個人情報の管理台帳に、アカウントとアクセス権をどこまで書くか

個人情報の管理台帳に書く「アクセス権を有する者」は、プライバシーマークでは必ず含める項目です。ただ、氏名まで書くか、部署名で足りるかは、指針に定めがありません。個人情報保護法は、台帳そのものを義務づけていません。台帳には部署と役割を書き、人とアカウントの対応は別の一覧に分けて、台帳から参照します。こうすると、担当者が代わるたびに台帳を直さずに済みます。

法律とプライバシーマークで求められること

個人情報保護委員会の Q&A(Q10-10)は、いわゆる「個人情報取扱台帳」を作ることは義務ではない、と答えています。義務になっているのは、個人データの取扱状況を確かめる手段を整えることです。同委員会のガイドライン(通則編)の別添では、組織的安全管理措置(社内の体制やルールで個人データを守る対策)の (3) に当たります。その手法の例示には、あらかじめはっきりさせておく項目が並んでいます。データベースの種類と名称、個人データの項目、責任者・取扱部署、利用目的、「アクセス権を有する者」などです。Q&A は、扱っている個人データをこうしてはっきりさせることを、取扱状況をつかむうえで有効な取組としています。

プライバシーマークの側は、もっと具体的です。JIPDEC の構築・運用指針の J.3.1.1(個人情報の特定)は、台帳を整え、少なくとも 8 つの項目を含めることを求めています。「アクセス権を有する者」はその 1 つで、保管場所や保管方法と並びます。台帳は少なくとも年 1 回と、必要に応じて確認し、最新に保ちます。指針が台帳のほかにアカウントの管理について求めることは、プライバシーマーク(JIS Q 15001)でアカウント管理について求められることにまとめています。

どちらの文書も、「アクセス権を有する者」を氏名で書くか、部署や役割で書くかまでは決めていません。指針の留意事項は、台帳の整備は取扱いの状況をつかむための手段であって目的ではない、と書いています。細かさは、この目的から決めることになります。

台帳には役割を、氏名とアカウントは別の一覧に

台帳の 1 行は、個人情報の項目ごとに作ります。顧客名簿、応募者の情報、従業員の給与の情報といった単位です。一方でアカウントは、システムやクラウドサービスごとにあります。1 つの名簿が複数のサービスに入っていることも、1 つのサービスに複数の名簿が入っていることもあるでしょう。しかも担当者は、名簿やサービスが変わらなくても入れ替わります。氏名を台帳の各行に直接書くと、1 人の異動で何行も直すことになり、直し漏れが出やすくなります。

決め方の一例として、台帳と一覧を次のように分けます。

このように分けても、2 つを合わせれば「この名簿に、いま誰が入れるか」に氏名で答えられます。通則編の組織的安全管理措置(1)の手法の例示にも、関係する項目があります。個人データを扱う従業者とその役割、その従業者が扱う個人データの範囲をはっきりさせることです。役割で台帳を書き、氏名を一覧に置く形は、この例示とも合っています。

アカウントの一覧には、権限の種類も書きます。通則編の技術的安全管理措置(システムの設定や仕組みによる対策)の (1) はアクセス制御です。その手法の例示には、ユーザー ID に付けるアクセス権で、システムを使える従業者を限ることが入っています。同じサービスでも、見るだけの人、データを書き出せる人、ほかの利用者を追加できる管理者がいます。アカウントが悪用されたときに持ち出せる範囲は、この 3 つで違います。一覧の項目は、共有アカウントの棚卸しの手順と台帳の項目が参考になります(その記事では、アカウントの一覧を台帳と呼んでいます)。

1 つの ID を複数の人で使う共有アカウントは、書き方が変わります。サービスの利用者一覧には ID の名前しか出ないので、その先にいる人は自社の一覧でしか分かりません。そのため、共有アカウントの行には、使う人の氏名を並べます。年 1 回の確認では、サービスの利用者一覧と自社の一覧を突き合わせます。共有アカウントの行は、その部署に聞いて確かめます。

保管場所にクラウドサービスを書くとき

保管場所の欄にクラウドサービスを書くときは、サービス名に加えて、2 つのことを確かめて書き添えます。

1 つ目は、サービスを提供する事業者が、保存した個人データを取り扱うことになっているかどうかです。Q&A(Q7-53)によると、第三者への提供や委託に当たるかの基準は、保存したデータに個人データが含まれるかではありません。事業者が個人データを取り扱うことになっているかです。取り扱わないことになっている例は、契約でそう定め、適切にアクセス制御をしている場合です。取り扱うことになっていれば、事業者に個人データを渡したことになります。委託として扱うなら、委託先の監督(プライバシーマークでは J.9.4)の対象に入ります。取り扱わない場合も、使う側が自分で安全管理措置を行う必要があります(Q7-54)。

2 つ目は、事業者とサーバーがどの国にあるかです。Q&A(Q10-25)は、外国の事業者のクラウドサービスを使う場合を扱っています。事業者が個人データを取り扱わない場合でも、その国の制度を把握したうえで安全管理措置を行うよう求めています。サーバーが国内にあっても同じです。そのうえで、事業者のある国とサーバーのある国の名称を、本人が知り得る状態に置くことも求めています。台帳に国まで書いておけば、次の公表の内容をそこから作れます。

プライバシーポリシーに載せる範囲

台帳やアカウントの一覧そのものを公表する決まりはありません。求められているのは、保有個人データの安全管理のために行った措置を、本人が知り得る状態に置くことです。保有個人データは、自社に開示や削除などを行う権限がある個人データのことです。根拠は個人情報保護法 32 条 1 項 4 号と施行令 10 条 1 号です。知り得る状態とは、本人が知ろうとすれば知ることができる状態で、求められたときに遅れずに答える形も含みます。ただし、知られると安全管理に支障が出るおそれのあるものは除かれます。

通則編 3-8-1 は、載せる内容の例を挙げています。技術的安全管理措置の例は「アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定」です。一方で、支障を及ぼすおそれのある例には「アクセス制御の範囲、アクセス者の認証手法等」を挙げています。アクセス制御をしていることは書き、誰がどのシステムに入れるかや、ログインをどう確かめているかは書かない、という線引きです。通則編は、ガイドラインに沿って措置を行っている、と書くだけでは適切でないともしています。概要をホームページに載せ、残りは問い合わせに答える形でもかまいません。