廃棄を頼んでも、頼んだ側の務めは残る
個人データが載った書類の廃棄を外部の業者に頼むと、作業そのものは業者の手に移ります。それでも、頼んだ側の務めがなくなるわけではありません。
個人情報保護法の第25条は、個人データの取扱いを委託する場合に、委託を受けた者に対して「必要かつ適切な監督」を行わなければならない、と定めています。個人データの消去を外に頼むときも同じで、個人情報保護委員会はデータの消去に関する注意喚起でこの点を呼びかけています。
個人情報の保護に関する法律についてのガイドライン（通則編）によると、ここでいう委託は、契約の形態や種類を問わず、他の者に個人データの取扱いを行わせることです。監督の目安は、自社が講じるべき安全管理措置と同等の措置が、委託先でも講じられることにあります。そのうえでガイドラインは、預ける個人データの内容、漏えいしたときに本人が受ける影響の大きさ、取り扱う量などのリスクに応じた、次の3つの措置を挙げています。
- 適切な委託先の選定
- 委託契約の締結
- 委託先における取扱状況の把握
1つ目 委託先を選ぶ
選ぶ段階では、委託先の安全管理措置が、少なくとも委託元に求められるものと同等であるかを確かめます。見る中身は、ガイドラインの別添にある安全管理措置の各項目が、委託する業務の内容に沿って確実に実施されるかどうかです。この確認は、委託する前に済ませるものとされています。
別添の項目には、書類を持ち運ぶときに、中の個人データが容易に判明しないよう安全な方策を講じることも含まれます。書類の廃棄に当てはめれば、回収から廃棄までの運び方、置き方、廃棄の方法が、選ぶときに見る点です。
2つ目 契約に盛り込む
契約については、委託元と委託先の双方が同意した安全管理措置の内容を盛り込むことが望ましい、というのがガイドラインの考え方です。あわせて、委託先での取扱状況を委託元が合理的に把握できることも、契約に入れる内容に挙がっています。
書類の廃棄の契約なら、取り決めの候補は次のようなものです。
- 回収してから廃棄するまでの書類の扱い
- 廃棄の方法と、終わったことの知らせ方
- 再委託をするかどうかと、するときの手続き
- 取扱状況を確かめる方法
3つ目 取扱状況を把握する
把握の方法として、ガイドラインは、定期的な監査などで契約の内容がどの程度実施されているかを調べ、委託の内容の見直しも含めて評価することが望ましい、としています。注記にあるのは、必要に応じて個人データを取り扱う場所に赴くか、これに代わる合理的な方法で確かめる、というやり方です。口頭による確認も、その方法に含まれます。
委託先がさらに別の事業者へ再委託する場合はどうでしょうか。ガイドラインは、再委託の相手や業務の内容、取扱方法について、委託先から事前に報告を受けるか承認を行うことなどが望ましいとしています。委託元が必要かつ適切な監督を行っておらず、再委託先が不適切な取扱いをしたときは、元の委託元による法違反と判断され得る、という注記もあります。
監督が足りなかった例として、ガイドラインに載っているのは次のような場合です。
- 安全管理措置の状況を、契約のときもその後も把握しないまま委託し、委託先が漏えいした
- 必要な安全管理措置の内容を委託先に指示せず、委託先が漏えいした
- 再委託の条件を指示せず、取扱状況の確認も怠り、再委託先が漏えいした
廃棄したことを確かめる
機器や電子媒体などの廃棄を外に頼む場合について、別添は、委託先が確実に廃棄したことを証明書などで確かめることも重要、としています。紙の書類でも、何をもって「終わった」とするかを頼む前に決めておけば、把握した記録として残せます。回収した日、書類の量、廃棄の方法、終わった日の4つが分かる形が一つの例です。
自社の委託にどこまでの監督が要るかは、ガイドラインの本文や、個人情報保護委員会の相談窓口で確かめてください。
見積りのときに確かめておくこと
3つの措置を頼む側で進めるには、見積りの段階で、次の点を委託先に確かめておくと進めやすくなります。
- 運ぶときと、廃棄まで置いておくときの書類の扱い
- どの方法で廃棄するか
- 再委託をするかどうか
- 廃棄の完了を確かめる手段
機密文書回収を株式会社トヨダに頼む場合
機密文書回収として株式会社トヨダが案内している方法は、2つです。1つは破砕処理で、現場から回収した書類を、自社の破砕（裁断）処理機にかけます。もう1つは溶解処理で、書類を現場から溶解処理の工場へ直接持ち込みます。回収の地域は、京都府全域及び関西一円です。
監督の材料として、上の1〜4と、廃棄の完了を示す書類の有無を、見積りの際にご確認ください。2つの方法の流れは、機密文書回収のページで案内しています。
