個人情報を扱うサービスで、法令の面で何に気をつけますか

法の基本

• 利用目的何のために使うかを決め、本人に知らせるか公表します。決めた目的の外で使いません
• 第三者に渡すほかの会社に渡すときは、原則として本人の同意を取ります。ただし、仕事を任せる先 (委託先) に、任せた仕事の範囲で渡す場合のように、同意が要らない場合もあります。外国にある相手に渡すときは、別の決まりがあります
• 漏えいの報告漏えいなどが起きたとき、または起きたおそれがあるとき、次のどれかに当たれば、個人情報保護委員会への報告と本人への通知が義務になります
  • 要配慮個人情報 (病歴など、扱いに特に気を配る情報) が含まれる
  • カード番号や、ID とパスワードの組のように、お金の被害のおそれがある
  • 不正アクセスやランサムウェアのように、不正の目的によるおそれがある
  • 1,000 人を超える本人の分が含まれる

報告は、まず速報を、その事態を知ってからおおむね 3〜5 日以内に、確報を 30 日以内 (不正の目的のおそれがあるときは 60 日以内) に出します。

技術の手当て

• 持つ量を減らす要らない項目は取らない、使い終えたら消す、の期間を決めます
• 暗号化通信と保存の両方で暗号化します
• 権限と記録個人情報を見られる人を役目で絞り (最小権限)、誰がいつ見たかを記録します
• 置き場所海外のクラウドに置くときは、どの国に置かれるか、外国の相手に渡すことに当たるかを確かめ、利用者への説明と合わせます

漏えいに備える

期限が短いので、起きてから考えるのでは間に合いません。誰に連絡し、何人分のどの項目が漏れたかを、記録から数えられるようにしておきます。自分が関わったサービスで、個人情報をどこに持ち、誰が見られたかを 1 つ説明できるようにしておくと、話が具体的になります。

トレードオフ

持つ量を減らすほど漏れたときの害は小さくなりますが、あとで分析や問い合わせに使えなくなることがあります。暗号化や記録も、手間と費用がかかります。どこまでやるかは、扱う情報の重さで決めます。カード番号のように特に重い物は、自分で持たずに決済の会社に任せる、という選び方もあります。