顧客情報を持つ会社に対象外はない｜漏洩対策を利用者任せにしない【編集部考察】

漏洩が起きたら、報告と顧客への説明は自社が担う

漏洩が起きたとき、報告と顧客への説明を担うのは漏洩を起こした企業です。この章では、漏洩時に報告が必要になる条件と、委託先に任せても自社の責任が残ることを見ていきます。

漏洩時の報告が必要になるのは、1,000人超の場合だけではない

個人情報保護法では、個人データについて次のいずれかが起きた、またはそのおそれがあるときに、下の表のいずれかに当たれば、個人情報保護委員会への報告と、本人への通知が必要です。2022年4月から義務になりました。

漏洩した顧客が1,000人以下でも、1から3に当たれば報告の対象です。報告の期限は、速報がおおむね3〜5日以内、確報が原則30日以内で、不正の目的のおそれがある場合の確報は60日以内とされています。

この期限を守るには、事故が起きてから調べ始めても間に合いません。つまり、どんな顧客情報が、どこにあるのかを平時から把握しておくことが前提になっているのです。

出典・参照：

• 個人情報保護委員会／漏えい等の対応とお役立ち資料
• 個人情報保護委員会／漏えい等報告・本人への通知の義務化について

委託先に任せても、自社の責任は消えない

配送、決済、クラウド、会員管理など、顧客情報を外部の事業者に預けて業務を任せる会社は多いでしょう。個人情報保護法は、個人データの取扱いを委託する場合、委託元に、適切な委託先を選び、安全管理措置を含む契約を結び、委託先の取扱状況を把握することを求めています。

漏洩事案等が報告の対象になる場合は、委託元と委託先の両方が個人データを取り扱っているため、双方が報告と本人通知の主体となるのが原則です。委託先から連絡を受けた後も、委託元である貴社には、報告や顧客への通知の義務が残る場面もあるのです。

顧客から見れば、情報を渡した相手は、委託先ではなく貴社です。委託先の事故でも、顧客への説明は貴社が担います。つまり、今現在貴社の顧客情報が、どの委託先に、どの範囲で渡っているかを知っておくことは、管理の出発点なのです。

出典・参照：

• 個人情報保護委員会／個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会／漏えい等の対応とお役立ち資料

最初の一歩は、顧客情報の「持ち物を知り、減らす」こと

漏洩対策は、自社が何を、どこに、なぜ持っているのかを知り、不要なものを減らすことから始められます。IPAと個人情報保護委員会の資料を土台に、最初に取り組むことを3つに整理します。

顧客情報の所在・項目・件数・目的・期限・委託先を一枚にする

何がどこにあるのか分からなければ、守る範囲も、漏洩したときの対象者も決められません。まず、顧客情報の持ち物を一枚の表にして考えてみましょう。

そのうえで、責任者を1人決め、顧客情報を使う部署やサービスの担当者に聞き取って埋めます。見直す時期も決めておくと安心です。

個人情報保護法には、利用する必要がなくなった個人データを遅滞なく消去するよう努める、という定めがあります。一覧ができたら、法令や契約上の保存義務、問い合わせへの対応、バックアップや委託先の保持条件を確かめたうえで、利用目的を終えた情報、重複しているデータ、使っていない項目を減らしていきます。

あわせて、退職や異動で不要になったアカウントを止め、アクセス権を業務上必要な人に絞る作業も欠かせません。

減らす取組みの実例が、タイムズカーの事案でした。同社では、本人確認書類の画像を、登録の確認後に即時削除する運用へ変更したと公表しました。保存先や複製、委託先を含めて確実に削除できれば、その情報が将来漏洩するリスクを減らせます。

出典・参照：

• 個人情報保護委員会／個人情報保護法ガイドライン（通則編）
• タイムズモビリティ／タイムズカー 個人情報流出に関するお知らせ（第5報）

基礎対策と自社診断で穴を確認する

一覧で持ち物が分かったら、基礎的な対策の穴を確認します。IPAの『中小企業の情報セキュリティ対策ガイドライン』は、できるところから始め、現状を知り、組織として持つ、という段階的な進め方を示しています。最初の入口が、次の『情報セキュリティ6か条』です。

現状は、IPAの『5分でできる！情報セキュリティ自社診断』で確認できます。弱い項目が分かれば、そこから手を付けられる点が利点なため、一度試してみてはいかがでしょう。

出典・参照：

• IPA／中小企業の情報セキュリティ対策ガイドライン
• IPA／SECURITY ACTION 一つ星／情報セキュリティ6か条
• IPA／5分でできる！情報セキュリティ自社診断

事故時の連絡先と手順を決める

最後に、事故が起きたときの動きを決めておきましょう。前章で見たとおり、報告の期限は短く、事故が起きてから決めたのでは間に合いません。まずは、次の項目を一枚の紙にまとめておくとよいでしょう。

また、事故が起きたときの動きは次の順に進めます。

判断に迷うときは、個人情報保護委員会の相談窓口（個人情報保護法相談ダイヤル）や専門家へ相談しましょう。

出典・参照：

• 個人情報保護委員会／漏えい等の対応とお役立ち資料

まとめ：利用者に備えを任せず、顧客情報の所在を知り、減らすことから自社の管理を始める

顧客情報を持つ会社は、漏洩対策を自社で担う立場にあり、その責任から外れる会社はありません。そして、その対策を利用者任せにすることはできないのです。

利用者の備えは、IPAの調査が示すように一様ではありません。利用者への注意喚起は、漏洩が起きた後の被害の拡大を防ぐ役割にとどまり、何を持ち、誰が触れ、どう守るかは、情報を預かった企業が決めることです。

顧客情報をデータで持つ会社は、大手でも中小企業でも、管理の当事者です。デジタルで持てる量と範囲が広がった分、責任の範囲も広がりました。また、ひとたび漏洩が起きれば、仮にデータ管理を委託先に任せていたとしても、報告と顧客への説明は貴社が担わなければならないのです。

漏洩が起きたとき、貴社は、どの情報が、どこから、何人分出たのかを、数日のうちに説明できるでしょうか。個人情報保護委員会への報告は、速報でおおむね3〜5日以内と、期限が短く設けられています。それでも、緊急時の体制や対応手順を準備している中小企業は、一部実施を含めても約4割にとどまります。

平時の管理が、事故のときの説明にそのまま使えるとは限りません。事故が起きたときに動ける状態にして、はじめて備えといえます。その最初の一歩は、次の3つです。

貴社の顧客情報は、いま、どこに何件あるでしょうか。まずは一枚の表に書き出すところから始めてみてはいかがでしょうか。