みなさん、こんにちは。
今回は僕としては珍しい、法律とITについての内容です。
みなさんも診断士としての仕事をしていると、報酬の振込などのために銀行口座番号や住所などを回答するときってありますよね。
今回はこれについての内容です。
それでは、今回もよろしくお願いします。
個人情報漏洩
個人情報漏洩とは、企業や団体が保有する個人情報が、本来意図しない形で外部に漏れてしまうことです。
これは、サイバー攻撃や人的ミスなど、様々な原因によって発生する可能性があります。漏洩した個人情報が不正利用されたり、企業が社会的制裁を受けたりするリスクがあります。
診断士として特に気をつけないといけないのは、人為的な漏洩と不正利用です。
今回の銀行口座番号や住所などの個人情報については、診断士としての仕事をしていると回答することがあります。その際、そういう個人情報の管理者は特に気をつけないといけません。
例えば関係のない人に個人情報を含むファイルを送信してしまうことや、意図的に個人情報を持ち出す行為は絶対にNGです。
また、下手をするとクレジットカードの情報も入力するときがあります。こうなると、管理者はITの専門知識があればクレジットカードの情報を手に入れることもできてしまいます。
さらに、他人の住所の情報を得ることでプライバシーを詮索することもできてしまいます。以前見た「勝手に勤務先企業の情報やプライベートを詮索してくる人」ですね。特に若い女性はストーカー被害の可能性もあるので、住所を回答することには細心の注意を払ったほうがいいです。
個人情報を扱う人に課せられている義務
個人情報保護法により、個人情報を扱う担当者（個人情報取扱事業者）には、以下のような義務が課せられます。
利用目的の特定と制限
個人情報を取得する際には、利用目的を明確に定め、その目的の範囲内で利用する必要があります。
安全管理措置
個人情報を安全に管理するための措置を講じる必要があります。これには、不正アクセスや紛失、漏洩などを防ぐための対策が含まれます。
第三者提供の制限
原則として、本人の同意なしに個人情報を第三者に提供することはできません。
ちなみに、個人情報漏洩は罰金や懲役刑を受けるおそれがあります。 個人情報提供者への金銭的賠償が必要になるケースもあります。
開示・訂正・利用停止
本人からの求めに応じて、個人情報の開示、訂正、利用停止などに応じる必要があります。
苦情処理
個人情報の取り扱いに関する苦情に対応する必要があります。
個人情報は個別に送る
上記のような情報漏洩や不正利用のリスクがある以上、銀行口座番号や住所、クレジットカードなどの個人情報のやり取りは個別に行うことがルールです。
気の合う仲間どうし、心理的安全性があるコミュニティだからといってグループLINE上で回答させるのはNGです。
きちんと個人情報を扱う担当者を決め、その人と個別のやり取りによって個人情報を回答することが望ましいです。
クラウド上の共有ファイル
最近よくあるのがクラウド上の共有ファイルです。ドロップボックスに入れてくださいというものや、Googleドライブなど共有ファイル（Excelやスプレッドシート）に書いてくださいというものですね。
これも共有しているメンバーどうしなら誰でも閲覧できてしまいますし、改ざんもできてしまう（実は僕も一度やられたことがあります）ので、情報漏洩や不正利用につながりやすいです。
そこで、ネットで調べてみたら以下のようなものが対策としてありました。
クラウドストレージの利用
クラウドストレージは、ファイルの暗号化やアクセス制限などのセキュリティ機能が充実しているため、個人情報の漏洩リスクを軽減できます。
ファイル転送サービス
パスワード保護や有効期限設定などの機能を持つファイル転送サービスを利用することで、安全にファイルを共有できます。
ウイルスチェック
ファイルをアップロードする際に、ウイルスチェックが自動的に行われるサービスを選ぶと、マルウェア感染のリスクを低減できます。
共有範囲の制限
共有する範囲を必要最小限に制限し、不要なユーザーにはアクセス権を与えないようにしましょう。
ログ管理
誰がいつファイルにアクセスしたかを記録するログ管理機能があると、万が一の際の追跡調査に役立ちます。
ファイル共有の方法に関するマニュアルを作成し、社内で共有しましょう！
共有フォルダに個人情報を保存する際は、アクセス権の設定を慎重に行う必要があります。
共有フォルダへのアクセスを許可するユーザーを限定し、不要なユーザーへのアクセスを制限することで、情報漏洩のリスクを軽減できます。
また、共有フォルダの利用状況を定期的に確認し、不審なアクセスがないかを監視することも重要です。
管理者・担当者もすぐに削除する
当たり前ですが、銀行口座番号や住所などが書かれているファイルは、必要がなくなった時点で削除・廃棄する必要があります。
「あとでやればいいや」はNGです。もたもたしていると情報漏洩や不正利用の可能性が高まりますし、他のメンバーもそれをされないか不安になってしまいます。
今回は個人情報について見ていきました。
今回もありがとうございました。