不正アクセスで「大量の個人データが漏えい」 個人情報保護委員会が注意喚起、企業が今すべき対策は？（2/2 ページ）

[荒岡瑛一郎，ITmedia]

不要な個人情報は早期に消去を　「漏えい事案が深刻化する事例も」

　個人情報保護法では、不要になった個人情報を遅滞なく消去するよう求めている。今回の注意喚起でも、法令によって保存期間が定められている場合を除いて「利用目的が達成できたもの」「利用するはずだった事業が中止になったもの」などは、遅滞なく消去することが必要だとする。

　「（速やかに消去するなどの）対応が徹底されず、漏えい等事案がより深刻化するといった事例にも接していますので、保管している個人データの必要性についてその法令等の根拠とともに確認を適切に行うことを含めて、改めて注意喚起します」（注意喚起より）

情報漏えい発覚から3〜5日以内に報告義務

　個人情報保護法では、個人情報を取り扱う事業者に対して、情報漏えいによって個人の権利や利益を侵害する恐れがある場合は、本人への通知と、発覚から3〜5日以内を目安に個人情報保護委員会への報告を義務付けている。

　報告の対象は、病歴など「要配慮個人情報が含まれる事態」、クレジット情報など「財産的被害が生じるおそれがある事態」、サイバー攻撃や内部不正など「不正の目的をもって行われた漏えい等が発生した事態」、そして「1000人を超える漏えい等が発生した事態」などだ。

　報告を受けた個人情報保護委員会は、調査や指導によって事業者の改善を促す。また、そうした事例を基にしたガイドラインや、参考資料を発行している。同委員会は10月7日の注意喚起と合わせて、過去の事案をまとめた資料「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」を改訂して公表している。

過去の事例などを基に注意喚起をしている（出所：WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜）

不正ログインの例（出所：WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜）