情報管理、社内情報漏洩、個人情報保護法とその対策

2024年5月27日2024年6月27日

情報管理は基本的な部分で総務の仕事です。情報漏洩対策は大企業などでは情報システム部などが担当するケースが多いと思いますが、中小企業では専門部署の設置は人的資源の問題で難しく総務が担当となっているケースが多いと思います。

これから数回情報管理について触れるつもりですが、どの情報がその会社にとって大切かは企業によって異なると思いますので、自分の企業に合う部分を抽出して読んでいただければありがたいです。

まずは個人情報保護の観点から説明したいと思います。

社内情報管理については、長くなるので詳細を個別に分けてます。以下よろしかったらご覧ください。

「個人情報保護における取引先に対する情報セキュリティチェックシート（コピペしてご自由にお使いください。）」

「Pマークなどに使える！社内情報管理規定の文例｜個人情報保護における安全管理～具体的にどうすればいいのか～」

タップできるもくじ

「個人情報」とは何か

個人情報とは、生存する「個人に関する情報」であって、特定の個人を識別することができるものをいいます。具体的には、従業員の氏名、住所、電話番号などは個人情報です。メールアドレスについても、一般社会人を基準に特定個人の識別性があれば個人情報となります。社内にある名刺も個人情報ですし、名刺に記載されている「営業部長」などの役職も識別情報と一緒になっていれば個人情報です。

該当するものとしては、個人情報が記載された社員情報やMEMO類のほか雇用誓約書、給与所得の源泉徴収票、給与明細、給与計算ソフトデータなどがあります。また、健康診断結果や会議での音声や映像記録等も個人情報です。個人情報には、内容により、基本的な個人情報、重要な個人情報、機微な個人情報に区別されます。このうち、重要な個人情報、機微な個人情報については、特に取り扱いに注意が必要です。そして情報の重要性によりその管理方法を変えて適切に管理するのが過剰な管理にならず、現場も混乱せずに済むと思います。

＜基本的な個人情報＞

□氏名□性別□生年月日□住所□電話番号
□メールアドレス□会社名□付与番号

＜重要な個人情報＞

［経歴・成績］
□学業・学歴□職業・職歴□地位□資格□成績・評価□賞罰
［経済的属性］
□所得・収入□資産状況□取引状況□口座番号等
［心身情報］
□体格・体力□運動能力□写真・肖像
［生活事項］
□家族状況□親族・続柄□婚姻□居住状況□意見・要望□趣味・嗜好

＜機微な個人情報＞

□思想、心情及び宗教
□人種、民族、門地、本籍地、身体・精神障害、犯罪歴
□労働者の団結権、団体交渉、その他団体行動の行為に関する事項
□集団示唆行為への参加、請願権の行使、その他政治的権利の行使に関する事項
□保健医療および性生活に関する事項

個人情報を漏えいさせるとどうなるか

①義務規定違反に問われる

これまで、個人情報の漏洩事件を引き起こすと、「企業不祥事」ととらえられてきましたが、個人情報保護法が施行されてから、単なる「企業不祥事」にとどまらず、個人情報保護法の義務規定違反に問われます。主務官庁の命令に従わない場合には、最終的に６ヵ月以下の懲役、または３０万円以下の罰金が科せられます。このほかに、民法や刑法に抵触するケースも考えられます。例えば、民法では、不法行為、非財産的損害の賠償、刑法では名誉毀損、窃盗罪、横領罪などに問われる可能性があります。

②企業イメージのダウンは必至

個人情報や機密情報を漏洩させると、企業の信用は一気に失墜します。そうなれば、新規の顧客の確保はむずかしくなります。これまでの顧客の足も遠のき、仕事量は急減していくでしょう。また、社員の士気も下がり、やめていく社員もでてくることが予想されます。企業への脅迫も考えられます。こうなると、個人の問題ではなくなります。ほかに訴訟費用や損害賠償、和解金など金銭的ダメージも加わります。こうして結局、倒産という大きなツケを支払うことを余儀なくされます。「面倒くさい」とか「やることが増えるだけ」という考えを持つこと自体、個人情報の安全管理意識が希薄なことをあらわしています。

安全対策について

では安全対策上どのようなことを実際行えばいいのか、下に図で表してみようと思います。よく勘違いがあるのが、技術的に対策を行えば全てが防げるという考え方です。全てを防げる技術というものが存在するなら、話は早いのですがそのような技術はなく、あくまで人が使うものである以上、人に対する教育及び指導が必要になってきます。その人をチェックするとか、物をチェックするとかという意味で技術的な対策が有効というような流れになってきます。

事故対策の流れ

そのような安全対策の考え方をもとに、実際事故が起こった場合どう動けばいいか、どういう流れで誰に何を伝えればいいのか、そうすることで次の事故をどう防ぐかという流れのが下の図になります。

取引先からの要求基準

また現実的な話として情報管理を求めてくる立場の人というのは、お客であったり、社会であったり、顧客であったり様々だと思いますが、今回は、以前、私が取引先から求められた情報処理、安全管理についてまとめてみようと思います。これについてはその取引先の企業がどのような安全管理情報管理をしているかによって求めるレベルが大きく異なりますし、内容も業種等によってもまた異なってきます。