個人情報管理台帳（保有・委託・漏えい時）

個人情報の管理台帳（保有・委託・開示請求・漏えい時）。★医療（要配慮個人情報）を基準に作っていますが、業種を問わず要る文書です。重いほうに合わせてあるので、他の業種では削れる欄があります。★核は3つです。（1）保有する情報 … 部署ごとではなく業務ごとに書きます。「顧客名簿」では足りません。どの業務で・何のために・どこに置いてあるかです。置き場所が分からない個人情報は、漏れたときに範囲が決まりません。保管期限の無いものは永久に残り、その分だけ危険が増えます。バックアップと共有フォルダを忘れないでください。（2）外に出すもの … 委託先・クラウド・共同利用。自社の外に出た時点で見えなくなります。委託先が漏らしても、責任は委託した側にあります。再委託を許したかまで残します。（3）開示請求と漏えい時 … 起きてから考えると必ず遅れます。報告の期限は「気づいた時点」から数えます。「全容が分からないから報告しない」で遅れるのが典型です。★個人情報保護法・ガイドライン・条例の細部には踏み込みません。業種・規模・年度で変わるため、扱うのは台帳の型です。

★業務ごとに書いてください。部署名だけの台帳は、どこに何があるか分かりません。★置き場所を必ず書いてください。分からないものは、漏れたときに範囲が決まりません。バックアップと共有フォルダを忘れないでください。本体だけ消しても残ります。★保管期限を必ず埋め、期限を過ぎたものは実際に消してください。★委託先を全部書き出し、再委託の有無を確かめてください。クラウドは保存先の国も確かめます。契約に何を書いたかを残してください。口頭の取り決めは担当が代わると消えます。★見られる人の範囲を業務ごとに決めてください。全員が全部見られる設定は、事故の被害範囲がそのまま権限の範囲になります。退職・異動のあとにアクセス権を消してください。★漏えい時の第一報の相手を実名で1人決めてください。複数だと「誰かが言うだろう」で誰も言いません。報告の期限は気づいた時点から数えます。調査の完了を待たず、分かっている範囲で第一報を出してください。★年1回、漏えいを想定して通してやってみてください。手順の切れ目は辿るまで分かりません。