0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@dkuro

漏れたかもしれないデータを、慌てて消していませんか

0
Posted at

はじめに

前回の記事では、上場を控えた時期の漏洩は上場そのものを止めることがある、という話を書きました。今回はその続きで、漏れたかもしれないデータを慌てて消すとどうなるか、という話です。

上場を控えている会社の知人から聞いた話です。免許証のデータがあると分かり、急いで消そうとしている会社もあるそうです。

持つ必要のないデータは消すべきです。しかし条件反射で消すと、とても面倒なことになります。

消すこと自体は正しい

個人情報保護法は、個人データを利用する必要がなくなったら、遅滞なく消去するよう努めることを求めています（第22条）。持っていなければ、漏れることもありません。

個人情報保護委員会のガイドラインによれば、ここでいう消去には、データを削除することのほか、特定の個人を識別できないようにすることも含まれます。

問題は、消すかどうかではありません。何を確かめてから消すか、です。

消すと、漏れたかどうかを確かめられなくなる

漏洩が分かったとき、ガイドラインは事業者に次の措置を求めています。

  1. 事業者の内部での報告と、被害の拡大の防止
  2. 事実関係の調査と、原因の究明
  3. 影響範囲の特定
  4. 再発防止策の検討と実施
  5. 個人情報保護委員会への報告と、本人への通知

報告では、漏れた、または漏れたおそれがある個人データの項目と、本人の数、原因を伝えます。速報はおおむね 3〜5 日以内、確報は 30 日以内です。不正アクセスのように不正の目的で行われたおそれがある場合は、人数にかかわらず報告の対象になり、確報は 60 日以内です。

データを消したあとで、実は消す前に漏れていたと分かっても、この義務はなくなりません。そのとき、誰の、どの項目を、いつからいつまで持っていたかが分からなければ、項目も人数も答えられません。本人に知らせることもできません。

報告をしないままでいると、個人情報保護委員会は勧告や命令ができます（第148条）。命令に違反すれば罰則があり、法人には一億円以下の罰金もありえます（第178条・第184条）。

上場は、さらに遠のく

前回も書いたとおり、上場の審査では、最近の法令違反や行政指導・処分と、その後の再発防止の体制について説明を求められます。上場の承認を受けたあとでも、上場適格性に疑義が生じれば、原則として承認は取り消されます。

東証の新規上場ガイドブックは、日本取引所自主規制法人の「上場会社における不祥事対応のプリンシプル」も参考として載せています。上場審査の基準ではありませんが、新規上場の申請会社にも参照が有益な場面がある、としています。

そこには、必要十分な調査範囲を設定して事実を確実に認定し、根本的な原因を解明すること、そして情報を迅速かつ的確に開示することが書かれています。

慌てて消せば、その調査の材料を自分で消すことになります。漏れたかどうかも分からないまま、それを審査で説明しなければなりません。急いで消したことが、隠そうとしたと受け取られれば、なおさらだと思います。

消す前に、残すもの

消すか、無効にして残すか、の二択で考える必要はありません。消す前に、次の 3 つを分けて考えます。

  1. 漏れたかどうかを確かめる材料: アクセスのログや、データがどこに、いつからいつまで置かれていたか。消す前に保全します。
  2. 誰の、どの項目を、いつまで持っていたかの記録: 画像そのものは消しても、この記録は残します。
  3. 法令で残す義務がある記録: 業種によっては、本人確認の記録などを決まった期間残す義務があります。たとえば犯罪収益移転防止法の特定事業者は、取引時確認の記録を 7 年保存します（第6条）。古物商が身分証の画像で本人確認をした場合は、その画像を帳簿等と一緒に 3 年保存することが条件になっています（古物営業法施行規則 第15条、古物営業法 第18条）。

2 つ目の記録にも、残す中身は最小限にします。マイナンバーについては、個人情報保護委員会の Q&A が、番号を削除したら削除の記録を残し、その記録には番号そのものを含めない、としています。ほかの個人データにも、考え方は使えると思います。

ただし、本人から消去を求められた場合にどこまで残してよいかは、私が読んだ範囲のガイドラインと Q&A には書かれていませんでした。迷ったら、個人情報保護委員会の相談窓口や専門家に確かめてください。

順番は、調べる、記録する、消す、です。

おわりに

持つ必要のないデータを消すのは正しいことです。ただ、順番があります。慌てて消すと、漏れたかどうかも、誰に知らせるべきかも分からなくなります。

免許証のように、漏れたら本人が困るデータほど、急いで消したくなるものです。その前に一度だけ、何を確かめてから消すのかを決めてください。

興味のある方の参考になれば幸いです。私はセキュリティや法律の専門家ではないので、誤りや足りない点があれば、ご指摘を歓迎します。

参考文献

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?