台帳の権限と個人情報：見られる人を分け、クラウドに預けるときに確かめること

台帳の会社が負う義務

権限の分け方

個人情報保護委員会のガイドライン（通則編）は、講ずべき安全管理措置を、組織的・人的・物理的・技術的な措置などに分けて示しています。技術的安全管理措置の中では、担当者と扱う個人情報データベース等の範囲を限るための適切なアクセス制御と、システムを使う従業者が正当な権限を持つ人であることを識別して認証することを求めています。中小規模の事業者の例として、扱える機器と従業者をはっきりさせ、不要なアクセスを防ぐことも挙げられています。

1. 1

   台帳ごとに使う人を決める

   顧客台帳は営業と事務、社員台帳は総務だけ、のように台帳ごとに分けます。

2. 2

   段階を決める

   見るだけ・入力できる・管理できる（人を足す・書き出す）の段階に分けます。

3. 3

   気をつける項目を分ける

   生年月日・口座・健康のことなど、特に気をつける項目は、管理する人だけが見られるようにします。

4. 4

   入る人を一人ずつにする

   共用のパスワードをやめ、一人ずつの入り方にして、誰が使ったかを分かるようにします。

5. 5

   辞めた人を止める

   退職・異動のときに、その日のうちに使えなくする手順を決めます。

クラウドに預けるときに確かめること

ガイドラインは委託先の監督として、適切な委託先の選定（委託先の安全管理措置が、委託元に求められる水準と少なくとも同等であることを事前に確かめる）、委託契約の締結（委託先での取扱いの状況を委託元が合理的に把握できることを盛り込むことが望ましい）、委託先での取扱状況の把握を挙げています。

• データを置く場所（国・地域）と、預け先が中身をどう扱うか（ほかの目的に使わないか）。
• 会社ごとにデータが分けられているか、権限を台帳・項目の単位で分けられるか。
• 誰がいつ書き出したか、権限を変えたかの記録が残るか。
• やめるときにデータを書き出せるか、いつ消えるか。
• 預け先がさらに使っている事業者（再委託先）が示されているか。