昔の顧客情報を、念のためという理由で残し続けていないか。国の注意喚起は、保存の根拠を確認することと、必要がなくなったデータの消去を扱っています。
2027年4月に向けた安全管理措置の見直し案も先取りして提示
個人情報保護委員会は2026年10月7日、大規模な漏えい等事案を踏まえ、個人情報を取り扱う事業者へ注意喚起しました。特に、多くの人が利用するサービスや、機微性が高い情報などを大量に保有する事業者に、適正な取扱いを求めています。行政機関全般へ同じ条項を一律に当てはめる通知ではなく、個人情報取扱事業者を対象とする案内です。その中で、保管する個人データが今も必要か、保存を求める法令等の根拠も含めて確認するよう呼び掛けています。
法第22条については、利用目的の達成に必要な範囲で情報を正確かつ最新に保つとともに、使う必要がなくなった個人データを遅滞なく消去するよう努める規定だと説明します。利用目的を達成し、保有する合理的な理由がなくなった場合や、前提の事業自体が中止になった場合などが対象です。一方、法令で保存期間が定められている場合は扱いが異なります。保存年数だけで一律に消すという内容ではなく、利用の目的と保存の根拠を確認する対応を示しています。
あわせて、2027年4月の内容確定を予定するガイドライン見直しについて、技術的安全管理措置の案を先取りして示しました。アクセス権限の最小化や棚卸し、多要素認証、ログの保管と分析などを手法の例として挙げています。例示の全項目を実施しなければ直ちに法違反となるという説明ではなく、情報の量や性質、事業の規模などのリスクに応じた内容が必要としています。現在の注意喚起と今後の見直し案を区別し、不要な保管を減らす対応も防御の一部として扱っています。
詳しくは「個人情報保護委員会」の公式ページまで。
レポート／DXマガジン編集部
