安全管理措置とは

安全管理措置とは、個人情報保護法 23 条が個人情報取扱事業者に義務づける対策です。条文は、個人データの「漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」と定めています。情報が漏れたり、消えたり、壊れたりしないための対策を行わなければならない、という意味です。具体的な内容は、個人情報保護委員会のガイドライン(通則編)の「10(別添)講ずべき安全管理措置の内容」にあります。

誰に、どこまで求められるのか

対象は、個人情報データベース等(特定の個人情報を検索できるように整理した情報の集まり)を事業に使う事業者です。通則編は、措置の内容は事業の規模や扱う個人データの性質と量などによるリスクに応じて決めればよく、例示のすべてを行う必要はない、と書いています。一方で、別添が「講じなければならない措置」として挙げる項目は、規模を問わず求められます。

別添は何を求めているか

アカウント管理に関わる項目はどれか

アカウント管理に直接関わるのは、技術的安全管理措置の 4 つの中では 2 つです。「アクセス制御」は、担当者と取り扱う個人情報データベース等の範囲を限定することです。手法の例に、ユーザー ID に付与するアクセス権で、情報システムを使える従業者を限定することが挙がっています。「アクセス者の識別と認証」は、情報システムを使う従業者が「正当なアクセス権を有する者であることを、識別した結果に基づき認証」することです。誰かを確かめてから、その人に権限があるかを見てログインさせる、という意味です。

記録は組織的安全管理措置の側にあります。「規律に従った運用」の手法の例に、担当者の情報システムの利用状況(ログイン実績、アクセスログ等)の記録が挙がっています。取扱いを後から検証できるようにするためです。使える人の一覧は、同じ組織的安全管理措置の「取扱状況を確認する手段の整備」にあります。あらかじめ明確にしておく項目の例に「アクセス権を有する者」が挙がっており、手段を整備すること自体は講じなければならない措置です。共有アカウントでは、情報システムの側で使った人を識別できません。通則編に共有を禁じる記述はありません。ただ、識別と認証と利用状況の記録を満たすには、誰が使ったかを別の手段で特定できるようにしておく必要があると読めます。

中小規模事業者は何をすればよいか

通則編は、従業員 100 人以下の事業者を「中小規模事業者」とし、義務は同じままで、簡単な手法の例を別に示しています。扱う個人情報の本人の数が過去 6 か月のいずれかの日に 5,000 人を超えた事業者と、委託を受けて個人データを扱う事業者は除かれます。中小規模事業者向けの例では、アクセス制御は、個人データを扱える機器と従業者を明確にして不要なアクセスを防ぐことです。識別と認証は、機器に最初から付いている、使う人ごとにログインを分ける機能(ユーザーアカウント制御)で、使う従業者を識別・認証することです。

従業者と委託先にはどう及ぶか

24 条は従業者への「必要かつ適切な監督」を求め、従業者にはパート・アルバイト、派遣社員、役員も含まれます。25 条は委託先の監督を求めます。通則編は、委託先の安全管理措置が委託元に求められるものと同等であることを、別添の各項目に沿ってあらかじめ確認しなければならない、としています。