【ITパスポートの実務】個人情報の取り扱いルール、どう周知する？──法律を「動作」に翻訳する
総務担当として、個人情報の周知文の作成を頼まれた。
「店舗スタッフがお客様の名簿や申込書を扱う機会が増えてきました。個人情報の取り扱いについて『全員が守るべき基本ルール』を、朝礼で配る短い周知文にまとめてほしいのです。むずかしい法律用語を並べるより、現場の人が読んで『これは守ろう』と思える書き方だと助かります。」
ITパスポートの知識がここで力になるのは、条文の義務を「その場でできる動作」に置き換えられたときだ。法律は何をしてはいけないかを書いているが、現場が要るのは何をすればいいかである。この記事では、その翻訳のしかたを整理する。
まず結論：禁止を並べても、守られない
周知文でやりがちなのが「してはいけないこと」を並べる形である。条文がその形で書かれているので、そのまま写すとそうなる。
ところが現場の人が知りたいのは「では、どうすればいいのか」である。禁止だけ渡されると、判断できない場面で止まる。
だから1つの義務につき、1つの動作に翻訳する。「持ち出さない」ではなく「持ち出すときは責任者に一声かける」のように、やることの形にする。
そして短くする。朝礼で配る紙なので、読み切れる量でなければ意味がない。全部を書かず、いちばん起きやすいものに絞る。
そもそも何が個人情報か
この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等……により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの（個人情報の保護に関する法律2条1項）
1号のかっこ書が、現場でいちばん効く。
「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」——つまりそれ単体では名前が分からなくても、社内の別の表と突き合わせれば分かるなら、個人情報として扱うことになる。
だから「会員番号だけだから大丈夫」とはならない。番号と名前をつなぐ表が社内にあれば、照合できてしまう。
周知文に書くなら「名前が書かれていなくても、社内の資料と突き合わせれば誰か分かるものは、同じように扱ってください」という一文になる。ここを外すと、抜け道ができる。
3項の要配慮個人情報——病歴、犯罪の経歴などが含まれるもの——は、取得の段階から扱いが違う。20条2項が、原則としてあらかじめ本人の同意を得ないで取得してはならないとしている。「聞いてよいか」から違うと伝える。
条文を、動作に置き換える
| 条文が求めていること | 現場の動作に直すと |
|---|---|
| 利用目的をできる限り特定する（17条1項） | 何のためにいただいた情報かを、言えるようにしておく |
| 特定された利用目的の達成に必要な範囲を超えて取り扱わない（18条1項） | いただいた目的以外に使わない（名簿を別の案内に流用しない） |
| 偽りその他不正の手段により取得しない（20条1項） | 何に使うかを伝えてからいただく |
| 要配慮個人情報は原則として本人の同意を得て取得（20条2項） | 体調や既往のことは、必要がなければ聞かない |
| 安全管理のために必要かつ適切な措置を講ずる（23条） | 置き場所を決める。机に出したままにしない。持ち出すときは一声かける |
| あらかじめ本人の同意を得ないで第三者に提供しない（27条1項） | 社外の人に渡さない・見せない |
| 漏えい等が生じたときは委員会に報告し、本人に通知する（26条） | なくした・見られたかもしれない、と思ったらすぐ報告する |
左が条文の言葉、右が周知文に書く言葉である。
翻訳のこつは主語を「あなた」にすることだ。条文の主語は「個人情報取扱事業者」で、読む人は自分のことだと思えない。その人がやる動作に直す。
そして場所と時を入れる。「適切に管理する」ではなく「帰るときに引き出しへ戻す」のほうが、できたかどうかが分かる。
できたかどうかが自分で分かる形にすると、守られやすくなる。「適切に」は、誰も判定できない。
いちばん大事なのは、最後の1行
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいもの……が生じたときは、……当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
２ 前項に規定する場合には、個人情報取扱事業者……は、本人に対し、……当該事態が生じた旨を通知しなければならない。（個人情報の保護に関する法律26条）
この条文は会社の義務を定めている。ところが会社が知らなければ、報告のしようがない。
だから現場から上がってくることが、この義務を果たす前提になる。周知文のいちばん大事な行は、ここである。
ただし「必ず報告すること」と書くだけでは上がってこない。報告すると叱られると思われていれば、隠される。
だから「早く分かれば手が打てます。まず知らせてください」という書き方にする。報告する人を責めないと、文面ではっきり示す。
これは文章の工夫ではなく、実際にそう運用する必要がある。一度でも報告者が責められれば、次から上がってこない。周知文は、その運用を約束する場所でもある。
そして「迷ったときの相談先」を書いておく。判断に迷う場面は必ず出るので、誰に聞けばいいかが書いてあるだけで、止まらずに済む。
周知文の組み立て
- なぜ大事かを1〜2行。「お客様が安心して利用できるように」など、目的から入る。
- 何が対象かを1行。名前がなくても照合できるものを含むことを添える。
- 守ることを、動作の形で3〜5個。全部書かない。
- 何かあったときの連絡先と、責めない旨。
- 迷ったときの相談先。
3を3〜5個に絞るのがこつである。10個書くと、1つも覚えられない。
絞り方は「起きやすさ」で決める。実際に起きそうなことから書く。めったに起きないことを網羅するより、毎日起きることを1つ守ってもらうほうが効く。
そして1が抜けやすい。なぜ大事かを書かずにルールだけ渡すと、「面倒な決まり」として受け取られる。1行でよいので、目的を先に書く。
4と5を最後に置くのは、読み終わったときに残ってほしいからである。禁止で終わらせず、「困ったらここへ」で終える。
書くときに避けたいこと
- 条文をそのまま貼らない——読まれない。根拠として末尾に置くのはよい
- 「適切に」「厳重に」で終わらせない——できたかどうかが判定できない
- 脅さない——罰則を前面に出すと、隠す動機になる
- 網羅しない——全部書くと、1つも残らない
- 専門用語を説明なしに使わない——「要配慮個人情報」は、「体調や既往などの情報」とほどく
とくに脅さないは大事である。「違反すると罰則があります」と書くと、報告が上がらなくなる。26条の義務を果たせなくなる方向に働く。
依頼者も「読んで『これは守ろう』と思える書き方」を求めていらっしゃる。怖がらせて守らせる形は、求められていない。
周知文の例
お客様の情報の取り扱いについて
お客様に安心してご利用いただくために、名簿や申込書の扱いについて、全員で守ることをまとめました。
対象になるもの
お名前・ご連絡先・お申込みの内容など、お客様に関する情報です。お名前が書かれていなくても、社内の別の資料と突き合わせればどなたか分かるもの（会員番号など）も同じ扱いにしてください。守っていただくこと
- いただいた目的以外に使いません。お申込みでいただいた名簿を、別のご案内に使うことはしません。
- 置き場所を決めます。申込書は所定の場所へ。帰るときに机の上に出したままにしません。
- 持ち出すときは、一声かけてください。店舗の外へ出す必要があるときは、先に店長へ。
- 社外の方には渡しません・見せません。ご家族やお知り合いからのお問い合わせでも同じです。
- 体調やご病気に関することは、必要がなければ伺いません。伺う必要があるときは、理由をお伝えしてからにします。
「もしかして」と思ったときは
書類が見当たらない、誰かに見られたかもしれない——そう思ったら、すぐに店長へお知らせください。早く分かれば、打てる手があります。お知らせいただいた方を責めることはありません。気づいた時点で結構ですので、まず一言ください。
迷ったときは
判断に迷う場面は必ず出てきます。その場で決めずに、店長にご相談ください。
5つに絞り、すべて動作の形にしてある。「適切に管理する」は1つも使っていない。
そして最後の2つの見出しが、いちばん長い。報告と相談に、いちばん字数を使っている——そこがいちばん大事だからである。
罰則には触れていない。「安心してご利用いただくために」という目的から始めて、「まず一言ください」で終えている。
作り方の手順
- 何を扱っているかを洗い出す。名簿、申込書、問い合わせの記録。
- どこで起きやすいかを考える。持ち出し、置き忘れ、口頭で伝えてしまう。
- 条文の義務を確認する（個情法17条・18条・20条・23条・26条・27条）。
- 動作に翻訳する。主語を「あなた」に、場所と時を入れる。
- 3〜5個に絞る。起きやすいものから。
- 目的を1行、先頭に置く。
- 報告と相談を最後に、いちばん丁寧に書く。
- 責めない旨を明記する。そして実際にそう運用する。
- 読み合わせる。配って終わりにしない。
- 起きたことを反映して直す。1度で完成させない。
9と10が抜けやすい。配っただけでは伝わらないし、実際に起きたことが反映されないルールは、現場から離れていく。
ヒヤリとしたことが上がってきたら、それを次の版に入れる。現場から出た例が入っていると、自分たちのルールだと感じてもらえる。
この場面で効いているITパスポートの知識
- 個人情報の定義——照合により識別できるものを含む（個情法2条1項1号）
- 要配慮個人情報——取得の段階から扱いが違う（同条3項、20条2項）
- 利用目的——特定し、その範囲を超えない（17条・18条）
- 安全管理措置——必要かつ適切な措置（23条）
- 第三者提供の制限——原則として本人の同意（27条1項）
- 漏えい等の報告・通知——委員会への報告と本人への通知（26条）
知識そのものより、それを現場の動作に翻訳できることが、この場面で効いている。
案内で外したくないポイント
- 禁止を並べない。1つの義務を1つの動作に翻訳する。
- 主語を「あなた」にする。条文の主語のままでは自分ごとにならない。
- 場所と時を入れる。「適切に」では判定できない。
- 名前がなくても対象になりうる（個情法2条1項1号かっこ書）。
- 体調や既往は取得の段階から違う（同条3項、20条2項）。
- 3〜5個に絞る。起きやすいものから。
- 目的を先頭に1行。ルールだけ渡さない。
- 報告と相談を最後に、いちばん丁寧に（26条の前提になる）。
- 脅さない。罰則を前面に出すと隠す動機になる。
- 読み合わせ、起きたことを反映して直す。
根拠条文のまとめ
| 条文 | 見出し | この記事で使った内容 |
|---|---|---|
| 個人情報の保護に関する法律2条1項 | 定義 | 個人情報。かっこ書で「他の情報と容易に照合することができ……特定の個人を識別することができることとなるものを含む」 |
| 同法2条3項 | 同上 | 要配慮個人情報（病歴、犯罪の経歴など） |
| 同法17条・18条 | 利用目的の特定／利用目的による制限 | できる限り特定し、達成に必要な範囲を超えて取り扱わない |
| 同法20条1項・2項 | 適正な取得 | 偽りその他不正の手段により取得しない。要配慮個人情報は原則として本人の同意 |
| 同法23条 | 安全管理措置 | 漏えい、滅失又は毀損の防止その他必要かつ適切な措置 |
| 同法26条1項・2項 | 漏えい等の報告等 | 個人情報保護委員会への報告と、本人への通知 |
| 同法27条1項 | 第三者提供の制限 | あらかじめ本人の同意を得ないで第三者に提供しない |