何が問題になるか
場面
社員が出張先や通勤中に、業務用のパソコンやスマートフォンを紛失することがあります。端末には顧客や従業員の情報が保存され、メールやクラウドにログインしたままのこともあります。会社は、これを個人データの漏えいとして扱うかを判断する必要があります。
法律の整理
暗号化されていない端末に個人データが入っていれば、紛失は漏えいのおそれとして報告対象になり得ます。暗号化や遠隔消去ができていれば、個人情報保護委員会のガイドラインでは、高度な暗号化等の秘匿化がされている場合に報告対象から外れることがあります。
個人情報保護委員会は、「下記の要件に該当する場合、漏えい等報告が義務付けられています。」と案内しています。民間事業者の要件には、次のものがあります。
- 「要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）」
- 「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）」
- 「個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）」
例として、「病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合」が挙げられています。端末の紛失も、同じ枠組みで判断します。
端末の状態と、保存されていた個人データ
会社が備えること
確認すること
- 端末が暗号化されていたか、遠隔ロック・遠隔消去を実行できたか
- 端末に保存されていた個人データの種類と、本人の数
- 健康診断の結果など、要配慮個人情報が含まれていないか
- クレジットカード番号やログイン情報など、財産的被害につながる情報がないか
- 端末から接続していたメール・クラウド・社内システムのアカウント
対応
紛失が分かったら、端末を遠隔ロック・消去します。保存されていたデータと接続していたアカウントを洗い出します。警察に遺失届を出し、端末の位置情報の記録とあわせて残します。これらは、報告対象に当たるかを判断する材料になります。報告と本人への通知の流れは、顧客情報が入ったパソコンを社員が紛失しました。何をすればよいですかで説明しています。
再発防止として、次の仕組みを整えます。
- 端末の持ち出しルール（持ち出せる情報、申請、保管の方法）
- 端末の暗号化
- MDM（端末管理）の導入による、遠隔ロック・消去の準備
遠隔ロック・消去と、記録
ご相談で伺うこと
- 紛失した端末の種類と、紛失が分かった日時・場所
- 暗号化・遠隔消去の状況と、その記録
- 端末に保存されていた情報の範囲と、本人の数の見込み
- 接続していたアカウントと、不正なログインの有無
- 持ち出しのルールと、端末管理の現状