個人情報とは？会社で扱う情報の例と保護の対象を総務向けに整理する

個人情報とは、生存する個人に関する情報のうち、氏名や生年月日などで特定の個人を識別できるもの、または個人識別符号を含むものです。定義は個人情報保護法の第2条⁠にあります。

今日やることは、社内で個人に関わる書類とデータを1枚⁠に書き出すことです。名刺、履歴書、社員名簿、顧客一覧、防犯カメラの録画、資格証の写し。置き場所と担当者を横に書けば、守る範囲の一覧になります。

迷ったときに見る3つの言葉

総務の判断で混ざりやすいのが、次の3つです。

判断の順番は、「誰か分かるか」「探せる形で整理しているか」「配慮が要る内容か」⁠で⁠す⁠。

第16条は、特定の個人情報を検索できるように体系的に構成したものを個人情報データベース等と呼び、それを構成する情報を個人データと定めています。第23条⁠の安全管理措置や第26条⁠の漏えい等の報告は、この個人データにかかる義務です。

「うちは小さいから関係ない」⁠と⁠も言えません。第16条⁠の個人情報取扱事業者の定義は、個人情報データベース等を事業に使っている者で、件数や従業員数の条件はありません。

他社の社名や所在地だけなら、個人に関する情報ではありません。ただし、取引先の担当者の氏名やメールアドレスが付けば話は別です。個人情報保護委員会の通則編は、特定の個人を識別できるメールアドレスを例に挙げています。社員の情報も、定義に当てはまれば対象です。

名刺はどこから個人データになる？

名刺は、氏名と所属、連絡先の組み合わせなので個人情報です。通則編は、生年月日、連絡先、会社での職位や所属を氏名と組み合わせた情報を例に挙げています。

分かれ目は整理の仕方です。通則編は、従業者が名刺の情報を業務用パソコンの表計算ソフトなどに入力・整理している場合を個人情報データベース等の例に挙げています。パソコンの所有者は問いません。私物のPCで作った名刺リストでも、業務に使えば同じです。

個人情報保護委員会のQ&Aは、従業者の私的な使用のみに限られる名刺の整理は企業の個人情報データベース等に当たらないとする一方、業務で使う携帯電話の電話帳は当たるとしています。営業担当者の社用スマートフォンは守る範囲に入れます。

履歴書はいつまで持っていていい？

履歴書は氏名、住所、生年月日が並ぶので、1通で個人情報です。Q&Aには不採用者の履歴書の返却についての質問⁠があり、法律上の返却義務はないとしています。

ただ、保管し続けてよいということではありません。第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めることを求めています。応募者を一覧にしている場合、不採用者の行を残し続ける理由があるか確かめます。

決めておくのは次の3つです。

• 不採用時の保管期限と廃棄方法。社内で決め、誰が廃棄するかも決める
• 採用時に、紙と採用管理の一覧をどこまで人事の管理に移すか
• 面接官に配った写しの回収

健康診断の結果も、個人情報保護委員会の資料で要配慮個人情報とされています。労働安全衛生法に基づいて取得する場合のように、同意が要らない場面もあります。どの場合に当たるかは、健康情報の取扱いの留意事項⁠で確かめます。

防犯カメラの映像はどう扱う？

通則編は、防犯カメラに記録された本人が判別できる映像を個人情報の例に挙げています。映りが粗くて誰か分からない映像は別ですが、鮮明なカメラなら対象と考えます。

個人データになるかは、検索の仕方で分かれます。

通常の録画機のように日時で探すだけなら、個人情報ではあるものの個人データには当たらない、という整理です。顔で人を探す機能を持つ機器に替えるときは、扱いが変わると考えて確認します。

第21条は、個人情報を取得したら利用目的を公表または通知することを定め、取得の状況から利用目的が明らかな場合を除外しています。防犯目的と明らかか、ほかの目的にも使うのかを社内で確かめておきます。作業の監視など防犯以外に映像を使う計画があれば、利用目的の扱いを専門家に確認してください。

なお、2026年7月17日⁠に公布された令和8年⁠の改正個人情報保護法には、顔特徴データの取扱いの周知を義務とする内容が含まれます。施行は一部を除き公布から2年以内で、詳しい内容は政令や規則で定められるので、顔認証を使う会社は続報を確認します。

製造業の総務が見落としやすいものは？

たとえば、工場を持つメーカーの総務なら、次のものが一覧に載るかどうかを確かめます。

• 協力会社の作業員名簿、資格証や技能講習修了証の写し
• 運転免許証の写し。運転免許証番号は個人識別符号で、番号単体でも個人情報
• 入退室の記録と工場のカメラ映像
• 健康診断の結果と安全衛生の記録
• 展示会で集めた名刺とアンケート
• 取引先の担当者を含む図面の送付先リスト

顧客が法人だけの会社でも、個人情報はこのように積み上がります。取引先の担当者名が入ったExcelの一覧も、管理の対象です。

個人情報が漏れたら何をする？

第26条は、個人データの漏えいなどで個人の権利利益を害するおそれが大きいときに、個人情報保護委員会への報告と本人への通知を求めています。

対象は、要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正アクセスなど不正の目的のおそれがある場合、1,000人⁠を超える場合です。委員会の漏えい等の対応のページ⁠によれば、速報は発覚後3〜5日以内⁠、確報は30日以内で、不正の目的のおそれがある場合は60日以内です。委員会のリーフレットは、1,000人超⁠の会員へのメールでアドレスをBCCでなくCCに入れて送った例を挙げています。

発見した人が最初に誰へ連絡するかを、総務が決めて社内に伝えておきます。

守る仕組みはどの順番で考える？

第23条⁠の安全管理措置と第24条⁠の従業者の監督、第25条⁠の委託先の監督は、一覧ができてから具体化できます。順番は次のとおりです。

1. 一覧で、個人データに当たるものと要配慮個人情報を含むものに印を付ける
2. 見られる人を絞る。社員の持ち出しの考え方は内部不正を防ぐ仕組みを参照
3. 共有のパスワードをなくす。手順は社員のパスワード管理を移す手順に書いた
4. 必要なツールと教育を検討する

ツールは、一覧で見えた弱い場所に合わせて選びます。持ち出しや外部送信が心配ならDLP製品の比較、PCやメール添付の中身を読めなくしたいならファイル暗号化ツールの比較、誤送信やルールの周知が課題ならセキュリティ教育サービスの比較が入口です。

この記事は、法律の一般的な整理です。個別の判断に迷うときは、弁護士や個人情報保護委員会の相談窓口に確認してください。ほかの漏えい対策は漏えい対策のカテゴリ⁠にまとめています。