個人情報保護法が改正され、すべての事業者に適応されるようになりました。個人情報保護法は罰則規定のある厳しい法律です。気づかないうちに違反していた、もしくは個人情報が知らないうちに漏えいしていたとならないようしっかりとした管理が必要です。
前回の記事では、個人情報を守る５つのポイントとして
①「もれなく・だぶりなく」リストアップ
②目的をはっきりさせることで意味のない個人情報の保有をしない
③目的外利用をしっかりと禁止することで漏えいルートを遮断
④安全管理で物理的な漏えいを遮断
⑤オプトアウトをしっかりと
がありました。また①「もれなく・だぶりなく」リストアップでは、「名刺」も個人情報です。会社内の個人情報を全ての部署にヒアリングを行いしっかりとリスト化しましょう。という説明までさせていただきました。
今回は②目的をはっきりさせることで意味のない個人情報の保有をしないを書いていきます。
②目的をはっきりさせることで意味のない個人情報の保有をしない
会社にとって個人情報を保有するとことは「リスク」です。リスクとは、ISO31000によると
目的に対する不確かさの影響
注記 1 影響とは，期待されていることから，好ましい方向及び／又は好ましくない方向にかい（乖）離することをいう。
注記 2 目的は，例えば，財務，安全衛生，環境に関する到達目標など，異なった側面があり，戦略，組織全体，プロジェクト，製品，プロセスなど，異なったレベルで設定されることがある。
注記 3 リスクは，起こり得る事象（2.17），結果（2.18）又はこれらの組合せについて述べることによって，その特徴を記述することが多い。
注記 4 リスクは，ある事象（周辺状況の変化を含む。）の結果とその発生の起こりやすさ（2.19）との組合せとして表現されることが多い。
注記 5 不確かさとは，事象，その結果又はその起こりやすさに関する，情報，理解又は知識が，たとえ部分的にでも欠落している状態をいう。
と定義されています。ちょっとわかりにくいですね。皆さんのイメージされるとリスクとは、「危険」とか「やっかいごと」のようなイメージがあるのではないでしょうか。しかしＩＳＯが定義するリスクとは、期待されていることから「好ましい方向」と「好ましくない方向」に突き出ることを言っています。
よく例えられるのは「雨」です。明日登山をしたい！とする目的があるとします。でも天気予報では「雨」と出ています。ここでリスクとは「雨」降るかもしれないから登山が中止になるかもしれない好ましくない方向と、「雨」が降るかもしれないからいつもの登山とは違う景色が楽しめるかもしれないという好ましくない方向が影響してきます。これをひっくるめてリスクと定義されています。
最初に会社が個人情報を保有することはリスクだとしました。会社が個人情報を保有することで、漏えいやき損などの好ましくない方向もあります。しかし総務や人事の活動がスムーズになる、保有する個人情報をうまく活用することで売上アップにつながるといった好ましい方向もあります。「リスク＝悪」ととらえることは早計できちんとリスクを分析することが必要です。
では①で行った個人情報のリストアップの結果を見てみましょう。大体の会社は大きく「人事情報（履歴書、給与関連、居住、マイナンバーなど）」、「名刺（顧客と仕入先）」、「顧客情報（発送先や社長名、個人名）」などではないでしょうか。もちろん業種によって様々ですのでこれだけとは限りません。
その中で、会社のオリジナルのフォームに記載された使用目的がない項目をチェックしてみましょう。例えば人事情報などの「本籍」、サイトなどで資料をダウンロードするためにメールアドレス以外の情報など、後から必要になるかもしれないという情報は削除、もしくは入力フォームの削除をします。必要な目的が出たタイミングで、目的を説明して情報を本人同意のもと収集します。今までのフォームにあったから、既成のフォームにあったからという理由は目的になりません。
この無目的かつなんとなく集めていた個人情報を削除することは、リスクを管理する上でとても重要です。好ましくない方向が発生した際の影響が非常に小さくなるからです。
個人情報のリストの横に「目的」という項目を追加するとより明確になります。
