本連載では、第1回で使っていないデータを消し、第2回で社内の写しを見つけ、第3回で外部に渡した項目を把握する手順を扱ってきました。最終回となる本記事で扱うのは、それでも事故が起きたときの話です。
漏えい等が起きたとき、個人情報保護委員会（個人情報保護法に基づいて設置された機関で、漏えいが起きたときの報告先でもあります）への報告と本人への通知が必要になる場合があります。そのときに問われるのは「何件漏れたか」ではなく「何人分か」です。この2つは同じではありません。
報告の対象になるのは、漏えい等が発生した場合の対応に示されているとおり、要配慮個人情報が含まれる事態、不正に利用されることにより財産的被害が生じるおそれがある事態、不正の目的をもって行われたおそれがある事態、そして個人データに係る本人の数が1,000人を超える事態です。最後のひとつは件数ではなく、本人の数で数えます。
ここで見落としやすいのは、どの区分も「漏えい等が発生した場合」だけでなく「発生したおそれがある場合」を含んでいることです。本当に漏れたのかを調べ終わる前から、報告の対象になりうる状態が始まります。第3回で扱った、委託先から「漏えいのおそれがある」と連絡が来る場面もこれに当たります。調査の結論を待ってから人数を数え始めると、その分だけ後ろにずれます。
レコードは抽出できても、人数は出てこない
漏えいした範囲が分かれば、該当するレコードを抽出すること自体はできます。止まるのはその次です。同じ人が「山田太郎」「ヤマダタロウ」「山田 太郎」として3行に分かれていれば、3件なのか1人なのかが決まりません。
しかも、この作業を事故の当日に初めてやることになります。普段は「だいたい合っていればよい」で済んでいた重複が、このときだけは1件単位で意味を持ちます。名寄せの考え方と手順はデータ保護規制対応のための名寄せ・重複排除で扱っています。
本人への通知も同じ数字に乗ります。通知先は人であって行ではないため、重複が残ったままだと同じ人に何通も届くか、逆に届かない人が出ます。
報告には期限がある。問題は、自社が何日かかるか知らないこと
漏えい等の報告は段階に分かれていて、それぞれ提出の期限が定められています。個人情報保護委員会の公表資料では、速報が発覚日から3〜5日以内、確報が発覚日から30日以内、不正な目的で行われたおそれがある場合は発覚日から60日以内とされています。速報の時点では、すべてが判明していなくても、把握している内容で報告します。日数は制度の改正で変わりうるため、個人情報保護委員会の公表資料で、自社に当てはまる事態の区分とあわせて最新の内容を確認してください。
報告義務そのものの位置づけや、個人情報保護法が求める正確性の確保は個人情報保護法とデータ品質の関係で扱っています。本記事は、そのうち「対象が何人か」を出す部分だけに絞ります。
本記事でお伝えしたいのは、期限が何日かよりも、自社がそこに何日かかるかを誰も知らないという点です。期限は調べれば分かります。自社の所要時間は、測らない限り分かりません。
| 報告対象になる事態 | 判定に必要なもの | 平時に用意していないと詰まる点 |
|---|---|---|
| 要配慮個人情報が含まれる | どの項目が要配慮に当たるかの整理 | 項目の一覧はあっても、区分が付いていない |
| 財産的被害が生じるおそれ | クレジットカード番号などの保有場所 | 決済関連がどのシステムに残っているか分からない |
| 不正の目的をもって行われたおそれ | 侵入の経路と範囲の調査結果 | ログの保存期間が短く、さかのぼれない |
| 本人の数が1,000人を超える | 重複を除いた本人の数 | 名寄せをしていないため、人数が確定しない |
4つのうち3つは調査で分かる。4つ目だけは、平時のデータの状態で決まる
平時に測っておく数字は1つでよい
訓練や手順書を作る前に、1つだけ測ってください。「顧客マスタの全件について、あらかじめ決めた基準で重複を除いた本人の数を出すのに何時間かかるか」です。
- 抽出そのものにかかる時間（これは短いことが多い）
- 重複を判定する基準を決めるのにかかる時間（ここが長い）
- 判定の結果を人が確認するのにかかる時間（件数に比例して伸びる）
- 結果を外部に出せる形にまとめるのにかかる時間
2つ目が長いのは、技術の問題ではなく決めの問題だからです。氏名と住所が一致すれば同じ人とみなすのか、電話番号まで見るのか。平時に基準を決めていなければ、事故の日に関係部署を集めてこれを決めることになります。しきい値と突合ルールの決め方はマスタデータの突合ルールで扱っています。
測った結果が長すぎたとしても、すぐに縮める必要はありません。数字が出た時点で、縮めるかどうかを経営の判断に上げられるようになります。これは第1回で扱った「消す前に数える」と同じ考え方です。
ここで測るのは自社の所要時間であって、この数字がそのまま報告する本人の数になるわけではありません。実際の報告では、漏えいした範囲を調べたうえで、その範囲に含まれる人を数えます。対象も顧客マスタだけとは限らず、従業員の情報、問い合わせ履歴、注文履歴なども個人データです。測り方は同じなので、個人データを扱っている主要なシステムについて順に当ててみてください。
本人への通知には、人数が出たあとにもう一段ある
対象者の人数が出れば終わりではありません。本人への通知が必要な場合、その人たちに実際に届ける必要があります。ここで効いてくるのが連絡先の状態です。
何年も更新されていないメールアドレスは、送っても届きません。退会した顧客の連絡先を消していれば、そもそも通知できません。つまり第1回で消した分は通知の対象から外れ、残した分は連絡先が生きているかどうかが問われます。
- 最新の連絡先がどのシステムにあるか——複数あるなら、どれを正とするかを先に決めておく
- 同じ人に重複して送らないか——名寄せができていないと、1人に何通も届く
- 連絡先が欠けている、または古い人がどれだけいるか——人数と、その扱いをどうするか
3つ目については、本人への通知が困難な場合に、本人の権利利益を保護するために必要な、通知に代わる措置をとる扱いが認められています。個人情報保護委員会のガイドラインは、その例として事案の公表と、問合せ窓口を用意して連絡先を公表し、本人が自分のデータが対象になっているかを確認できるようにすることを挙げています。ただしこれは通知が困難なときの手段であって、連絡先を整えなくてよいという意味ではありません。本記事でお伝えしたいのは、どちらになるかの判断を事故の当日に初めて調べることにならないよう、連絡先が欠けている人や古くなっている人がおよそ何人いるかを平時に知っておく、という点です。
同じ準備が、BI・AI活用の精度をそのまま上げる
本人の数を出せる状態とは、同じ人が1人として数えられる状態のことです。これは漏えい時にだけ要るものではありません。顧客数、継続率、1人あたりの購入額——BIで見ている指標のほとんどが、同じ前提の上に立っています。
重複が残ったままだと、顧客数は実際より多く、1人あたりの購入額は実際より少なく出ます。どちらも経営の判断に使われる数字です。データが欠けているかどうかは完全性、同じ対象が重複していないかは一意性という別々の観点で測ります。ここで効いているのは後者です。
社内データをAIに読ませる場合も同じです。同じ人の情報が複数のレコードに分かれていると、AIがそれぞれを別の人の情報として拾ってくることがあります（社内データをAIエージェントにつなぐ前に決めておく4つのこと）。漏えいに備えた準備と、活用のための整備は、ここでは同じ作業になります。
よくある質問
報告の期限は何日ですか。
公表資料では、速報が発覚日から3〜5日以内、確報が発覚日から30日以内、不正な目的で行われたおそれがある場合は発覚日から60日以内とされています。速報の時点では、把握している内容で報告します。日数は制度の改正で変わりうるため、個人情報保護委員会の公表資料で、自社に当てはまる区分とあわせて最新の内容を確認してください。本記事で扱っているのは、期限の長さではなく、自社がそこに何日かかるかを平時に測っておくという準備のほうです。
本人の数が確定できない場合はどうなりますか。
確定を待って報告しないという選択にはなりません。分かっている範囲で報告し、判明した段階で追って報告する形になります。ただし、確定できない状態が長引くほど説明の負荷は増えます。平時に名寄せの基準を決めておくことが、この局面で効いてきます。具体的な手続きは個人情報保護委員会の公表資料で確認してください。
名寄せの精度はどこまで上げればよいですか。
法令で一律の精度が定められているわけではありません。重要なのは、どの情報を使い、どの基準で同じ人とみなしたかを説明できることです。基準を決めずに担当者の判断で寄せていると、同じデータから別の人数が出てしまい、報告した数字の根拠を示せなくなります。判断が難しいものを無理に寄せず、別に確認できる形で残しておくことも含めて、基準を文書にしておいてください。
中小規模の会社でも、ここまでの準備が要りますか。
個人情報取扱事業者に当たる場合、報告の対象になるかどうかの判断基準は、会社の規模では変わりません。一方で、保有している個人データが少なければ、本人の数を出すのにかかる時間も短くなります。本連載の第1回で扱ったとおり、持っている量を減らしておくことが、そのまま準備の軽さにつながります。まず測ってみて、短ければそれ以上やることはありません。
まとめ
漏えい等の報告で問われるのは、レコードの件数ではなく本人の数です。同じ人が複数の行に分かれたままだと、該当するレコードを抽出できても人数が確定しません。報告対象になる4つの事態は、いずれもまず漏えいした範囲を調べたうえで判断します。平時のデータの状態が効いてくるのはそのあとで、要配慮に当たる項目の区分、決済データの所在、重複を除いた本人の数——どれも事故の日に一から作れるものではありません。
準備としてまず測るのは1つです。顧客マスタ全件について、重複を除いた本人の数を出すのに何時間かかるか。長いのはたいてい抽出ではなく、同じ人とみなす基準を決める工程です。そしてこの準備は、顧客数や1人あたりの購入額といったBIの指標、AIに読ませたときの答えの正しさと、そのまま同じ土台の上に乗っています。連載を通してお伝えしたかったのは、漏えいへの備えが、データ活用の整備と別の作業ではないということです。