第1回では、もう使っていない個人データを消す話を扱いました。退会済みの顧客、終わった施策の応募者リスト、配信停止を申し出たアドレス——判断の手順まで決めて、顧客マスタから消したとします。それでも、同じ個人データが別の場所から出てくることがあります。
コピーは本体とつながっていません。マスタから1件消しても、検証環境に複製した本番データの中や、BIから落としてメールに添付したExcelの中では、その人の情報が生き続けます。そして報告と本人通知の対象を数えるときに入ってくるのは、消した側ではなく、漏えいした範囲に残っていたほうです。
本連載「漏えいに強いデータの持ち方」の第2回となる本記事で扱うのは、この写しが社内のどこにあるかを見つける手順です。第1回で本体の量を減らしても、別の場所に写しが残っていれば、そこから漏えいする余地は残ります。そして写しが漏えいすれば、そこに含まれる人が報告と本人通知の対象に入ります。
コピーは、悪意ではなく仕事の都合でできる
新しい画面の動作確認をするために、本番のデータを検証環境に持ってくる。BIで見た数字の内訳を確認するためにExcelに落とす。取引先との打ち合わせ用に該当する顧客だけを抽出する。どれも業務を前に進めるために必要だったものです。
ここを「勝手に持ち出すな」という話にすると、現場は止まるか、見えないところで続けるかのどちらかになります。実際に起きるのは後者です。だから本記事では、作らせない方法ではなく、作られたものをどう把握するかを扱います。
第1回で使った2つの質問——まだ使う予定があるか、法令などで保存期間が定められているか——は、写しにもそのまま使えます。ただし質問を向ける先が分からなければ、判断の対象にすらなりません。先に必要なのは、どこにあるかです。
個人情報保護委員会が名指ししている置き場所がひとつある
個人情報保護委員会（個人情報保護法に基づいて設置された機関で、漏えいが起きたときの報告先でもあります）の2026年10月7日の注意喚起の別紙には、技術的安全管理措置の手法の例示が並んでいます。そのうち「情報システムの使用に伴う漏えい等の防止」の項に、検証用データについての記載があります。
注意喚起 別紙の手法の例示（原文）
個人データを取り扱う情報システムの動作確認を行う際に、テストデータとして利用する個人データを必要最小限とする。例えば、テストデータとして個人データを利用することを禁止したり、動作確認に影響のない範囲で、個人データの一部を他のデータに置き換えるなどの方法が考えられる。
読み方として大事なのは、求められているのが「必要最小限とする」ことで、禁止と置き換えはそのための手段として例示されている点です。どちらを採るかは状況で選べますが、向きは決まっています。本番の個人データを動作確認にそのまま使わない側へ寄せていく、という方向です。いきなり全面禁止を求めているわけではありません。
もうひとつ、同じ別紙のアクセス制御の項には「担当者及び個人データを取り扱う情報システムの範囲を限定する」という記載があります。範囲を限定するには、その範囲がどこまでかを先に知っている必要があります。検証環境にある複製が範囲に入っていなければ、限定したことになりません。
コピーができる5つの経路
置き場所は会社ごとに違いますが、できる経路はおおむね次の5つに収まります。経路ごとに、止め方も見つけ方も変わります。
| 経路 | なぜできるのか | 最初にやること |
|---|---|---|
| 検証・開発環境への複製 | 本番と同じデータでないと再現しない不具合がある | 申請に削除予定日を書き、削除した日と確認した人まで残す |
| BI・Excelへの抽出 | 画面の数字の内訳を確かめる手段がExcelしかない | エクスポートできる人の一覧を出す |
| 共有フォルダ・個人PCへの保存 | 作業中のファイルを置く場所が決まっていない | 個人データを置いてよい場所を1か所に決める |
| 外部サービスへの取り込み | 名刺管理やMAツールに顧客情報を入れて使っている | 連携設定の一覧と、渡している項目を確認する |
| メール添付・受信箱 | 社外とのやり取りで送った控えがそのまま残る | 添付で送る運用をやめられる相手から順に切り替える |
5つに共通するのは、作る時点では誰も問題だと思っていないこと
共有フォルダやクラウドストレージ側の管理機能でどこまで追えるかには限界があります。ツールを入れれば分かるという話にならない理由はM365でデータ整備をする企業が直面する4つの壁で扱っています。
この図でいちばん効くのは真ん中の列です。多くの写しは、本体を更新しても自動では反映されません。連携の仕組みを作っている場合でも、更新と削除のどこまでが同期されるかは別に確認が要ります。反映されない写しは、個人データとしてのリスクを持ったまま、中身の正しさだけが失われていきます。個人情報保護法とデータ品質の関係で扱ったとおり、正確かつ最新の内容に保つことは利用目的の達成に必要な範囲内で求められるものなので、その写しを何に使っているかとあわせて確認してください。
社内を探すのではなく、出口を押さえる
全社のファイルを探しに行くと終わりません。代わりに、データが本体から外に出る経路のうち、システム側で管理されているものから押さえます。接続アカウントや権限の設定は一覧にできるため、少ない手数で範囲を絞り込めます。
- 本番データベースに接続できるアカウントの一覧（人とシステムの両方）
- BIツールでエクスポートができる権限を持つ人の一覧
- 外部サービスとの連携設定の一覧と、そこに渡している項目
- 検証環境を作る手順書に、本番データの複製が含まれているか
- 定期的に自動で出力されているファイル（夜間バッチの出力先を含む）
ここで拾えるのは、権限や設定で管理されている出口だけです。個人PCに置かれたファイルやメールの添付は、この一覧には出てきません。先にシステム側で分かる範囲を押さえ、そのうえで保存先を確認する順番にすると進みます。この一覧は専用のツールがなくても作れます。手順は分析のたびに「そのデータどこ？」と聞いて回る状態をなくすで扱っています。所在の一覧を作る目的が「分析を速くするため」から「漏えいしたときの範囲を知るため」に変わるだけで、作るものは同じです。
一度作って終わりにすると半年で実態と合わなくなります。棚卸しを続ける形にする方法は「この数字おかしい」で毎月終わる会議を、決める会議に変えるが参考になります。
見つけた写しは、3つに仕分ける
見つけたあとに全部を消そうとすると、業務が止まって反発が出ます。次の3つに分けると、消す対象はかなり絞られます。
- 本体を見れば足りるもの——写しを消して、本体を見る導線に切り替える
- 個人を識別できる情報が要らないもの——利用目的に照らして、氏名・連絡先・顧客番号などを削除するか別の値に置き換えて残す
- どちらでもないもの——持ち主と削除予定日を決めて、台帳に載せる
3つ目に入ったものを放置すると、半年後に同じ棚卸しをやり直すことになります。誰が判断するかを先に決めておく仕組みはデータオーナー制度の作り方で扱っています。
なお、検証用に本番データを使う場合の置き換えは、氏名を伏字にするだけでは足りないことがあります。顧客番号や電話番号が残っていれば、他の情報と突き合わせて個人にたどり着けるためです。置き換えたあとも個人にたどり着ける状態であれば、引き続き個人データとして扱う必要があります。どこまで置き換えるかは、AIに読ませるデータを選ぶときと同じ論点で、AI学習データの品質管理でも触れています。
増やさないために、出口を1つだけ狭くする
棚卸しをしても、翌月からまた増えていくのでは意味がありません。とはいえ全部の経路に申請を課すと、現場は回避する方法を探し始めます。効くのは、いちばん太い出口を1つだけ選んで、そこに記録を残す仕組みを置くことです。
- 本番データベースへの直接接続——接続できる人を減らし、誰がいつ何を取り出したかを残す
- 検証環境への複製——複製を作る手順に、削除予定日と、削除を確認した日を書く欄を足す
- BIのエクスポート——止めるのではなく、権限を持つ人を定期的に見直す
どれを選ぶかは、自社でいちばん量が出ている経路で決めます。3つとも同時にやろうとすると、どれも中途半端になります。1つ決めて、半年後に効果を見てから次を足すほうが続きます。
ここでも詰まるのは技術ではなく、誰が止めてよいと言えるのかです。第1回で書いた「消したあとに何か困ったら誰の責任になるのか」が決まっていない状態は、写しについても同じように起こります。
写しを減らすと、数字を揃える議論ができる状態になる
同じ指標なのに部署によって数字が違う、という状況の原因のひとつが写しです。それぞれが別のタイミングで落としたExcelを見ているため、合わないのが当たり前になります。どちらが正しいかを議論しても、両方とも「その時点では正しかった」ので決着しません。
社内データをAIに読ませる場合はさらに直接的です。同じ顧客の情報が複数のファイルに別の状態で入っていると、AIはどれが現在の姿かを判断できません。読ませる範囲を決める作業は、写しの棚卸しと同じ作業の上に乗っています（社内データをAIエージェントにつなぐ前に決めておく4つのこと）。
ただし、写しを減らしただけで数字が揃うわけではありません。集計の対象期間、売上の計上基準、指標の定義——ずれの原因はほかにもあります。それでも、部署ごとに別の写しを見ている状態が残っていると、定義を揃えても数字は合いません。写しを減らすのは、その議論ができる前提を作る作業です。守りの作業として予算を取りにくい場合は、こちらを先に出すほうが通りやすいことがあります。
よくある質問
検証環境の本番データは、匿名化すれば問題ないですか。
まず「匿名化」という言葉の意味を社内で揃えてください。日常語としての匿名化（氏名を伏せる）と、個人情報保護法が定める匿名加工情報は別のもので、後者には作成の基準や公表などの定めがあります。注意喚起の別紙が手法の例として挙げているのは「動作確認に影響のない範囲で、個人データの一部を他のデータに置き換える」ことです。どちらの意味で進めるのかを決め、法令上の定義に関わる判断は法務部門と確認してください。
BIから落としたExcelまで管理するのは現実的ではないのでは。
ファイルを1つずつ追うのは現実的ではありません。押さえるのはファイルではなく出口です。エクスポートできる権限を持つ人が何人いるかは一覧にできますし、多くの場合その数は想像より少ないことが分かります。まず人数を数えるところから始めると、次にやることが決まります。
写しを消すと、過去にさかのぼった分析ができなくなりませんか。
分析に必要なのは集計に使う項目（金額・数量・区分・日付）であることが多く、氏名や連絡先まで必要になる場面は限られます。個人を特定できる項目を落として履歴だけを残せば、分析を続けられる場合があります。ただしどこまで落とせば特定できなくなるかの判断は難しいため、残す項目を決める段階で法務部門と確認してください。
委託先や外部サービスに渡したデータは、この棚卸しに含めますか。
本記事で扱うのは自社の中にある写しです。外部に渡した分は、渡した項目の把握と契約の確認という別の手順になるため、本記事では扱いません。ただし外部サービスとの連携設定は自社側に残っているので、その一覧は本記事の棚卸しに含めてください。また、個人データの取り扱いを委託している場合は、委託先を監督する責任が委託元に残るため、契約の内容と相手側の安全管理措置もあわせて確認してください。渡した先での取り扱いは連載の次回で扱います。
まとめ
本体から1件消しても、写しは別の場所で生き続けます。写しは悪意ではなく業務上の必要から作られるため、作らせない運用だけでは止まりません。個人情報保護委員会は2026年10月7日の注意喚起の別紙で、動作確認に使うテストデータについて「必要最小限とする」ことを挙げ、その手段として、個人データを使わないことと、一部を別の値に置き換えることを例示しています。
探し方は、社内を探し回るのではなく出口を押さえることです。本番データベースに接続できるアカウント、エクスポート権限、外部サービスとの連携設定、検証環境を作る手順——いずれも一覧にできます。見つけた写しは、本体を見れば足りるもの、個人を特定できる項目が要らないもの、どちらでもないものの3つに仕分けます。そして写しが減れば、部署ごとに違っていた数字を、同じ土台の上で突き合わせられるようになります。