書類の廃棄も安全管理措置の一部

個人情報保護法は、個人情報取扱事業者に、取り扱う個人データの漏えい、滅失、毀損を防ぐための、必要かつ適切な措置を求めています。個人データは、顧客名簿や従業員名簿のように、整理された個人情報のことです。

個人情報保護委員会のガイドライン（通則編）は、この措置を安全管理措置と呼び、具体的な内容を別添にまとめています。書類の廃棄も、その一部です。ガイドラインは、帳票などが適切に廃棄されていない場合は、個人データの漏えいに当たる場合がある、としています。

求められているのは復元できない手段

別添は、個人データを削除したり、個人データが記録された機器や電子媒体などを廃棄したりするときは、「復元不可能な手段」で行わなければならないとしています。個人情報保護委員会の注意喚起のページも、不要になった個人データを消去するときは、復元不可能な手段で行う必要があるとしています。

この記事が扱うのは、紙の書類の廃棄です。パソコンや記憶媒体の廃棄は、扱いません。

例に挙がる方法 焼却・溶解・シュレッダー

ガイドラインは、書類を廃棄する手法の例として、焼却、溶解、適切なシュレッダー処理などを挙げています。シュレッダーには「適切な」という条件が付く点に注意が要ります。シュレッダーにかければどんな状態でもよい、という書き方ではない、と読めます。

廃棄の記録を残す

ガイドラインは、個人データを削除した場合や、個人データが記録された機器、電子媒体などを廃棄した場合に、その記録を保存することにも触れています。作業を外部に頼む場合は、委託先が確実に削除や廃棄をしたことを、証明書などで確認することも重要としています。注意喚起のページは、消去を外部に委託する場合は、委託先に対する必要かつ適切な監督を行う必要があるとしています。

記録に何を残すかは、社内で決めます。いつ、どの書類を、どの方法で廃棄したかが分かるようにしておくと、確認しやすくなります。

従業員100人以下の事業者の場合

ガイドラインは、従業員の数が100人以下の事業者を中小規模事業者として、講じる措置の例を別に示しています。廃棄については、「責任ある立場の者」が、廃棄したことを確認する方法が例に挙がっています。

ただし、過去6か月以内に、取り扱う個人情報の本人の数が5,000を超えた日がある事業者と、委託を受けて個人データを取り扱う事業者は、この区分から除かれます。自社が当たるかどうかは、ガイドラインの定義で確かめてください。中小規模事業者が、焼却や溶解などの手法の例を採ることは、より望ましい対応とされています。

株式会社トヨダの機密文書回収を頼む場合

この記事は、事業所で出た書類を前提にしています。株式会社トヨダは、機密文書回収で、破砕処理と溶解処理の2つを案内しています。破砕処理は、現場から書類を回収し、自社の工場で破砕して、プレスして出荷する方法です。溶解処理は、現場から溶解処理の工場へ、書類を直接持ち込む方法です。

書類をご自身で持ち込む場合と、収集を頼む場合のどちらにも対応しています。回収できる地域として案内しているのは、京都府全域及び関西一円です。どちらの方法を選ぶかは、社内で決めた廃棄の基準に照らして考えます。廃棄の記録に使える完了の書類があるかどうかは、見積りの際にご確認ください。詳しくは機密文書回収のページをご覧ください。