保管場所、利用目的、利用する人、社外への受け渡しを整理します。共有範囲を必要な人に限定し、送信前の確認、委託先や生成AIサービスの利用条件、保存と削除の手順を具体的な業務に沿って点検します。
顧客情報や従業員情報を扱う管理者向けです。ここでは日々の管理の見直しを扱います。法令上の判断が必要な場面は、情報の種類と取扱状況を整理したうえで確認します。
情報の流れを書き出す
どの情報を、何の目的で集め、どこに保存し、誰が使うかを一つの業務について書き出します。名簿、面談記録、採用情報、給与に関する資料など、部署ごとに扱うものは異なります。
原本の保管先だけでなく、ダウンロードした表、メール添付、共有先などの複製も確認します。以下のような一覧を作ると、管理者が分からない場所や、不要な複製を見つけやすくなります。
| 確認項目 | 書き出す内容 |
|---|---|
| 情報と目的 | どの情報を何の業務で使うか |
| 保管先 | 原本と複製がある場所 |
| 利用者 | 社内の担当者、委託先、共有先 |
| 管理方法 | アクセス権、保管期間、終了時の扱い |
必要な人だけが使えるようにする
個人情報保護委員会のガイドラインでは、個人データを扱う担当者や範囲を限定するアクセス制御などが示されています。実際の共有設定が、業務上必要な範囲と合っているかを確認します。
共有リンクの公開範囲、編集権限、異動後の権限、端末に残るファイルなどを点検します。資料の送信では宛先と添付を確認し、受け取る側の担当者や受け渡し方法も確かめます。
委託や新しいツールの利用も確認する
外部に業務を任せたり、新しいサービスへ情報を入力したりする際は、何の情報を何のために渡すかを明確にします。保存や再利用、契約終了時の扱いなども確認します。
生成AIの利用では、入力する個人情報の利用目的や、提供事業者による取り扱いを確認する必要があります。社内で認めているサービスであっても、どの情報でも入力できると判断しないことが大切です。
保存と削除を業務に組み込む
案件終了や退職など、情報の扱いを見直すきっかけを決めます。必要な保存期間や契約条件を確認し、担当者が自己判断で永久保存したり、必要な記録を削除したりしないようにします。
誤送信や不適切な共有に気づいた場合の報告先も決めておきます。責任者が事実と影響を整理し、報告・本人通知などの対応が必要かを、法令や契約に沿って確認できる体制を用意します。