【PR】その個人データ、本当に必要？：保有個人データクイック診断サービス

大規模な個人情報漏えい事案が相次ぐ今、情報漏えいを防ぐためのセキュリティ対策に加え、保有する個人データの必要性や保存期間を見直すことも重要です。
IIJの「保有個人データクイック診断サービス」では、プライバシーの専門家が、対象となるサービス・業務プロセスについて、個人データの保有状況、保有を継続する必要性、保存期間の妥当性、漏えい時のリスクなどを第三者の立場からレビューします。
1つのサービスまたは1つの業務プロセスを対象に、50万円以内で実施するサービスです。

※個人情報保護法上、「個人情報」「個人データ」「保有個人データ」はそれぞれ異なる意味で定義されています。本稿では、法令の引用箇所を除き、分かりやすさの観点から、「個人データ」「保有個人データ」を法令上の定義に限定しない一般的な表現として使用しています。

お問い合わせはこちら（有料会員限定）

※保有個人データクイック診断サービスのご利用は有料会員限定となります。有料会員の方はログインしてからアクセスください
※無料会員・非会員の方は、当サービスの利用にあたり有料会員への登録が必要となります

個人データの保有状況を、プライバシーの専門家が第三者レビュー

対象となるサービス・業務について、関係者へのヒアリングと関連資料の確認を行い、個人データの取扱状況を把握したうえで、現在保有している個人データの必要性、保存期間の妥当性、関連するリスクを第三者の立場からレビューします。レビュー結果は、コンサルタントの意見をまとめた簡易診断レポートとしてご提示します。

情報漏えい対策を、「守る」と「減らす」の両面から。

アクセス制御や認証強化といったセキュリティ対策に加え、そもそも不要な個人データを保有しないことは、万が一の情報漏えい時の影響を低減するための重要なリスク対策となります。

個人データは「持っているだけ」でもリスクになります

昨今、大規模な個人情報漏えい事案が相次いでいます。こうした事案では、現在利用されている顧客情報だけでなく、退会者情報や、過去に本人確認のため取得した情報など、長期間保有されていた個人データが影響を受けるケースもあります。

もちろん、適切なセキュリティ対策は極めて重要です。しかし、もう一つ確認すべきことがあります。

「その個人データは、本当に今も保有する必要があるでしょうか？」

セキュリティ対策は重要ですが、情報漏えいリスクをゼロにすることはできません。そのため、「漏えいを防ぐ」に加え、「漏えいした場合の影響を小さくする」ことも重要です。保有している個人データが多いほど、漏えい時の影響も大きくなり得ます。不必要な個人データを保有しないことは、リスク低減のための重要な対策の一つです。

参考記事

弊社では、最近発生した大規模な個人情報漏えい事案を題材に、「個人情報を保存し続けること自体がリスクになり得る」という観点から論評しています。本サービスの背景にある問題意識をより詳しく知りたい方は、以下の記事もご参照ください。

【論評】保存はリスクを伴うタイムズカー漏洩事故を考える
https://portal.bizrisk.iij.jp/article/timescar

なぜ、いま「保有個人データの見直し」なのか？

1. 日本の個人情報保護法では「必要性」が重要な要素

情報漏えい対策というと、個人データを取得した後の安全管理措置に目が向きがちです。しかし、個人情報保護法は、そもそも個人データを取得した後も無期限に保有してよいという考え方を採っていません。

個人情報保護法第22条（データ内容の正確性の確保等）
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

つまり、「その個人データを、なぜ保有しているのか」「現在も保有する必要があるのか」という「保有の必要性」を説明できることが重要です。

したがって、企業には「いったん取得したから残しておく」のではなく、次の点を継続的に確認することが求められます。

その個人データを何のために保有しているのか
現在も利用目的との関係で必要なのか
いつまで保存する必要があるのか
不要になったデータを削除する運用が機能しているか

2. GDPRでは「データ最小化」と「保存期間の制限」が基本原則

GDPRでは、Data Minimisation（データ最小化）とStorage Limitation（保存期間の制限）が、データ保護原則として明示されています。

その個人データは本当に必要か
その項目まで取得する必要があるか
その期間まで個人を識別できる形で保存する必要があるか

これらは、単なる推奨事項ではなく、GDPR上、事業者が遵守しなければならない法的義務です。事業者には、処理する個人データを必要な範囲に限定し、必要な期間を超えて保存しないことが求められます。

違反時には、莫大な制裁金が課される可能性があります

GDPRの一定の重大な違反については、最大2,000万ユーロ、または直前会計年度の全世界年間総売上高の4％のいずれか高い額までの制裁金が規定されています。不要なデータを漫然と保持し、漏えい時の影響を拡大させた場合には、保有の必要性を含め、企業のデータ管理のあり方が厳しく問われる可能性があります。

こんな状態になっていませんか？

退会済み顧客の情報が長期間残っている
本人確認のために取得した画像データが、その後も保存されている
「念のため」というあいまいな理由で顧客データを削除していない
法令上必要と思って保存しているが、保存期間の根拠を確認したことがない
利用目的や公表内容と、実際の運用にずれがある
「なぜこのデータを持っているのか」を説明できない
保存期間や削除時期について明確な社内ルールがない
委託先やクラウドサービスを含めると、データの所在を把握できていない

一つでも当てはまる場合は、専門家による第三者レビューをご検討ください。

社内では「以前からこの運用だから」と見過ごされている保有データについても、利用目的、業務上の必要性、想定被害、法的リスクを客観的に整理します。

サービス内容

IIJのプライバシーコンサルタントが、対象となるサービス・業務プロセスについてヒアリングと関連資料の確認を行い、個人データを保有する必要性、保存期間の妥当性および主要なリスクを第三者の立場からレビューします。

対象範囲と価格

項目	内容
対象	1つのサービス、または1つの業務プロセス
想定例	ECサイト、会員サービス、マーケティング業務、採用業務、従業員管理業務、お問い合わせ受付業務など
確認方法	関係者へのヒアリングおよびご提供資料の確認
成果物	コンサルタントの意見をまとめた簡易診断レポート
価格	50万円以内
対象外	全社横断の網羅的なデータ棚卸し、システムへの技術的調査、規約・プライバシーポリシー等の改定案作成、実装・削除作業

スコープに関するご留意事項

対象となるサービス・業務の規模、関係部門数、データ項目数、確認資料の量などにより、50万円以内で実施できる範囲を事前に確認します。全社的・複数サービス横断の調査は本サービスの対象外です。

クイック診断で確認する主な事項

ビジネスと利用目的	どのような事業・業務のために、どのような目的で個人データを取得・利用しているか。
保有個人データ	どのようなデータ項目を、どのシステム・媒体で保有しているか。
保有根拠と必要性	利用目的、業務上の必要性、法令上の保存義務等から、保有を継続する合理性があるか。
保存期間と削除	保存期間の根拠があるか。不要となったデータを削除する運用が設けられているか。
漏えい時のインパクト	データの内容、件数、識別性等を踏まえ、本人・企業に生じ得る影響を整理。
二次被害の想定	なりすまし、詐欺、不利益、プライバシー侵害等につながる可能性を整理。
規制・訴訟等のリスク	個人情報保護法、GDPR等の主要論点、当局対応、本人対応、損害賠償請求等のリスクを整理。
改善の優先順位	保有継続、保存期間短縮、削除、追加確認など、次に検討すべき事項を整理。

ご提供する成果物

保有個人データクイック診断レポート
ヒアリング結果および関連資料を基に、対象となるサービス・業務における個人データの保有状況、必要性、保存期間の妥当性、想定リスク、優先的に見直すべき事項等を整理し、コンサルタントの意見としてご報告します。
具体的なレポートの構成・記載内容は、対象業務および確認できた資料に応じて設計します。