個人データの置き場所を洗い出す5工程|AIに渡す前に作る台帳

個人データの置き場所を洗い出す5工程|AIに渡す前に作る台帳

「顧客の名簿が社内にいくつあるのか、正直なところ誰も答えられない」「社内の資料をAIに読ませたいが、個人情報が混ざっていないと言い切れないので止まっている」。——AIの利用を広げようとしている会社では、情報システムの部門と法務の部門から、この2つがほぼ同時に届きます。個人情報保護委員会が2026年7月7日に公表した令和7年度の年次報告では、個人データの漏えい等について17,139件の報告が処理され、漏えい等した情報の形態は紙媒体のみのものが76.9%で最も多かったと報告されています。所在の洗い出しは、法律に備えるためだけの書類仕事ではありません。本当は、AIに読ませてよい範囲を線で引くための、その手前の作業です。どこに何があるかが分からないままだと、線を引く場所そのものが決められないからです。この記事では、自社の個人データの置き場所を洗い出して台帳にする5つの工程を、載せる項目の決め方から、部署ごとの集め方、AIに渡してよいかの区分の付け方、更新を止めない仕組みまで、公的な資料を原典で確かめながら整理します。


カメ先生カメ先生

台帳というと、法律に対応するために作る書類だと思われがちなんだ。でも実際に手を動かしてみると、いちばん効いてくるのは別のところでね。どこに何があるかが分かって初めて、AIに読ませてよい範囲を線で引ける。順番としては、台帳が先で、利用範囲の設計が後になるんだよ。


カメ子カメ子

台帳を作ってから、AIに渡す範囲を決める、という順番なのですね。逆にすると何が起きるのでしょうか。


カメ先生カメ先生

順番が逆になると、判断が二択に潰れるんだ。共有フォルダごと全部読ませるか、個人情報が混ざるかもしれないから何も読ませないか。前者は事故が起きるまでの時間を縮めるだけだし、後者は導入そのものが止まる。実際には、その二つの間に線を引ける場所がいくつもあるんだよ。


カメ子カメ子

台帳づくりと、AIに渡してよいかの判断は、別々の作業だと思っていました。同じ表の上で決まるのですね。


この記事のポイント
  • 台帳の列は自分で考えない。個人情報保護委員会のガイドラインが挙げる5項目を骨格にする
  • 難しいのは集めることではなく線引き。紙・個人の表計算・共有受信箱・名刺・録画を先に名指しする
  • AIに渡してよいかの最終判断は人が付ける。AIに任せるのは候補の抽出と分類の下書きまで

AIの導入・活用、何から始めるべきかお悩みですか?

デボノはアカウント開設・初期設定など「そもそものAI導入」から社内定着まで伴走支援。マーケティング活用など一歩進んだご相談にも対応します。

目次

洗い出しを飛ばすと、判断が二択に潰れる

生成AIやAIエージェントを社内の業務に入れるとき、最初に決まらないのが「どの情報を読ませるか」です。読ませる範囲を決めるには、どこに何があるかが先に要ります。それが分からないまま検討を始めると、選択肢は二つに減ります。共有フォルダをまるごとつないでしまうか、個人情報が混ざっているおそれを理由に何も渡さないか。前者は事故が起きるまでの時間を縮めるだけで、後者は導入そのものが止まります。

実際には、その二つの間に線を引ける場所がいくつもあります。たとえば、氏名と連絡先が並んだ表計算はつながないが、そこから氏名の欄を落とした集計は読ませてよい、という線。あるいは、部署の共有フォルダのうち、応募者の書類が入る採用の領域だけを外す、という線。こうした線は、どこにどんな項目が入っているかを一覧にして初めて引けます。台帳は規制に対応するための書類である前に、AIの読み取り範囲を設計するための地図です。

順番を逆にした会社は、たいてい同じ場所で止まります。ツールの選定と契約を先に済ませ、いざ社内のデータをつなぐ段になって「どこまで渡してよいか誰も決められない」となり、結局は一般に公開されている資料しか読ませない使い方に落ち着く。導入の費用だけが先に出て、業務の中身は変わらないという形です。洗い出しは、導入の前工程ではなく、導入の一部だと考えたほうが実態に合います。

台帳の列は自分で決めない。ガイドラインが挙げる5項目

台帳を作るときに最初に迷うのが、列の設計です。ここは自分で考えないほうが早く、あとで揉めません。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン(通則編)」は、平成28年11月に制定され、令和8年6月に一部改正されています。その別添にあたる「講ずべき安全管理措置の内容」のなかで、組織的な安全管理措置の一つとして「個人データの取扱状況を確認する手段の整備」が挙げられ、そこに項目の例示が並んでいます。

原文では「例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが考えられる」として、次の5つが挙げられています。個人情報データベース等の種類と名称、個人データの項目、責任者と取扱部署、利用目的、アクセス権を有する者。この5つが台帳の骨格です。末尾に「等」が付いているので閉じた一覧ではありませんが、ここから外れた自己流の列だけを並べると、後で監査や本人からの請求に答えるときに使えない台帳になります

同じ別添には、中小規模事業者向けのより軽い例示も置かれています。「あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する」という内容です。ここでいう中小規模事業者とは、従業員の数が100人以下の事業者を指し、ただし取り扱う個人情報によって識別される個人の数の合計が過去6か月以内のいずれかの日において5,000を超える者と、委託を受けて個人データを取り扱う者は除かれます。つまり法は、表の様式そのものを指定していません。ただしAIに渡す判断まで行うなら、確認する人の頭の中ではなく、表の上に出しておく必要があります

5項目に足す4つの列と、それぞれの根拠

骨格の5項目だけでは、AIに渡してよいかの判断ができません。足すべき列は思いつきではなく、法の別の条文から逆算して決められます。下の表は、5項目に4つの列を足したものです。右端に、その列がなぜ要るのかの根拠を置いています。

列名何を書くかその列が要る理由
種類・名称システムや帳票の単位で名前を付ける。愛称ではなく正式名称通則編の別添が挙げる5項目の1つ目
データの項目氏名、電話番号、購買履歴など実際に入っている欄を書き出す同上。漏えいの報告でも項目を書く欄がある
責任者・取扱部署部署名と役職名まで。個人名だけにしない同上。異動で行が切れないようにするため
利用目的取得したときに本人へ示した文言をそのまま写す同上。法第32条が全ての利用目的の周知を求める
アクセス権を有する者個人名ではなく役割や権限の名前で書く同上。人ではなく権限で管理するため
保存の期間と消去の条件いつまで持つか、何が起きたら消すか法第22条が、必要がなくなったら遅滞なく消去するよう努めることを求める
外に出しているか委託・共同利用・第三者提供の別と、相手の名称法第25条の委託先の監督、法第29条の記録の作成
置かれている国保管されている国名。分からなければ確認中と書く通則編の別添にある外的環境の把握
AIに渡してよいか3つの区分と、決めた人、決めた日生成AIサービスの利用に関する注意喚起(令和5年6月2日)

列を増やすほど埋まらなくなるので、最初の一巡では「置かれている国」と「AIに渡してよいか」を空欄のまま作って構いません。この2つは、所在の行が確定してからでないと埋められないからです。一巡目は所在を埋め切ることだけを目標にすると、途中で止まりにくくなります。空欄の列は、次の工程で誰が埋めるかだけを決めておきます。

洗い出しの5工程を、先に全体像で見る

ここから先が実際の作業です。工程は5つで、順番を入れ替えられません。特に4番目を3番目より前に持ってくると、重複が残ったまま区分を付けることになり、同じ名簿に別々の判断が付いてしまいます。

STEP1
洗い出す範囲を決める

部署・媒体・期間の3つの軸で線を引きます。全社一斉にやらないことが、最初の判断です。

STEP2
部署ごとに集める

聞き方を1枚の様式に固定して配ります。自由記述だけで集めると、返ってくる粒度がばらばらになります。

STEP3
重複と抜けを潰す

同じ置き場所を別の名前で書いた行を寄せます。取得の入口から逆にたどって、抜けを探します。

STEP4
AIに渡してよいかの区分を人が付ける

渡してよい、加工してから渡す、渡さないの3つに分けます。決めた人と決めた日を必ず残します。

STEP5
更新のきっかけを業務側に置く

年に1度の棚卸しではなく、契約・異動・ツール導入といった既にある手続きに紐づけます。

5つのうち、工数が最もかかるのは2番目、判断が最も割れるのは4番目、そして放っておくと必ず止まるのが5番目です。作業計画を立てるときは、この3つに別々の担当を置いておくと進みます。1番目と3番目は、まとめ役が1人いれば数日で終わります。

工程1|洗い出す範囲を、媒体と期間で切る

範囲を決めずに全社へ調査票を配ると、返ってくるのは基幹システムの一覧だけです。範囲は3つの軸で切ります。部署はどこに聞くか、媒体は何を数えるか、期間はいつからのものを対象にするか。このうち抜けやすいのが媒体の軸です。

通則編は、個人情報データベース等について、コンピュータで検索できるように体系的に構成した情報の集合物に加えて、「コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則(例えば、五十音順等)に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているもの」も該当すると説明しています。紙のファイルも、社内で引ける形に整理されていれば対象になります。逆に、アンケートの戻りはがきが氏名や住所で分類整理されていない状態は該当しない事例として挙げられています。

期間は、最初の一巡では「現に業務で使っているもの」に絞ります。過去の案件のバックアップや、退職者が残した古い記録まで一巡目に入れると、いつまでも終わりません。ただし対象外にしたものは、対象外にした理由と一緒に別紙へ残します。二巡目はこの別紙から始めることになるので、ここを口頭で済ませると、同じ議論をもう一度することになります。

工程2|聞き方を変えると、返ってくる行数が変わる

「個人情報を持っていますか」と聞くと、多くの部署は「持っていません」と答えます。個人情報という言葉が、顧客の名簿のような大きな塊を指すものとして受け取られるからです。聞き方は、業務の動詞に置き換えます。誰が何をした結果として、その情報が手元に残ったのかを尋ねる形です。

調査票に載せる質問は、たとえば次のような形になります。

  • 受け取った名刺は、いま誰の手元にあり、どこに入力されているか
  • 問い合わせや資料請求の宛先はどのメールアドレスで、誰が中身を見られるか
  • 申込書やアンケートの用紙は、返送された後どこに保管されているか
  • 説明会や面談を録画したファイルと、その文字起こしはどこに置いているか
  • 取引先の担当者の連絡先を、自分の作業用の表計算で管理していないか
  • 外部の制作会社や代理店に渡した名簿で、返してもらっていないものはないか

この聞き方に根拠があります。通則編は、個人情報データベース等に該当する事例として「従業者が、名刺の情報を業務用パソコン(所有者を問わない。)の表計算ソフト等を用いて入力・整理している場合」と「電子メールソフトに保管されているメールアドレス帳(メールアドレスと氏名を組み合わせた情報を入力している場合)」を挙げています。個人が作業用に作った表でも、検索できる形になっていれば台帳に載せる対象です。この2つの事例を調査票の冒頭に引用しておくと、返ってくる行数がはっきり変わります。

工程3|重複を潰し、入口から抜けを探す

集まった一覧を並べると、同じ人の情報が複数の行に出てきます。展示会で集めた名簿、営業支援ツールの取引先、メール配信の宛先、経理の請求先。これらを1行にまとめてはいけません。置き場所が違えば、責任者もアクセス権も保存期間も違うからです。統合してよいのは、同じ置き場所を別の名前で書いた行だけです。

重複を潰すときは、名称ではなく置き場所の識別子で突き合わせます。システム名とデータベースの名前、共有フォルダの経路、キャビネットの番号と段。名称で突き合わせると、「顧客リスト」という行が3つ残ったまま、どれがどれだか分からなくなります。識別子で寄せたうえで、名称は正式名称に書き換えます。

抜けの見つけ方は逆向きです。個人データは必ずどこかから入ってきます。取得の入口を先に列挙します。申込み、問い合わせ、名刺交換、契約、採用への応募、アンケート、イベントの受付、電話。そのうえで、それぞれの入口の先に置き場所の行が1つ以上並んでいるかを見ます。入口はあるのに置き場所の行がない箇所が、そのまま抜けです。この照合をやると、たいてい2つか3つは出てきます。

見落としやすい置き場所を、先に名指ししておく

調査票を配る前に、落としやすい置き場所を名指しした一覧を添えておくと、回収の質が上がります。現場の担当者は、隠しているのではなく、対象だと思っていないだけだからです。

  • 各人の端末に残る作業用のファイル。共有前の下書きがそのまま残っている
  • 部署の共有の表計算。もとは集計のために作られ、いつのまにか名簿になっている
  • 問い合わせ用の共有受信箱と、そこに残る添付ファイル
  • 名刺の画像と、名刺を管理する外部のサービスに入っているデータ
  • 説明会や面談の録画と、そこから自動で作られた文字起こし
  • チャットの履歴と、そこに貼り付けられた一覧
  • 採用の応募書類。担当者の端末に個別に残ることが多い
  • 退職者や異動者の端末に残り、引き継ぎで移し切れなかったもの

この中で、AIの導入と最も強くぶつかるのが録画と文字起こしです。会議の要約をAIに任せる運用は導入が早い一方で、本文には参加者以外の個人の名前や、取引先の担当者の発言がそのまま残ります。台帳では、録画そのものの置き場所と、文字起こしの置き場所を別の行にします。保存期間も別に設定します。録画は消したが文字起こしが残っていた、という状態が起きやすいためです。

紙が最後まで残る。数字が示す洗い出しの盲点

媒体の軸で紙を外してはいけない理由は、統計に出ています。個人情報保護委員会が2026年7月7日に公表した令和7年度の年次報告によると、個人データの漏えい等の事案について、法第26条第1項に基づく報告を17,139件処理したとされています。うち委員会への直接の報告が13,345件、委任先の省庁を経由したものが3,794件です。

内訳も公表されています。報告義務の類型で最も多かったのは要配慮個人情報を含む個人データの漏えい等で61.9%、次いで不正の目的をもって行われたおそれのある漏えい等が22.3%。1件あたりで漏えい等した人数は1,000人以下が最も多く93.6%、情報の種類は顧客情報が最も多く83.9%。そして漏えい等した情報の形態は、紙媒体のみのものが最も多く76.9%でした。同じ資料には、報告徴収19件、立入検査148件、指導及び助言455件という数字も並んでいます。

電子データの管理をいくら固めても、紙が台帳に入っていなければ、最も件数の多い形態を見ないまま進むことになります。紙の行に書くのは、保管している場所(部屋、什器、鍵の有無)、持ち出してよいかどうか、廃棄の方法の3つです。通則編の別添も、規律に従った運用を検証するための項目として「個人データが記載又は記録された書類・媒体等の持ち運び等の状況」と「個人情報データベース等の削除・廃棄の状況」を挙げており、持ち運びと廃棄は台帳の欄として残す前提で書かれています。

工程4|AIに渡してよいかの区分は、3つに分ける

所在の行が埋まったら、区分を付けます。ここで大事なのは、渡してよいかどうかの2択にしないことです。2択にすると、判断がつかない行がすべて「渡さない」に寄り、結果として洗い出しをした意味がなくなります。3区分にすると、間の行に居場所ができます。判断がつかない行を置く場所を、先に用意しておくのがこの区分の狙いです

区分当てはまるもの渡す前に確かめること決める人
そのまま渡してよい個人が特定されない集計、既に公開している情報元のデータに戻せない形になっているか取扱部署の責任者
加工してから渡す氏名や連絡先の欄を落とせば用が足りるものどの欄を落とすかを行ごとに書いてあるか取扱部署の責任者と情報システム
渡さない要配慮個人情報、採用の応募書類、同意の範囲が狭いもの例外を作らない。急ぎでも区分を動かさない個人データの管理責任者

区分の欄には、決めた人の名前と決めた日を必ず入れます。後から「なぜこの行は渡してよいことになっているのか」を追えるようにするためです。担当が代わったときに、この2つが空欄だと、区分そのものを付け直すことになります。付け直しは、最初に付けるより時間がかかります。

なお、区分は行に付けるもので、システムに付けるものではありません。同じシステムの中に、渡してよい集計と、渡してはいけない応募書類が同居していることは普通にあります。台帳の行を、システム単位ではなくデータの種類の単位で切っておくと、この区分が付けやすくなります。

渡す前に確かめる3点。目的・学習・提供

区分を付けるとき、何を根拠に判断するのか。ここは個人情報保護委員会が令和5年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」に、事業者向けの注意点として書かれています。加えて、通則編の「提供」の解説を合わせると、確認すべき点は3つに整理できます。

1つ目は利用目的です。注意喚起の原文は「個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」としています。取得したときに示した目的の外に出ていないかを先に見ます。たとえば「商品の発送のため」としか示していない情報を、AIに読ませて営業の分析に使うのは、範囲の外に出ます。

2つ目は学習への利用です。同じ注意喚起は「あらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある」としたうえで、「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」と書いています。応答を返す以外の目的で使われないかを、規約と設定の両方で確かめます

3つ目は、そもそも提供に当たるのかどうかです。通則編は「提供」について、自己以外の者が利用可能な状態に置くことをいうと説明し、「物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば(利用する権限が与えられていれば)、『提供』に当たる」としています。外部のサービスに入力する行為が、委託の範囲に収まるのか、それとも第三者への提供に当たるのかは、台帳の「外に出しているか」の欄と地続きの話になります。

  • 制度も各サービスの規約も変わります。学習に使われるかどうかは、契約の種類や管理画面の設定の単位で変わることがあります。台帳には「確認した日」の欄を作り、規約が変わったときに見直す行を特定できるようにしておきます。
  • 注意喚起は利用者向けの留意点として、提供事業者の利用規約やプライバシーポリシー等を十分に確認したうえで判断することも挙げています。社内向けの手順書には、確認する箇所を具体的に書いておきます。

生成AIに任せてよい作業と、任せてはいけない判断

洗い出しの作業そのものに生成AIを使える場面はあります。ただし使えるのは、候補を出すところまでです。ここを曖昧にしたまま進めると、台帳の中身がAIの推測で埋まり、根拠のない行が混ざります。

任せてよいのは、次のような作業です。部署から集まった自由記述の回答から、置き場所らしい記述を抜き出して一覧の下書きにする。既存の業務マニュアルや規程から、個人データを扱う手順が書かれている箇所を拾う。台帳の「データの項目」欄の書き方を、他の行の表記に揃える。いずれも人が読めば分かるが、量が多くて手が回らない作業です。ここはAIが得意な領域です。

任せてはいけないのは、3つの判断です。これは個人データに当たるか。AIに渡してよいか。この情報の利用目的の範囲はどこまでか。理由は2つあります。1つは、これらが法の解釈にあたる判断で、間違えたときの責任が会社に残ること。もう1つは、注意喚起自身が指摘しているとおり、応答が「確率的な相関関係に基づいて生成される」ため、不正確な内容の個人情報が含まれるリスクがあることです。AIが「この行は個人情報に当たりません」と答えても、それは根拠になりません

実務では、AIの出力を台帳に取り込む前に、「AIが下書きした行」と分かる印を1列足しておきます。人が目で確かめた行だけ、その印を外します。人が確認する範囲を先に決めておくと、確認していない行が混ざったまま運用に入る事故を防げます。件数が多いときは、区分が「渡さない」になり得る種類の行から先に確認します。

工程5|更新のきっかけを、業務の手続きに埋め込む

台帳が腐る最大の原因は、更新のきっかけを「年に1度の棚卸し」だけに置くことです。1年経つと、行を書いた本人が異動していて、その行が何を指しているのか分からなくなります。分からない行は、次の棚卸しでそのまま写されます。こうして台帳は、現物と合わない書類になっていきます。

更新のきっかけは、既にある業務の手続きに紐づけます。新しいツールの契約や稟議のときは、台帳に1行足すことを申請書の項目に入れる。異動や退職の手続きのときは、責任者の欄の付け替えを引き継ぎのチェック項目に入れる。委託契約の締結や更新のときは、外に出しているかの欄を更新する。展示会やキャンペーンが終わったときは、保存期間の欄に沿って消去の手続きに入る。台帳を開く理由を、台帳の外に作るのがこの工程の要点です

定期の点検をやめるという意味ではありません。通則編の別添は、取扱状況の把握と安全管理措置の見直しの手法として「個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する」ことを挙げています。ここで分けたいのは役割です。更新は業務側、点検は管理側。定期の点検は合っているかを確かめるためのもので、更新するためのものではありません。この分担を1行書いておくだけで、点検の場が更新の場に化けるのを防げます。

台帳が腐る4つの原因と、避けたい作り方

運用に入ってから止まる台帳には、共通する原因が4つあります。作った人と使う人が違うこと。行の粒度が揃っていないこと。更新のきっかけが業務の中にないこと。そして、そもそも埋められない列があること。この4つは、作り方の段階で避けられます。

避けたい作り方を、具体的に挙げておきます。

  • 全社へ一斉に「個人情報の一覧を出してください」と依頼し、様式を配らない
  • 基幹システムの一覧をそのまま台帳と呼ぶ。紙と個人の作業ファイルが最初から入らない
  • 列を20以上にして完璧な様式を作る。一巡目で半分が空欄になり、次から誰も開かなくなる
  • AIに渡してよいかの欄を、情報システムの部門だけで埋める。取得時の目的を知らない人が判断することになる
  • 更新の担当を「全員」にする。行ごとの責任者の欄が空欄のまま残る
  • 行の粒度をシステム単位で固定する。1つのシステムの中で区分が分かれる行を表現できなくなる

このうち、あとから直すのが最も難しいのが粒度です。粒度は一巡目で決めて、途中で変えないのが原則になります。目安は、責任者と利用目的と保存期間の3つが1組で決まる単位です。この3つのどれかが行の中で分かれるなら、行を割ります。逆に、3つとも同じなら、置き場所が2つあっても1行にまとめて構いません。

委託先と外部のサービスの欄は、有無だけ書いて先へ渡す

台帳に「外に出しているか」の欄を作ると、そこから委託先の管理という別の作業が始まります。ここは1列で止めるのが正解です。台帳に書くのは、外に出しているかどうか、出しているなら相手の名称と契約の有無、そして契約の更新月。選定の基準や契約に入れる条項の設計は、台帳づくりとは分けて進めます。

分ける理由は分量です。法第25条は「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めています。通則編はこれを受けて、必要な措置として「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」の3つを挙げています。この3つは、台帳の1列に収まる作業ではありません

台帳の側でやるのは、抜けを見つけることです。委託しているつもりだったが契約書に個人データの取扱いの条項がない行、契約はあるが再委託の状況を把握していない行、渡したまま返してもらっていない名簿の行。この3種類が出てきたら、委託先の管理の作業に引き渡します。保管先の国の欄も同じ扱いです。通則編の別添は外的環境の把握として、外国において個人データを取り扱う場合は、その国の個人情報の保護に関する制度等を把握したうえで必要かつ適切な措置を講じなければならない、としています。台帳では国名を書くところまでで止め、制度の確認は別の作業にします

台帳ができていると、どこで効いてくるのか

1つ目は、漏えいが起きたときです。法第26条と施行規則第7条により、要配慮個人情報が含まれる場合、不正に利用されると財産的な被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が千人を超える場合は、委員会への報告が必要になります。速報の目安は、通則編によれば「当該事態を知った時点から概ね3日から5日以内」。確報は知った日から30日以内で、不正の目的の類型に当たる場合は60日以内です。しかもこの日数の計算には土日・祝日も含まれます。漏れた範囲と項目と人数を、この日数で答えるのは、台帳がないと現実的ではありません。

2つ目は、本人からの請求と公表のときです。法第32条第1項は、事業者の氏名または名称と住所、全ての保有個人データの利用目的、開示等の請求に応じる手続、安全管理のために講じた措置、苦情の申出先を、本人の知り得る状態に置くことを求めています。通則編は、安全管理措置の書き方について「『個人情報の保護に関する法律についてのガイドライン(通則編)』に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない」と明記しています。自社が何をしているかを書くには、何を持っているかが先に要ります

3つ目は、第三者への提供の記録です。法第29条第2項と施行規則第21条により、記録の保存期間は原則3年、提供に関して作成された契約書などの書面をもって記録に代えた場合は最後の提供から1年とされています。台帳の「外に出しているか」の欄が埋まっていれば、どの行について記録が必要かがすぐ分かります。逆にこの欄が空欄のままだと、記録の要否そのものを毎回考え直すことになります。

まとめ

個人データの置き場所の洗い出しは、AI導入の準備のなかで最も地味で、最も後から効いてくる工程です。台帳の列は自分で考えず、通則編の別添が挙げる5項目を骨格にして、保存期間、外に出しているか、置かれている国、AIに渡してよいかの4列を足す。範囲は部署と媒体と期間で切り、紙と個人の作業ファイルを最初から入れる。集めるときは業務の動詞で尋ね、重複は置き場所の識別子で潰し、抜けは取得の入口から逆にたどる。区分は3つに分け、決めた人と決めた日を残す。更新のきっかけは、契約や異動といった既にある手続きに埋め込む。この5工程を通すと、AIに読ませてよい範囲を線で引けるようになります。そして最後に外さないでほしいのが、これは個人データに当たるか、渡してよいかの判断は、AIではなく人が決めるという線引きです。AIに任せるのは候補の抽出と分類の下書きまで。人が確認する範囲を先に決めておけば、台帳は使われ続けます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。

AIの導入・活用、何から始めるべきかお悩みですか?

デボノはアカウント開設・初期設定など「そもそものAI導入」から社内定着まで伴走支援。マーケティング活用など一歩進んだご相談にも対応します。

運営会社:株式会社デボノ

目次