個人情報とは、生きている人についての、誰のことか分かる情報です。 氏名だけでなく、他の情報と簡単に照合することで本人が分かるものも含まれます。
個人情報は、日々の仕事のさまざまな場面で扱われています。ECサイトで受け付けた注文情報や、従業員の勤怠記録などもその一例です。
氏名や住所には注意していても、メールの本文や業務資料に含まれる情報は見落としてしまうことがあります。身近な例から、個人情報の範囲と管理の基本を確認しましょう。
1. ECや従業員管理で扱う個人情報
ECでは、注文や問い合わせにも個人情報が含まれる
ECサイトの運営では、例えば次のような情報を扱います。
- 購入者や配送先の氏名・住所・電話番号
- 会員登録時のメールアドレス
- 顧客に結び付いた注文内容・購入履歴
- 問い合わせや返品・交換の対応履歴
個人情報は、会員情報の画面だけにあるわけではありません。注文データを出力したCSV、配送伝票、問い合わせメール、作業用の表計算ファイルなどにも含まれています。
例えば、売上分析のために出力したデータに、分析には不要な氏名や住所が残っていないでしょうか。配送先が購入者と異なる場合には、配送先の人の情報も扱っていることに注意が必要です。
従業員管理では、給与・勤怠・評価の情報にも注意する
従業員管理でも、さまざまな個人情報を扱います。
- 履歴書や職務経歴書に記載された情報
- 住所・電話番号・緊急連絡先
- 給与額や振込先の口座情報
- 出退勤・休暇・人事評価の記録
- 健康診断の結果や休職に関する情報
従業員本人の情報に加え、扶養家族や緊急連絡先として登録された家族の情報を扱うこともあります。
個人情報には、連絡先だけでなく、本人に結び付いた行動・経歴・評価なども含まれます。 顧客情報だけでなく、社内で扱う情報にも目を向けましょう。個人情報保護委員会「ガイドライン（通則編）」
2. 見逃しがちな個人情報
氏名がなくても、本人が分かる情報
社員番号や会員番号だけを記載した資料でも、名簿や顧客情報と容易に照合して本人が分かる場合は、個人情報に当たります。
メールアドレスも同様です。アドレス自体から本人が分かる場合や、顧客名簿などと容易に照合できる場合には、個人情報になります。名前を削除しただけで、個人情報ではなくなるとは限りません。 個人情報保護委員会「ガイドラインに関するQ&A」
公開されている情報や、画像・音声
会社のウェブサイトに掲載された担当者名や役職、公開されたプロフィールも、個人情報に当たり得ます。「すでに公開されているから自由に使える」とは判断できません。
また、個人情報は文字だけではありません。本人を識別できる写真・防犯カメラ映像・通話録音なども対象です。個人情報保護委員会「ガイドライン（通則編）」
業務資料の中に残っている情報
実務では、次のような場所も見落としがちです。
- 画面のスクリーンショットに映り込んだ顧客名
- 転送メールの引用部分に残った連絡先
- 表計算ファイルの非表示シートにある名簿
- 文書のコメントや変更履歴に記載された個人情報
資料を共有する際は、表示されているページだけでなく、ファイル全体を確認しましょう。一斉メールでも、互いのアドレスを知らせる必要がない相手には、Bccや組織で承認された配信サービスを使い、宛先の露出を防ぎます。
3. 特に慎重な扱いが必要な「要配慮個人情報」
個人情報の中でも、不当な差別や偏見などの不利益が生じないよう、特に配慮が必要なものを「要配慮個人情報」といいます。
例えば、次のような情報が該当します。
- 病歴や健康診断の結果
- 障害があること
- 人種や信条
- 犯罪の経歴や、犯罪被害に遭った事実
要配慮個人情報の取得には、法令上の例外を除き、原則として事前に本人の同意が必要です。個人情報保護委員会「ガイドライン（通則編）」
従業員管理では、診断書や休職理由に関する連絡に、こうした情報が含まれることがあります。例えば、勤務調整のために休業期間の共有が必要でも、詳しい病名まで広く共有する必要があるとは限りません。業務上必要な情報と、共有する相手を慎重に見極めます。
4. 個人情報の定義と「個人データ」との違い
個人情報とは
冒頭では簡潔に説明しましたが、日本の個人情報保護法では、生存する個人に関する情報のうち、次のいずれかに該当するものを「個人情報」としています。
- 氏名などの記述から特定の個人を識別できるもの。他の情報と容易に照合して識別できる場合も含む
- マイナンバーや運転免許証番号など、法令で定める「個人識別符号」が含まれるもの
判断のポイントは、情報の項目名だけではなく、その情報を扱う状況で、誰のことか分かるかどうかです。個人情報保護委員会「個人情報と個人データの違い」
個人データとは
「個人データ」は、個人情報データベース等を構成する個人情報を指します。例えば、検索できるように整理された顧客管理システムや従業員名簿に含まれる、一人ひとりの情報です。
電子データに限らず、一定のルールで整理され、容易に検索できる紙の名簿なども対象になり得ます。「紙だから個人データではない」とは限りません。法律では、個人情報と個人データなどを区別して義務を定めています。個人情報保護委員会「個人情報と個人データの違い」
5. 個人情報はどのように管理すべきか
管理を考える際は、収集から廃棄までの流れに沿って確認すると、対策を具体化できます。
必要な情報だけを集め、目的に沿って使う
何のために使うのかを明確にし、利用目的を適切に本人へ伝えます。「いつか使うかもしれない」という理由で項目を増やさず、目的に必要な範囲を検討しましょう。
閲覧・編集できる人を限定する
顧客情報や従業員情報を、全員が閲覧できる共有フォルダーに置いていないか確認します。担当業務に応じて権限を設定し、異動や退職の際には見直します。
保存先と共有方法を決める
組織で承認された保存先を使い、作業用ファイルの放置や私用アカウントへの保存を避けます。社外へ送る際は、宛先・添付内容・共有リンクの権限を確認し、必要な情報だけを渡します。
例えば、日程調整に連絡先だけが必要なら、住所や購入履歴まで含む顧客名簿を送る必要はありません。画面を共有する際にも、他の顧客の情報が映り込んでいないか確認します。
保存期間を決め、不要になったら適切に処分する
法令上の保存義務や業務上の必要性を踏まえて保存期間を定めます。不要になった情報は、電子ファイル、紙の資料、作業用のコピーも含めて、社内ルールに従い削除・廃棄します。
事故を想定し、報告手順を整える
誤送信や紛失に気づいたとき、誰に連絡するかを決めておきます。担当者だけで解決しようとせず、速やかに社内へ報告できる体制が必要です。漏えい等の内容によっては、個人情報保護委員会への報告や本人への通知が必要になります。個人情報保護委員会「ガイドライン（通則編）」
まずは、普段使っているメール、表計算ファイル、共有フォルダーを確認してみましょう。どの個人情報を、何のために、誰が扱っているのかを把握することから、管理の改善が始まります。
個人情報保護に関するリンク集
定義や取扱いに迷ったとき、社内の管理方法を見直すときには、個人情報保護委員会の公式情報を確認しましょう。
- 法令・ガイドライン等：個人情報保護法や関連する規則、ガイドラインを確認するための入口です。
- ガイドライン（通則編）：個人情報の定義、利用目的、安全管理措置、第三者提供など、取扱いの基本を確認できます。
- ガイドラインに関するQ&A：氏名やメールアドレスが個人情報に当たるかなど、具体的な疑問を調べられます。
- 漏えい等の対応とお役立ち資料：漏えい等が発生した場合の対応、報告対象や手続を確認できます。
- 個人情報保護法相談ダイヤル：個人情報保護制度に関する質問や、個人情報の取扱いに関する苦情の相談窓口です。相談できる内容や受付時間はリンク先で確認してください。