海外再委託・USB持出し・応募者情報の長期保管
従業員80名のコールセンターD社は、通販事業者から受託した業務で、顧客の氏名・電話番号・住所・購入履歴・通話録音を海外のクラウドCRMに保存している。通話録音には顧客が健康状態や家族構成を話す場面があり、要配慮個人情報に触れる可能性がある。先月、3つの出来事が重なった。(1) 文字起こし作業を中国に子会社を持つ国内企業E社に委託していたが、E社が作業の一部を子会社に再委託していた事実をD社は把握していなかった。(2) 退職予定の社員が担当顧客約3,000件の連絡先を個人のUSBメモリにコピーして持ち出そうとし、退館時の検査で発覚した。(3) 採用選考で取得した応募者120名の履歴書を、選考終了後も5年間保管していた。D社には個人情報保護方針があるが、委託先の監督に関する規程はなく、社員教育は年1回のeラーニングのみ、持ち出しに関する規程も未整備である。CRMのアクセス権限は全オペレーターに同一で、退職者のアカウント削除は総務が手作業で行っている。過去3年で委託先を含めインシデントは初めてで、経営層は「大きな問題にはなっていない」と静観している。
1. 3つの事象について、個人情報保護法上の問題点をそれぞれ述べよ。
Read the worked answer
- (1)再委託：個人データの取扱いを委託した場合、委託者は委託先を監督する義務を負う。再委託の事実を把握していなかったことは監督義務違反のおそれがある。さらに子会社が中国にあるなら外国にある第三者への提供に該当し得て、本人への情報提供と同意、または相当な措置を継続的に講ずる体制の整備が必要になる。
- (2)USB持出し：安全管理措置（組織的・人的・物理的・技術的）の不備。持ち出し規程の不在、全員同一権限による過剰アクセス、退職者アカウントの手作業削除はいずれも組織的・技術的措置の欠落を示す。従業者の監督義務も問われる。
- (3)履歴書の5年保管：利用目的は採用選考であり、5年間は目的達成に必要な範囲を超える可能性が高い。あらかじめ保存期間を定め、不要となった個人データを遅滞なく消去する必要がある。 共通点は、方針はあるが規程・手順・権限管理が伴っていないこと。初回のインシデントであることは免責事由にならない。
2. E社への委託について、明日から取るべき措置を優先順位付きで示せ。
Read the worked answer
- 事実確認（初日）：再委託先の国・作業内容・アクセスできるデータ範囲、保管場所、再委託契約の有無、作業者の管理体制を書面で確認する。影響範囲が分からない段階では拡大防止の判断もできない。
- 拡大防止：再委託先のアクセス権を停止または最小化し、必要なら該当作業を一時中断する。中断の業務影響が小さい範囲から止める。
- 契約の是正：再委託の事前承認、再委託先の選定基準、秘密保持、事故時の通知義務、再委託先への監査権を盛り込む。
- 本人への対応の判断：越境移転に該当する場合の情報提供・同意の要否を法務と確定し、必要なら委託元の通販事業者とも協議する。
- 記録と監督：確認結果、是正内容、再発防止策を記録し、以後は年1回の委託先点検を定例化する。 優先順位の考え方は「影響範囲の特定 → 拡大防止 → 契約・監督体制 → 説明と記録」。契約書の整備より先に、データの流れを止める判断を置く。
3. 再発防止の社員教育を年1回のeラーニングから変えるとしたら、何をどう変え、効果をどう測るか。
Read the worked answer
変える点
- 対象別に分ける。全社員向けの一般教育、退職予定者向けの個別説明（退職前30日以内に実施し、持ち出し禁止・返却物・アカウント削除をチェックリスト化）、委託先向けは契約時の確認事項に組み込む。
- 内容を自社の事象に置き換える。今回の3件を匿名化した短い事例クイズを四半期ごとに出し、正解率ではなく判断を問う形式にする。
- 座学だけにせず、退館時の検査の抜き打ち実施と結果のフィードバック、標的型メール訓練を組み合わせる。
- 報告を罰しない運用にする。報告したことで処分されると、次は隠蔽される。 効果測定は教育時間ではなく行動指標で見る。具体的には、退館検査での発見件数、訓練メールのクリック率と報告率、インシデントの自己申告件数、退職者アカウントの残存件数（月次棚卸）。3か月後と12か月後で比較し、改善しなければ教育内容ではなく業務手順（権限・持ち出し経路）の側を直す。