個人情報の社内管理ルール｜アクセス権限・持ち出し・保存期間の決め方

第8話で安全管理措置（組織的・人的・物理的・技術的措置）を学びました。第9話は、その安全管理措置を実際の社内ルールに落とし込む段階です。安全管理措置の全体像を振り返りたい方は第8話：安全管理措置とは？もご覧ください。

まず結論｜「誰が・どこで・いつまで・どう守るか」を決める

先に結論をお伝えします。個人情報の社内管理ルールとは、個人情報を取得した後に、「誰が・どこで・どの範囲で・いつまで・どのように管理するか」を決めるものです。これを決めずに運用すると、アクセスが野放しになったり、不要なデータが溜まり続けたりします。

個人情報の社内管理ルールとは何か

個人情報の社内管理ルールは、安全管理措置を実務に落とし込むための規程・台帳・手順です。第8話で学んだ「組織的・人的・物理的・技術的措置」を、現場で実際に運用できる形にしたものと考えるとわかりやすいでしょう。

具体的には、次のような文書が関係します。

• 個人情報管理規程・情報セキュリティ規程
• 個人情報取扱台帳
• アクセス権限管理表
• 保存期間表
• 削除・廃棄記録
• 委託先管理台帳

アクセス権限の決め方

個人情報へのアクセス権限は、「必要な人だけが、必要な範囲で、必要な期間だけ見られる」ように設計することが基本です。誰でも見られる状態は、それだけで漏えいリスクを高めます。「社内共有だから権限管理は不要」とはなりません。

権限の範囲は、情報の性質によって変えるべきです。たとえば、採用情報、人事評価、健康情報のような機微な情報は、顧客リストや問い合わせ情報よりも閲覧範囲を狭く設定するのが一般的です。要配慮個人情報を含む情報は、特に慎重なアクセス制御が求められます。

共有フォルダ・クラウドストレージの管理

共有フォルダ、Google Drive、OneDrive、Box、Dropbox、社内ファイルサーバーなどに個人情報を保存する場面は多くあります。便利な一方で、「誰でも閲覧できる共有フォルダ」「放置されたリンク共有」「古いファイルの残存」といったリスクが生じやすい領域です。

クラウドサービスを利用する場合、自社の運用ルールに加えて、サービス提供者が個人データを取り扱うか、委託・第三者提供・提供に当たらない整理のいずれに近いか、保存先や外国取扱いがどうなっているかを確認する必要があります。なお、提供者が個人データを取り扱わない整理となる場合でも、自社の安全管理措置は必要です。SaaS・クラウドの契約前チェックは第14話：SaaS・クラウドサービス利用時の個人情報チェックで詳しく扱います。

社外持ち出し・リモートワーク時のルール

個人情報の社外持ち出しは、事故が起きやすい場面です。PC、USB、紙資料、スマートフォン、私物端末、メール添付、クラウド同期など、持ち出しの経路は多岐にわたります。リモートワークが広がった今、便利さと安全性のバランスを取ったルール設計が重要です。

持ち出しルールでは、持ち出し可否、承認手続、暗号化、紛失時の連絡先、公共Wi-Fi・私物端末の利用条件、印刷物の管理などを定めておくと、現場が迷いません。

保存期間の決め方｜法律で一律に決まっているわけではない

保存期間について、初心者が誤解しやすい重要なポイントがあります。個人情報保護法では、個人情報の保存期間や廃棄すべき時期が一律に定められているわけではありません。個人情報保護委員会のQ&Aでも、保存期間や廃棄時期について法律で規定はしていないと説明されています。

ただし、何でも好きなだけ保管してよいわけではありません。個人情報保護法では、利用する必要がなくなった個人データは、遅滞なく消去するよう努めなければならないとされています（法第22条。これは努力義務です）。不要なデータを漫然と保管し続けることは、漏えいリスクを高めるため避けるべきです。

なお、法第22条の消去の努力義務は、法律上は「個人データ」について定められています。本記事では読みやすさのために「個人情報の保存期間」と表現する箇所がありますが、義務の対象を考える場面では、個人情報・個人データ・保有個人データの区別（第2話）を確認してください。

削除・廃棄ルールの作り方

保存期間を決めても、実際に削除・廃棄する運用がなければ意味がありません。「期限は決めたが誰も消していない」状態では、結局データが溜まり続けてしまいます。削除・廃棄の対象は、紙書類、電子ファイル、メール、バックアップ、クラウドストレージ、SaaS上のデータ、委託先保管データなど多岐にわたります。

個人情報取扱台帳・管理台帳の作り方

個人情報を社内で管理するには、どの部署が、どの情報を、何の目的で、どこに保存し、誰に渡しているかを一覧化することが有効です。これを整理したものが個人情報取扱台帳です。台帳があれば、新しい施策のときの確認も、点検も、見直しもスムーズになります。

台帳をもとにした総点検は、第15話：個人情報保護法対応チェックリストで扱います。台帳は大企業だけのものではなく、中小企業・スタートアップでも、簡易な一覧から始める価値があります。

退職者・異動者アカウントの管理

退職者や異動者のアカウント・権限が残っていると、不要なアクセスや情報漏えいのリスクが高まります。「使われていないアカウントだから放置でよい」とは言えません。退職・異動の手続に、個人情報アクセスの整理を組み込むことが重要です。

これは、人事・情シス・総務・法務が連携すべき場面です。退職・異動が発生したら、権限削除、貸与端末の返却、クラウドアカウントの停止、メール転送の扱い、共有フォルダ権限の見直しを行います。

メール・チャット・生成AIでの社内共有ルール

個人情報は、ファイルサーバーだけでなく、メール、チャット、社内SNS、タスク管理ツール、生成AIへの入力など、さまざまな経路で流通します。「メールやチャットは一時的な連絡だから管理対象外」とはなりません。これらも個人情報が流れる経路として、ルールを定めておく必要があります。

生成AIへの入力は、「社内利用だから問題ない」とは言い切れません。入力先のサービスや設定によっては、外部への提供・委託の論点が生じ得ます。詳しくは法務でChatGPTはどこまで使える？、生成AI時代の委託・再委託チェックリストをご覧ください。

部署別に見た社内管理ルール

扱う個人情報の種類は部署ごとに異なるため、部署別に管理ポイントを整理すると実務に落とし込みやすくなります。

採用・従業員情報は第11話・第12話、営業まわりは第13話で詳しく扱います。

社内管理ルールを整備するステップ

社内管理ルールは、一度にすべてを完璧に作る必要はありません。次の順番で、できるところから整えていきましょう。

1. 個人情報の棚卸し（何がどこにあるか洗い出す）
2. 保管場所の確認（どこに保存されているか）
3. アクセス権限の確認（誰が見られるか）
4. 保存期間の仮設定（いつまで保管するか）
5. 削除・廃棄ルールの設計（いつ・誰が消すか）
6. 持ち出し・外部共有ルールの整備
7. 退職・異動時の権限削除フロー整備
8. 委託先・SaaSの確認
9. 社内規程・台帳への反映
10. 定期見直し

よくある誤解と正しい理解

社内管理ルールをめぐる代表的な誤解を整理します。

企業法務担当者が確認すべき質問

社内管理ルールの整備状況を確認するときに使える質問を整理します。現場を責めるためではなく、「まず何から整えるか」を一緒に見つけるための質問として使うとスムーズです。

このシリーズでの次の学び方

社内管理ルールを整えたら、次は事故が起きたときの備えと、場面別の管理に進みます。第10話では漏えい等が起きたときの初動対応を、第11話・第12話では採用情報・従業員情報の管理を、第13話では営業リスト・名刺情報・メール配信を、第14話ではSaaS・クラウド利用時のチェックを扱います。

まとめ｜アクセス・持ち出し・保存期間・削除・台帳を一体で設計する

個人情報の社内管理ルールは、アクセス権限・持ち出し・保存期間・削除廃棄・台帳管理を一体で設計することが大切です。どれか一つだけ整えても、ほかが抜けていれば事故につながります。保存期間は法律で一律に決まっているわけではなく、利用目的や法令上の保存義務、業務上の必要性を踏まえて自社で設計し、不要になった個人データは遅滞なく消去するよう努めます（法第22条）。