このページの要点
- 保管期間は、法令の保存の定め、紛争への備え、利用の継続の三つの型から根拠を決め、情報の種類ごとに分ける。
- 消去は、パソコンだけでなく、紙・端末・メッセージアプリ・メール・バックアップ・外部サービスまで含めて考える。
- 安全管理措置は、実際に行っていることだけを書く。「すべて」「万全」「絶対」は書かない。委託先は選ぶとき・任せているとき・やめるときで管理する。
- 漏えい等は規則7条の四類型に当たれば報告と本人通知が要る。窓口と初動を、あらかじめ決めておく。
結論：守れない約束は書かない。保管期間・消去・安全管理は、実際にやっていることだけを書く
プライバシーポリシーの終盤には、保管の期間、消去、安全管理についての条項が置かれるのが一般的です。ここは、ひな形の文章がそのまま貼られやすい部分でもあります。「組織的、人的、物理的、技術的な安全管理措置を講じます」「保管期間は○年とします」「不要になった情報は直ちに消去します」。こうした文章は立派に見えますが、一人で、あるいは少人数で運営している事業が、実際にそれを行っているかというと、そうでないことが少なくありません。
書いたことと実際の運用が食い違っていると、二つの問題が生じます。一つは、問い合わせや苦情を受けたときに、書いたとおりにできていない事実が表に出ることです。もう一つは、審査や点検のときに、文章と実態の食い違いとして指摘されることです。このページでは、保管期間、消去、安全管理措置、委託先の管理、事故のときの窓口を、小規模な運営でも守れる形で書くための考え方を整理します。
- 保管期間は、「根拠」と「運用」の二つを確かめてから書く。根拠が法令なのか、紛争への備えなのか、利用の継続なのかを分ける。
- 消去は、パソコンの中だけでなく、紙、スマートフォン、メッセージアプリ、バックアップまで含めて考える。
- 安全管理措置は、実際に行っていることだけを書く。行っていない措置を並べない。
- 外部に任せる場合は、選ぶとき、任せているとき、やめるときの三つの場面で管理する。
- 事故が起きたときの報告と本人への通知、窓口を、あらかじめ決めておく。
外部のサービスに任せる場合の区分は外部サービスの区分で、請求の窓口の設計は開示・訂正・利用停止の請求と窓口の書き方で扱っています。ここでは、事業者が自分で管理する情報の保管と守り方に集中します。
保管期間の根拠を整理する：法令、紛争への備え、利用の継続
保管期間に「正解」の年数はありません。個人情報保護法は、保管期間を定めていません。事業者が、自分の事業の実態に合わせて、根拠を持って決めることになります。根拠は、大きく三つの型に分けて考えると整理しやすくなります。
保管期間の根拠の型
| 根拠の型 | 考え方 | 確かめること |
|---|---|---|
| 法令で保存が定められている | 別の法令が、書類や記録の保存期間を定めている場合は、その期間を下回って消せない。 | 自分の事業が、どの法令の保存の定めの対象かを、個別に調べる。 |
| 紛争への備え | 請求や苦情が出うる期間は、記録を残して、事実の確認ができるようにしておく。 | 請求できる期間は、民法の消滅時効の定めを手がかりにできる。 |
| 利用の継続 | 会員や継続の契約が続く間は、サービスの提供に必要な範囲で持つ。 | 契約が終わった後に、使う必要がなくなったかを確かめる。 |
| 利用する必要がなくなった | 目的を達したら、持ち続ける理由がなくなる。 | 消去する時期と、消去の方法を決める。 |
法令の保存の定めの例として、商法19条3項は、商人は、帳簿閉鎖の時から10年間、その商業帳簿と、営業に関する重要な資料を保存しなければならないと定めています。事業の種類や形態によっては、これとは別の法令が、別の期間を定めていることもあります。どの記録に、どの法令の保存の定めがかかるかは、自分の事業について、個別に調べる必要があります。
紛争への備えとしての期間を考えるときの手がかりが、民法の消滅時効です。民法166条1項は、債権は、権利を行使することができることを知った時から5年、または権利を行使することができる時から10年で消滅すると定めます。また、民法724条は、不法行為による損害賠償の請求権は、損害及び加害者を知った時から3年、不法行為の時から20年で消滅すると定めます。これらは、記録を残す期間を決める唯一の基準ではありませんが、何年先まで請求が出うるのかを考える手がかりになります。
どの根拠を採るかは、記録の種類ごとに違います。たとえば、申込みと契約の記録は、取引の記録として、長めに残す理由があります。単なる問い合わせの記録は、対応が終われば、短い期間で足りることが多いはずです。一律の年数を全部に当てはめるより、種類ごとに期間を分けるほうが、根拠も運用も説明しやすくなります。
固定の年数を書くときの落とし穴
ポリシーに「保管期間は5年とします」と書くと、5年が過ぎたら必ず消す、という約束になります。ところが、実際には、年数を数えて消す作業をしていない事業者が多くあります。年に一度の整理もなく、古い情報が積み重なっていく、という状態です。この場合、ポリシーの約束が守られていないことになります。
書き方の例（一般的な例） 保管期間の書き方
固定の年数
理由種類ごとに期間が違うのが普通。一律の年数は、守れない約束になりやすい。
消去の約束
理由「直ちに」「完全に」は、守れないことが多い。実際にできる頻度と方法で書く。
期間の書き方
理由「必要と判断する期間」では、本人が見ても期間が分からない。目安でも、種類ごとに示すほうが、実態を伝える。
年数を書かずに「必要な期間」とだけ書くのも、避けたい書き方です。本人にとっては、いつまで自分の情報が残るのかが全く分かりません。年数が決められない場合は、期間を決める基準、たとえば「契約が終了した後の一定の期間」「問い合わせの対応が完了した後の一定の期間」といった形で、基準を示すと、本人が理解しやすくなります。
消去の実務：パソコンの中だけでは足りない
個人情報保護法22条は、利用する必要がなくなったときは、個人データを遅滞なく消去するよう努めなければならないと定めています。条文は努力義務ですが、ポリシーに消去を約束するなら、約束した分は実行する必要があります。そして、消去の対象は、パソコンの中のファイルだけではありません。個人情報は、思わぬ場所に残っていることが多いからです。
消去の対象になる場所と、残りやすい理由
紙の記録
起きがちなこと申込書や問診票の紙が、ファイルや箱に残っている。
整え方保管の期間を決め、期間が過ぎた紙は、読めない形にして処分する。処分の方法を決めておく。
スマートフォンや端末
起きがちなこと連絡先、写真、メッセージの履歴が、端末に残っている。
整え方端末に残す情報の範囲を決め、機種変更や処分の際の消去も決めておく。
メッセージアプリ
起きがちなことやり取りの履歴が、アプリの中に残り続ける。
整え方やり取りを残す期間を決める。必要な内容は、管理する場所に移し、履歴は消す。
バックアップ
起きがちなこと本体を消しても、バックアップに残る。
整え方バックアップの保存期間を決め、期間が過ぎたら消えるようにする。ポリシーにも、バックアップに残ることを書く。
メールの送受信
起きがちなこと過去のメールに、個人情報が書かれている。
整え方メールの保存期間を決め、定期的に整理する。
外部のサービス
起きがちなこと解約しても、サービス側にデータが残る。
整え方サービスをやめるときの消去の手順を、契約の時点で確かめておく。
消去について、ポリシーに書く内容は、事業者の運用の範囲で決めます。「バックアップを含めて直ちに消去します」と書けるのは、実際にそれができる運用がある場合だけです。バックアップに一定の期間残るのであれば、その旨を書くほうが、利用者に誠実です。SNSやコミュニティで、アカウント削除後に残るものを書く場合の考え方はSNS・会員制コミュニティのプライバシーポリシーでも触れています。
安全管理措置：実際に行っていることだけを書く
個人情報保護法23条は、個人情報取扱事業者は、取り扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のために、必要かつ適切な措置を講じなければならないと定めます。「必要かつ適切」とは、取り扱う個人データの量や性質、事業の規模などに応じた措置です。大企業と同じ措置が、一人で運営する事業に求められるわけではありません。
一方で、保有個人データについては、安全管理のために講じた措置を、本人の知り得る状態に置く必要があります。個人情報保護法32条1項4号は、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるものを挙げており、施行令10条1号が、23条の規定により保有個人データの安全管理のために講じた措置を挙げています。ただし、本人の知り得る状態に置くことで安全管理に支障を及ぼすおそれがあるものは除かれます。つまり、講じた措置を全部詳しく書く必要はなく、書けば安全管理に支障が出るような細部は、書かなくてよい場合があります。
小規模な運営でも書ける安全管理の例
| 区分 | 取り組みの例 | 書き方の要点 |
|---|---|---|
| 取扱いの決まり | 個人情報を扱う範囲、保管の場所、持ち出しの可否を決める。 | 決まりを作っていること、見直しの機会を持つことを書く。 |
| アクセスの限定 | 個人情報の入った端末やファイルを開ける人を限る。パスワードをかける。 | 開ける人を限っていること、認証をかけていることを書く。 |
| 物理的な管理 | 紙の記録は鍵のかかる場所に保管する。端末の紛失や盗難に備える。 | 鍵のかかる場所に保管していること、端末の紛失対策を書く。 |
| 技術的な管理 | 端末とソフトを最新の状態にする。不正なアクセスやウイルスへの対策をする。 | 実際に行っている範囲に限って書く。製品名や設定の詳細は書かない。 |
| 外部のサービスの管理 | 使う前に、サービスの安全性の説明を確認する。 | 外部のサービスを利用する場合の、選定と確認の方法を書く。 |
表の「書き方の要点」に共通しているのは、実際に行っていることだけを、簡潔に書くという点です。「ファイアウォール、侵入検知、暗号化、多要素認証、ログ監視を実施しています」と列挙して、実際にはそのうち数個しか行っていないなら、その文章は事実に反します。逆に、行っていることが少ないからといって、安全管理について何も書かないと、法が求める措置の公表と合わなくなります。
書き方の例（一般的な例） 安全管理措置の書き方
列挙
理由「すべて」「万全」は、守れない約束になる。実際に行っていることを、具体的に書く。
保証
理由「絶対に」は保証になり、事故が起きたときに責任が生じやすい。措置を講じていることと、事故時の対応を書く。
外国の制度を踏まえた安全管理が必要な場合もあります。個人データを外国で取り扱っているなら、その外国の制度を把握したうえで措置を講じる、という考え方がガイドラインの安全管理措置の項に示されています。該当する可能性がある場合は、原文で確認してください。
委託先の管理：選ぶとき、任せているとき、やめるとき
個人データの取扱いの全部または一部を委託する場合、個人情報保護法25条は、取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。外部のサービスを使うことは、多くの場合、委託に当たります。その場合、監督の義務は、サービスの利用を始めるときだけでなく、使っている間も、やめるときも続きます。
確認の問い委託先の管理を確かめる問い
サービスを選ぶとき、情報の管理に関するサービスの説明を確認しましたか。
理由選定の際に、安全管理の水準を確かめることが、監督の出発点になるため。
サービスに預ける情報の範囲を、必要なものに限っていますか。
理由預ける範囲が広いほど、漏えいのときの影響が大きくなるため。
サービスの利用をやめるとき、預けたデータを消去してもらう手順を知っていますか。
理由利用をやめた後にデータが残ると、保管と消去の約束が守れなくなるため。
サービス側で事故があったとき、連絡を受ける窓口と手順がありますか。
理由委託先の事故は、委託元の事故として扱われ得るため。
個人情報保護委員会のQ&Aは、委託された個人データを、委託先が独自に取得したデータと本人ごとに突合することはできないとする項目を置いています。委託の範囲を超えた使い方をさせないことも、監督の一部と考えられます。
漏えいが起きたときの報告・通知と、窓口
安全管理にどれだけ努めても、事故が起きる可能性をゼロにはできません。個人情報保護法26条1項は、個人データの漏えい、滅失、毀損その他の安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、個人情報保護委員会に報告しなければならないと定めています。規則7条は、そのような事態として、四つの類型を挙げています。
- 要配慮個人情報が含まれる個人データの漏えい等が発生し、または発生したおそれがある事態
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、または発生したおそれがある事態
- 不正の目的をもって行われたおそれがある、事業者に対する行為による個人データの漏えい等が発生し、または発生したおそれがある事態
- 個人データに係る本人の数が千人を超える漏えい等が発生し、または発生したおそれがある事態
報告は、事態を知った後、速やかに行います（規則8条1項）。事態を知った日から30日以内、ただし、不正の目的をもって行われたおそれがある行為による場合は60日以内に、報告事項を報告しなければなりません（同条2項）。あわせて、26条2項は、本人に対して、事態が生じた旨を通知しなければならないと定めています。本人への通知が困難な場合は、本人の権利利益を保護するために必要な代替の措置をとることになります。
事故が疑われたときの動き方（一般的な例）
- 事実を確かめるいつ、何が、どの範囲で漏れた可能性があるかを確かめる。端末の紛失か、誤送信か、不正アクセスかなど。
- 被害を広げない誤送信なら相手に削除を依頼する。パスワードの変更、アカウントの停止など、止められることを止める。
- 報告と通知の要否を判断する規則7条の四つの類型に当たるかを確かめる。当たるなら、委員会への報告と本人への通知を行う。
- 本人へ伝える何が起きたか、どの情報か、本人が取れる対応を伝える。窓口を示す。
- 原因を確かめ、再発を防ぐ原因を整理し、運用を見直す。記録を残す。
類型に当たらない軽微な事故でも、記録を残し、必要に応じて本人に伝えるのが、実務上は無難です。
ポリシーに、事故のときの対応を書くかどうかは、事業者の判断です。書く場合は、実際に行える対応に絞ります。窓口については、個人情報保護法40条が、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努め、そのために必要な体制の整備に努めることを求めています。苦情の窓口は、開示などの請求の窓口と同じにするのが、分かりやすい方法です。保有個人データについては、施行令10条2号が、取扱いに関する苦情の申出先を、本人の知り得る状態に置く事項として挙げています。
起きがちなこと
保管・消去・安全管理で起きがちなこと
- 「保管期間は5年」と書いているが、5年を過ぎたものを消す作業を一度もしたことがない。
- 「直ちに完全に消去します」と書いているが、バックアップや紙の記録は残っている。
- 「組織的、人的、物理的、技術的な措置のすべてを講じています」と書いているが、実際に行っているのは数個だけ。
- 「絶対に漏えいしません」と、保証する書き方をしている。
- 外部のサービスに預けているのに、やめるときのデータの消去を確かめていない。
- メッセージアプリのやり取りに個人情報が残り続けているのに、消去の対象に入れていない。
- 事故が起きたときの連絡先と手順が決まっていないため、初動が遅れる。
よくあるご質問
個人情報の保管期間は、法律で決まっていますか？
個人情報保護法は、保管期間を一律には定めていません。利用する必要がなくなったときは、個人データを遅滞なく消去するよう努める（22条）という定めがあります。一方、帳簿や書類については、別の法令が保存期間を定めていることがあります。たとえば、商人の商業帳簿と営業に関する重要な資料は、帳簿閉鎖の時から10年間の保存が定められています（商法19条3項）。情報の種類ごとに、根拠を確かめて期間を決めます。
安全管理措置は、ポリシーにどこまで詳しく書くべきですか？
実際に講じていることを、簡潔に書きます。保有個人データについては、講じた安全管理措置を本人の知り得る状態に置く必要がありますが、知り得る状態に置くことで安全管理に支障を及ぼすおそれがあるものは除かれます（個人情報保護法32条1項4号、施行令10条1号）。製品名や設定の詳細まで書く必要はなく、行っていない措置を並べるのは避けます。
不要になった個人情報は、すぐに消さないといけませんか？
22条は、消去するよう「努めなければならない」という努力義務です。ただし、ポリシーに「直ちに消去します」と書いたなら、その約束は守る必要があります。年に一度などの見直しの機会にまとめて消去する運用なら、そのとおりに書くほうが実態に合います。バックアップや紙の記録など、残りやすい場所も忘れずに確かめます。
外部のサービスで情報が漏れたら、自分の責任になりますか？
個人データの取扱いを委託している場合、委託元には、委託先に対する必要かつ適切な監督の義務があります（25条）。サービス側の事故であっても、委託元が報告や本人への通知の義務を負う場面があり得ます（26条）。サービスを選ぶときに安全管理を確かめ、事故のときの連絡の手順を確認しておくことが、備えになります。
個人情報が漏れたとき、必ず個人情報保護委員会に報告しないといけませんか？
規則7条が定める四つの類型、すなわち、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が千人を超える場合のいずれかに当たるときは、報告が義務づけられます（26条1項）。報告は、速やかに行い、事態を知った日から30日以内（不正の目的の場合は60日以内）に確報を出します（規則8条）。類型に当たらない場合も、事実の記録は残しておくのが実務的です。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
