個人情報の洗出しとリスク分析について

 個人情報保護法やプライバシーマーク制度のもとで、個人情報を保護する仕組みを構築するにあたっては、先ず、保護の対象となる個人情報を洗い出し、その取扱い状況が把握できる一覧性のある台帳などにそれを整理し登録することが必要です。
 次に、それらの個人情報が業務上のいろいろな取扱い場面において遭遇するリスクを認識・分析し、想定されるリスクを防止する措置を講じ、それを実施することです。
 以下に、個人情報保護のスタートライン”である「個人情報の洗出しとリスク分析」及びそれらに係わるプロセスについて概説します。


 1.個人情報の洗出し
 企業などの組織活動において取り扱われている個人情報を具体的に把握することは、個人情報を適正に管理し、有効に活用し、適切に保護してゆくためには、欠くことのできない重要な事項です。
 組織が保有している様々な;情報資産の中に、どのような個人情報が含まれているかについて、通常は、個人情報を取り扱うそれぞれの職場の業務を切り口として、業務単位ごとに個人情報を識別・抽出し、それらがどのように取り扱われ、現状での取扱い上の管理がどのようになされているかを「個人情報洗出し台帳」に一覧化することにより「個人情報の洗出し」が実施されます。

 2.個人情報の特定
 このようにして「個人情報洗出し台帳」に記載された各種の個人情報の取扱い状況の内容は、あくまでも現時点におけるその組織での個人情報の管理状況を如実に映し出したものに過ぎません。
 個人情報を有効に活用し、より適正に管理し、より適切に保護してゆくためには、洗い出された個人情報それぞれについて、今後の適正管理のベース”とするルールを個々に付与し、それを確実に遵守してゆくことが必要です。
 そのためには、洗い出された各種の個人情報を整理し、個々の取扱い管理内容を点検して、各種の個人情報それぞれに対して、
 今後導入すべき適正管理のためのベースを策定し、「個人情報管理台帳」にそれを明記し登録することによって、組織が保有し、利用し得る個人情報を特定します。
 このように、個人情報の特定とは、組織が取り扱う個人情報を適切に保護するために、管理の対象となる個人情報について、主要な取扱い管理の方法を一つ一つ決めて、「個人情報管理台帳」に登録することをいいます。
 なお、「個人情報管理台帳」に特定された個人情報については、その取扱いに変化(変更または廃止)があった場合は、変化があった事項を「個人情報管理台帳」に反映・修正します。また、「個人情報管理台帳」に登録されていない新種の個人情報が発生した場合は、新規に「個人情報管理台帳」にそれを追加・登録し、個人情報管理台帳を常に最新の状態に維持します。

 3.個人情報の取扱いフロー
 企業などの組織活動において取り扱われる個人情報の発生の源泉について考察してみると、個人情報は何らかの目的で取得するという行為によって初めて、その組織においてそれが発生することになります。そして、取得した個人情報はある特定の目的で入手されたわけでありますから、次には、利用されるということが普通です。目的によっては、利用されることは組織内においてばかりではありません。時には、ある特定の業務を組織を超えた外部のものに実施・処理してもらうために必要な個人情報を提供したり、取扱いを委託するということもあります。
 組織内で当面利用しないときは、保管という状態におきます。そして、利用目的の達成が完了した個人情報は、最後には廃棄されることになります。
 個人情報は発生から始まり終局は消滅するまでの大きな流れとして、取得、利用、保管、廃棄というライフサイクルの形態をたどります。なお、個人情報の取扱いのフロー又はライフサイクルを様々な局面を捉えて、より細かく記述すると、取得、入力、移送、送信、利用、加工、提供、委託、回収、保管、バックアップ、消去、廃棄という局面をもって、取り扱われる場合があります。

 4.個人情報の取扱いの分類
 個人情報は、前述したような取扱いのそれぞれの局面で、さまざまなリスクに遭遇することが予測されます。企業などの組織が情 報主体としての本人から預かった個人情報を責任もって大切に保護管理するためには、取扱いの各局面に対するリスクを防止すべく具体的な保護策を策定し、それを実行しなければなりません。
 どんな保護策が適切であるかを決めるためには、個人情報のライフサイクルの各局面でどんなリスクが生じ得るかを推考し、想定できるリスクを洗い出す必要があります。
 実際にリスクの洗出し作業を進める前に、「個人情報管理台帳」に特定した個人情報のそれぞれについて、個人情報を記録した 媒体(紙、電子データなど)別に分類し、さらに同じ媒体に収納されている個人情報でもその取扱いの態様が同じものは同一グループ、異なるものは別グループとして分類します。


 5.個人情報のリスクの洗出し
 個人情報のリスクの洗出しは、分類したグループ単位で実施します。即ち、個人情報を記録した媒体別に分けられた取扱い態様 が同じ個人情報ごとに、取扱いプロセスの各局面(取得から入力、移送、送信、利用、加工、提供、委託、回収、保管、バックアップ、消去および廃棄に至るまで)において、どんな種類のリスク(個人情報の漏洩、滅失、または毀損、関連する法令、国が定める 指針その他の規範に対する違反、想定される経済的な不利益、社会的な信用の失墜、本人が被る権利利益の侵害の恐れなど)に遭遇するかを推考します。そして、リスク分析用に用意された「リスク認識表」の様式の中の「リスクの種類」欄の該当する種類項目にチェックするとともに、そのリスクの具体例をその様式の「想定リスク」欄に記述し、できるだけ漏れなくリスクの洗出しを 実施します。

 6.個人情報のリスクの分析と対策
 次に、洗い出された想定リスクに対して、もしも、それに適切な保護措置を講ぜず、適正な管理を実施しない場合に起こり得る影 響を認識(リスク認識)し、リスクの発生原因を分析し、その原因を除去するための方策を策定します。
 このようにして、リスクの原因を除去するために策定した「リスク対応措置」を「個人情報リスク認識表」の所定欄に記入し整理し ます。また、このような手順を踏んで策定した「リスク対応措置」が実際に講じられたとしても、現時点では経済的または技術的な 事由により対応できないためにリスクが除去できないか、または画一的に対応できないためにどうしても除去できない「残存リスク」 を「個人情報リスク認識表」の所定欄に具体的に明記します。

 7.個人情報のリスクマネジメント
 因みに、リスク分析によって策定されたリスク対策を実施し、維持し、かつ継続的に改善するために必要な留意事項を次に記述します。

 (1)個人情報保護管理者は、「個人情報リスク認識表」に記載した「リスク対応措置」を内部規程等に規定化し、全ての関係部門にそれを実行させるよう指導し、リスクの安全管理に努めること。
 (2)「リスク対応措置」は、JISの規格3.7.2に定める監査の際、内部監査チェック項目に盛り込み、その実施状況について定期的 に確認すること。
 (3)個人情報保護管理者は、「残存リスク」を明確にするとともに、常にそれを認識し、社員教育をはじめとする予防措置と不断の 管理を重ねる努力をすること。
 (4)個人情報保護管理者は、実施されたリスクなどの認識、分析および対策が適切かつ有効であるかについて、毎年、定期的に 見直しを行なうこと。また、技術の進展、環境の変化、個人情報の取扱い上の変更などによって、リスクが変動した場合は、必要 に応じた随時の見直しを行なうこと。
 (5)個人情報保護管理者は、取り扱う個人情報に関して、事実上のリスクが発生した場合または発生する恐れがある場合、直ちに事態を確認し、被害拡大の阻止および発生源の除去を行なうべく、臨機の適切な初動措置を講じること。
 (6)個人情報保護管理者は、事実上のリスクが発生したと確認した場合は、直ちにその旨を組織の代表者に報告し、その指示のもとに速やかに「個人情報事故発生対応」のためのできる限りの措置を実施すること。

以上 株式会社コンプライアンス・マネジメント チーフコンサルタント 宮澤 康徳