第4回 個人情報保護のポイント：個人情報を読み解くキーポイント（3/3 ページ）

[牧野二郎（牧野総合法律事務所），ITmedia]

　個人情報保護対策を立てたとしても、抽象的にその実現を訴えても何も変わらない。従業者は、何をしたらいいのかまったくわからないからだ。まず、従業者を監督するには、具体的な禁止と、必ず行うべき確認作業とを明確に示さなければならない。

　こうした指示を「マニュアル」と呼ぶが、その内容は形式的なものではなく、マナー集とも異なる。具体的な禁止が読み取れるようなもの、履行手順が明確に規定されたものであるべきだ。

　こうした手順は誰が作成するのか悩むところだと思われるが、実は簡単だ。手順を最も知るのは現場の担当者であり、作業責任者である。そうした担当者全員に対して、こうしたマニュアル作りに参加してもらうのが理想的だ。

　まず、彼らに次のことを依頼しよう。「やってはならない10の項目」、そしてさらに「必ずなすべき10の項目」を順次挙げてもらうのだ。業務手順を知らない者が作成したルールなど守る気はしないだろうが、自らの経験に基づいて明確にした規範は、その重要性を知っているだけに確実に守られるし、他の従業者にも遵守させる必要性は高い。

業務手順書の機能

　業務手順（マニュアル）は、従業者に作業を行う上で守るべきこと、禁止すべきことを明示することで、その作業の安全管理を実現するものだが、手順の持つ意味はそれにとどまらない。

　手順があれば、それに従った書類ができるはずである。各種の段階で確認簿、原簿が作成されるはずだ。また、ポイントごとにチェックされ、その証拠も残る。こうした各種の資料が意図的に作られることが重要なのである。漫然と作業するのではなく、その作業が1つ1つチェックされ、記録されることになる。そうして意識的に記録されること自体が注意喚起となり、相互牽制の意味も持つ。そして、記録された業務内容は、次の業務改善のための重要な示唆を含むことになる。

　さらに重要な機能は、後日監査を実施するときの具体的な監査対象として浮かび上がる点である。監査がヒアリングに終始するとき、業務の実態は見えないことが多く、具体的な手順違反は隠蔽されてしまう。それでは監査の意味はないに等しい。必要なことは、重要なポイントは確実な証拠に基づいて確認することであり、書面をもって手順遵守を確認することなのである。そのためには手順に従った記録の保持は必須といえる。

個人情報保護対策は業務改善

　個人情報保護対策は、従来の作業を見直すことから始まる。業務自体を徹底的に検証し、危険性を洗い出すこと、個人情報の乱雑な扱いを徹底的に改めることが重要である。また、そうした内容を伴わない作業を放置することなく、作業自体の改善を実施しなければ個人情報保護指針は何の意味も持たないことになる。

　手順を作るということは、手順の客観化を図ることであり、問題のある手順を変えること、すなわち業務改善を伴うことを理解しなければならない。その意味でも、個人情報保護責任者と各業務の担当責任者の連携はきわめて重要なポイントとなる。

参考ガイドライン

「金融分野における個人情報の保護に関するガイドライン」（2004年12月6日金融庁告示第67号）

第11条 従業者の監督（法第21条及び基本方針関連） 1.金融分野における個人情報取扱事業者は、法第21条に従い、個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。 2.本条における「従業者」とは、個人情報取扱事業者の組織内にあって直接又は間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、事業者との間の雇用関係にない者（取締役、執行役、理事、監査役、監事、派遣社員等）も含まれる。 3.金融分野における個人情報取扱事業者は、次に掲げる体制整備等により、従業者に対し必要かつ適切な監督を行わなければならない。 （1）従業者が在職中及びその職を退いた後において、その業務に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等に締結すること。 （2）個人データの適切な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化及び従業者への安全管理義務の周知徹底、教育及び訓練を行うこと。 （3）従業者による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の尊守状況等の確認及び従業者における個人データ保護に対する点検及び監督制度を整備すること。

牧野二郎（牧野総合法律事務所）プロフィール

1953年生まれ、中央大学法学部卒業。弁護士。法的側面からのセキュリティ対策サービス、電子署名制度による安全な取引を実現するためのリーガルサービスの提供に特化し、制度整備を通して、情報社会のあり方、自己実現の方法など、積極的なかかわりを提言している。

最近の主な著書：『企業情報犯罪対策入門』（インプレス）、『即答！個人情報保護』（毎日コミュニケーションズ）