差し上げています。ひとり情シスという詰み一歩手前の状況から色々四苦八苦してなんとか形になってきたので、「自分のやったことをアウトプットした方が、世の中の情シスの人が同じことで困らなくて済むんじゃないか」と思い、このブログを立ち上げました。技術よりもサービス/マネジメント寄りの内容が多いかもしれません。WordPress.。