量より、何を持つか

STEP 1 ｜ 要請法律は「必要な分だけ、正しく持つ」を求めている

個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています（第22条）。2022年4月からは、利用する必要がなくなった場合や漏えいが起きた場合などにも、本人が利用の停止や消去を求められるようになりました（第35条第5項）。漏えいが起きたときは、国への報告と本人への通知が必要です（第26条）。

個人情報保護委員会は2022年10月に「データマッピング・ツールキット」を公表し、会社全体で、どのデータをどこでどう扱っているかを一覧にして見えるようにすることを勧めています。

STEP 2 ｜ 何が漏れたときに負う責任の重さは、「何が漏れたか」で決まる

流出したときにかかるものは、3つに分けられます。記者会見や原因の調査は件数に関係なくかかり、本人への通知や問い合わせ窓口は件数に比例します。そして、再発行の支援、補償、訴訟は、漏れた項目の種類で決まります。

STEP 3 ｜ なぜ赤い項目は、どの物差しで見ても危ない

漏れたときの害を「金銭的な被害」「精神的な苦痛」「なりすまし」の3つの物差しで測り、業務での使い道と並べると、よく使わないのに危ない項目が浮かび上がります。本人確認書類の画像は、その代表です。

STEP 4 ｜ どうする区域ごとに打つ手を決める ── まず、赤を持たない

減らす順番は、量より種類です。

1. 赤を持たない本人確認書類の画像は、確認したら消し、「誰が・いつ・何を確かめたか」の記録だけを残す。クレジットカード番号は決済代行会社に預ける。
2. 期限で消す保存期間を過ぎた退会者の情報、届かない住所を整理する。
3. 同じ人をまとめる名寄せで重複をなくし、通知や問い合わせなど件数に比例する費用を減らす。

打ち手は、IPA「中小企業の情報セキュリティ対策ガイドライン」のリスク対応の4分類（回避・移転・低減・保有）に沿って整理しています。

STEP 5 ｜ 活かす選ぶから、使える ── 選ぶ・整える・活かす

持つものを選ぶのは、守るためだけではありません。選んだデータを正しく整えれば、残したお客様に手を打てる顧客データになります。