個人情報保護入門

受け取った名刺、スマホで撮った顧客リスト、回収したアンケート用紙——あなたは毎日、知らないうちに「他人の個人情報」を預かっています。でも、「どこからが個人情報で、何に気をつければいいか」を、その場で言葉にできるでしょうか。「これって個人情報なの？」「名簿、取引先に渡しちゃダメだったの？」と聞かれて、理由つきで答えられる人は意外と多くありません。漏らしたら何が起きるのか正直ピンとこない——そう感じていても大丈夫です。

ここで先に、いちばん大事なことを。個人情報保護は、専門知識ではありません。日常の取扱い判断です。よくある誤解は「個人情報保護＝パスワードやセキュリティ対策のこと」。実際の中心は、目の前のこの情報を「集めていいか・使っていいか・しまい方は・渡していいか」を見分けて適切に扱うことです。この講座は、その「取扱いの判断」に絞ります。

先に住み分けをはっきりさせておきます。パスワード管理や不審メールの見分け方など技術的な守り方は情報セキュリティ入門の講座へ、社内ルール・規程の全般はコンプライアンス基礎の講座へ、生成AIに個人情報を入力してよいかはAIリテラシー・セキュリティの講座へ。本講座は「この情報を、こう扱ってよいか」という判断だけを扱います。

読み終えたあなたは、次の3つができるようになります。

1. 身近な情報が「個人情報にあたるか」を、例で見分けられる
2. 集める・使う・しまう・渡すの各場面で気をつける点を、自分の言葉で説明できる
3. 漏えいに気づいたときの初動（止める・報告する）を、1つ挙げられる

この講座は最後まで、「顧客名簿・受け取った名刺を、集める→使う→しまう→社外に渡す」という、たった1つの日常場面だけで説明します。同じ場面を見分ける→守る→動くと一歩ずつ組み立てます。各章末には手を動かす演習も置いているので、自分の仕事に当てはめながら読み進めてください。

何が個人情報か（線引きを見分ける）

まずは、「これって個人情報なの？」というモヤモヤの正体をはっきりさせます。線引きが見分けられれば、その先の判断もぶれません。これが個人情報保護の基本の入口です。

個人情報とは「特定の個人を識別できる情報」

個人情報とは、ひとことで言えば、それを見れば誰か1人を特定できる情報です。氏名、電話番号やメールアドレスといった連絡先、顔写真などがこれにあたります。難しい法律の話に身構える必要はありません。「これは誰か1人を特定できる？」という日常の問いに置き換えてください。

たとえば、あなたが業務で預かる顧客名簿。そこに並んだ「氏名＋電話番号」のセットは、見れば誰のことか分かります。だから個人情報です。受け取った名刺も同じで、氏名・会社名・連絡先がそろえば、その人1人を特定できますから、個人情報として扱います。

（厳密には法律上「個人情報」「個人データ」といった区分がありますが、この講座では深入りせず、まとめて「個人情報」と呼びます。まずは「誰か1人を特定できるか」という見分け方を体に入れましょう。）

単体では分からなくても、組み合わせると個人情報になる

見落としやすいのが、単体では個人を特定できない情報でも、他の情報と組み合わさると個人情報になりうるという点です。

「会社名だけ」「部署名だけ」なら、それだけでは誰か1人までは絞り込めないかもしれません。ところが、その会社名・部署名が氏名や直通の連絡先と紐づいた瞬間に、特定の個人を指す情報に変わります。つまり、ばらばらの断片そのものより、何と結びついているかで判断が変わるのです。名刺が個人情報なのも、氏名・会社・連絡先がひとまとまりだからです。

迷ったら「これは誰か1人を特定できる？」と自問する

線引きに迷ったときの最初の一手はひとつだけ。「これは誰か1人を特定できる？」と自問することです。

特定できるなら個人情報として扱う。統計化されていて個人が見えないなら、個人情報ではない。判断軸をこの1問に絞ります。先ほどの顧客名簿で言えば、「氏名＋電話番号」は誰か1人が特定できるので個人情報（◯）。同じデータでも、個人が分からないように集計した「来店者数」という数字だけなら、誰のことか分かりませんから個人情報ではありません（×）。

ここで気をつけたいつまずきが両側にあります。ひとつは「会社名だけだから大丈夫」と思い込み、氏名とのセットを見落とす線引きの甘さ。もうひとつは、何でも過剰に個人情報扱いして業務が止まる線引きの過剰です。どちらも、「誰か1人を特定できる？」の1問に立ち戻れば、ちょうどいい線で判断できます。

これがこの講座の背骨の第一歩、見分けるです。次の章では、見分けたこの名簿を実際にどう扱うかへ進みます。

この章の確認（演習）

自分の身の回りにある情報を3つ挙げてください。たとえば「同僚の名刺」「集計済みのアンケート件数」「取引先担当者のメールアドレス」など、何でもかまいません。それぞれ「誰か1人を特定できるか」で、個人情報にあたるかを◯×で仕分けてみましょう。迷ったものは、なぜ迷ったかも一言メモしてください。

集める・使う・しまう・渡すの注意点

個人情報だと見分けられたら、次は扱い方です。この章では、冒頭の「名簿、取引先に渡しちゃダメだったの？」に判断軸で答えられるようになります。これが個人情報の取扱いの基本です。

個人情報の扱いは「集める・使う・しまう・渡す」の4場面で見る

個人情報の扱いは、「集める・使う・しまう・渡す」の4つの場面に分けて見ると見通しがよくなります。

• 集める——手元に入れるとき
• 使う——業務で利用するとき
• しまう——保管しておくとき
• 渡す——社外に出すとき

場面ごとに気をつける点が違います。全体の地図を先に持ったうえで1つずつ降りていきましょう。題材は前章と同じ、あなたが預かる顧客名簿です。

集める・使う＝目的を決めて、その範囲で使う

最初の2場面、集めると使うはワンセットで考えます。鍵は「目的」です。

集めるときは、何のために使うのか（利用目的）をはっきりさせ、必要な分だけ集めます。「とりあえず集めておく」は避けます。名簿で言えば、「キャンペーンの案内を送るために集める」と用途を決めてから手元に入れる、ということです。

使うときは、伝えた目的の範囲内で使うのが原則です。「キャンペーン案内のため」と決めて集めた名簿を、後から別の目的に流用しない。ここで気をつけたいのが、「社内だから自由に使っていい」という思い込み。たとえ同じ会社の別の部署でも、最初に決めた目的の範囲を超えて使うなら、原則として本人の同意が必要です。「社内だから無条件にOK」ではないのです。

しまう・渡す＝必要な人だけ／社外に出すときは同意・正当な理由

残りの2場面、しまうと渡すに進みます。

しまうは、必要な人だけが見られるようにし、不要になったら適切に処分します。名簿を机の上や誰でも開けるフォルダに置きっぱなしにしない、ということです。

渡すは、いちばん注意が要る場面です。社外（第三者）へ個人情報を出すときは、原則として本人の同意や正当な理由が必要です。取引先に名簿を渡す前に、「本人の同意はあるか」「最初に決めた目的の範囲か」を確認します。これが冒頭の「名簿、取引先に渡しちゃダメだったの？」への答え。ダメと決まっているのではなく、確認せずに渡すのが危ないのです。

なお、ここで扱うのは「渡してよいかの判断」まで。暗号化や安全な送信手段といった技術的な渡し方は情報セキュリティ入門の講座で扱います。

扱う前の3点チェック「目的は？ 範囲内？ 渡し先は大丈夫？」

4場面をひとつの手順に束ねます。個人情報を扱う前に、次の3つを自分に問いかけてください。

1. 目的は？——何のために扱うのか、はっきりしているか
2. 範囲内？——その目的の範囲に収まっているか
3. 渡し先は大丈夫？——社外に出すなら、同意・正当な理由を確認したか

4場面のどこにいても、この3点に立ち戻れば判断できます。目的外利用、「社内だから」と無条件に共有する、第三者提供を軽く見て取引先にそのまま渡す——よくあるつまずきは、どれもこの3点チェックを通せば手前で止まります。これが背骨の2歩目、守るです。

この章の確認（演習）

共通例の顧客名簿について、「集める・使う・しまう・渡す」の4場面それぞれで、「やってよいこと」と「やってはいけないこと」を1つずつ書き出してください。たとえば「渡す」なら、やってよいこと＝「同意と目的を確認してから渡す」、ダメなこと＝「確認せず取引先にメールで送る」のように1組ずつ言葉にしてみましょう。

漏れた・漏れそうなときの初動

どんなに気をつけても、ヒヤリとする場面はゼロにはなりません。だからこそ大事なのが、漏れた・漏れそうなときの「初動」です。ここが被害を小さく抑える分かれ目になります。

最悪手は「隠す・自分で何とかする」

個人情報の事故でいちばんやってはいけないこと。それは、隠すことと、自己判断で何とかしようとすることです。

「大ごとにしたくない」と黙ってしまう、自分だけでこっそり取り返そうとする——気持ちは分かりますが、これが被害をいちばん広げます。一人で抱え込むほど対応は後手に回ります。実は、一定の漏えいでは、会社（事業者）に、国（個人情報保護委員会）への報告や本人への連絡が法律で求められる場合があります。だからこそ、個人で抱え込まず、すぐ社内の窓口に上げることが、会社にとっても自分にとっても正しい動きなのです。

初動は「止める→報告する→指示に従う」の3ステップ

漏えいに気づいたときの基本の動きは3ステップです。

1. 止める——これ以上広げない。誤って送信したなら送信を止め、回収できるものは回収する。
2. 報告する——すぐに上司、または担当窓口へ報告する。
3. 指示に従う——あとは指示に従って動き、状況を記録する。

判断に迷ったら、その時点で報告してかまいません。「これは報告するほどのことかな」と迷う段階が、もう報告のタイミングです。記憶に残るひと言はこれだけ。「迷ったら、止めて、聞く。」

その後の調査や、国への報告といった手続きは会社が行います。社員一人ひとりの役割は、まず止めて、すぐ正しい窓口に報告するところまで集中すれば十分です。これが背骨の3歩目、動くです。

共通例で流れをたどってみましょう。顧客名簿を、誤った宛先にメールで送ってしまった（例）。このとき——(1)まず送信先に連絡して削除を依頼（止める）→(2)すぐ上長へ報告（報告する）→(3)指示に従って、何が起きたかを記録（指示に従う）。この順番です。

「自分の職場では誰に報告するか」を先に知っておく

いざというときに動けるかは、平時の準備で決まります。最後の一手は、こういうとき誰に報告するのか（上司か、担当窓口か）を、今のうちに確認しておくこと。連絡先が分かっていれば、迷わず報告できます。

なお、端末管理や不審メール対策といった技術的な再発防止は情報セキュリティ入門の講座で、社内の報告ルールや規程そのものはコンプライアンス基礎の講座で、生成AIに個人情報を入力してよいかはAIリテラシー・セキュリティの講座で、それぞれ詳しく学べます。

この章の確認（演習）

「宛先を間違えて顧客名簿を送ってしまった」と仮定してください。あなたが最初に取る行動を1つ書き出しましょう。書けたら、「止める→報告する→指示に従う」のどれにあたるかも添えてみてください。