名刺、顧客名簿、応募者の履歴書。業務で扱う文書には個人情報が入ります。
入力してよいかを、感覚ではなく手順で判断する方法を整理します。
「第三者提供」に当たるか
最初に見るのがここです。
個人情報保護法は、本人の同意なく個人データを第三者に渡すことを原則として禁じています。外部のサービスに貼り付ける行為が、この提供に当たるかどうか。
単に処理を任せているだけなら、委託として扱える場合があります。ただし委託なら委託で、委託先を監督する義務が残る。どちらにしても、契約と設定の確認から逃れられません。
この判断は、使っているサービスの契約形態で変わります。個人向けのプランと法人向けのプランでは、扱いが違うことが多い。
学習に使われるか
入力した内容がモデルの学習に使われる設定かどうかを確かめます。
法人向けの契約では、既定で学習に使わない形になっていることが多い。個人向けでは、設定で切り替える形になっている場合があります。
切り替えたつもりで切り替わっていない、という状態がいちばん危ない。設定画面で実際の状態を見て、記録を残しておきたい。
手順にする
| 順番 | 確かめること |
|---|---|
| 1 | その情報は特定の個人を識別できるか |
| 2 | 伏せても仕事が成立しないか |
| 3 | 使うサービスは法人契約か |
| 4 | 学習に使わない設定になっているか |
| 5 | 本人への説明や同意はあるか |
2番目が要点です。氏名を伏せて「30代・営業職・入社3年目」にしても、作業の目的はたいてい達せられる。伏せられるなら、そこで話が終わります。
特に慎重に扱うもの
法律が「要配慮個人情報」として別枠にしている情報があります。
健康状態、病歴、犯罪の経歴、信条など。これらは取得の段階から本人の同意が要る扱いになっています。入力の可否を考える前に、そもそも手元にあってよい情報かを確かめたい。
採用や人事の場面で出てきやすい領域です。応募書類をそのまま貼るのは避けるのが無難です。
見落としやすい経路
本文に貼らなくても、情報が渡る道があります。
添付したファイルには、作成者名や編集履歴が残っていることがある。表計算のファイルなら、非表示の列や別のシートも一緒に渡ります。
画像も同じです。写真には撮影地の位置情報が入っている場合がある。名刺を撮って読ませる使い方は手軽ですが、渡っているのは見えている絵柄だけとは限りません。
拡張機能や連携の設定にも注意したい。メールや文書サービスと接続する形にすると、明示的に貼っていない情報まで参照される場合があります。
残るものを確かめる
入力した内容が、どこにどれだけ残るかを見ておきます。
会話の履歴が保存される期間、管理者が閲覧できる範囲、削除したときに実際に消えるまでの時間。サービスごとに違います。
本人から削除を求められたときに応じられるか、という観点で見ると分かりやすい。応じられない仕組みなら、その情報は最初から入れないほうがいい。
伏せ方の実務
置き換えは、機械的にやるほうが漏れません。
氏名は「A様」「B社」、住所は「関東の事業所」、金額は桁を丸める。テキストエディタの置換で一括処理できる形にしておくと、手間が減ります。
置き換えの対応表は、手元に残しておきたい。返ってきた内容を元の名前に戻すときに要ります。この表自体は外に出しません。
やりがちな失敗が、文中の一部を伏せ忘れることです。表題だけ直して本文が残っている。貼る前に、氏名らしき語を検索して確かめたい。
事故が起きたとき
入れてはいけないものを入れてしまった。この場合の動き方も先に決めておきます。
まず会話を削除し、学習に使われる設定だったかを確認する。次に、何をどれだけ入れたかを記録する。この2つが済むまでは、自己判断で「たぶん大丈夫」と結論を出さないでほしい。
報告先を決めておくと、隠される確率が下がります。責める運用にすると、次から報告が上がってこなくなる。
ルールを一枚にする
社内で判断が割れるのは、基準が言葉になっていないからです。
禁止事項を並べるより、許可されている例を挙げるほうが機能します。「社外に公開済みの資料は可」「伏せ字にした案件情報は可」「顧客名簿は不可」。この形なら迷いません。
迷ったときの相談先も、一枚に書いておく。判断できない案件が出たときに止まらずに済みます。
半年に一度は見直したい。使うサービスも、契約の条件も、法令の運用も動きます。一度作って貼りっぱなしにした紙は、いずれ実態と合わなくなる。
出典
法令上の位置づけは下記に基づきます。
