みなさん、お疲れ様です。本日は少し身近で、かつ会社にとっても非常に重要な「個人情報保護法」のお話をしたいと思います。
突然ですが、みなさんに質問です。
営業マンのデスクに、お客様からいただいた名刺が1,000枚あったとします。
- パターンA：引き出しの中にバラバラに放り込まれている状態
- パターンB：1,000枚が「あいうえお順」のインデックス付き名刺ボックスにきれいに整理されている状態
この2つ、法律上どのような違いがあるかご存じでしょうか？
実は、パターンAのバラバラな名刺はただの「個人情報」ですが、パターンBのあいうえお順に整理された名刺は、法律上の「個人データ」にレベルアップします。
「え？ たかが名刺の並べ方だけで何が変わるの？」と思われた方も多いのではないでしょうか。
個人情報保護法では、「容易に検索できるように整理された情報の集合体」をデータベースと呼び、そこに属する情報を「個人データ」と定義しています。整理整頓して検索しやすくした瞬間、法律上の分類が「個人情報」から「個人データ」へと変わり、会社が負う管理責任が一気に重くなるのです。
……と、ここまで聞いて、「今の時代、それっておかしくないか？」と感じた方は非常に勘が鋭いです。
現代はAIの時代です。バラバラに散らばった1,000枚の名刺であっても、スマホで連続撮影すれば、AIが一瞬で文字を読み取り、きれいに検索できるデータベースに変換してくれます。拾った人や悪用しようとする人から見れば、インデックスが付いていようがいまいが、リスクに大差はありません。
「AIが一瞬で整理できる時代に、紙にインデックスが付いているかどうかで法律のルールが変わるなんて、時代遅れにもほどがあるのではないか」――そう感じるのは、ごく自然な感覚です。
では、なぜこんな「おかしな線引き」が存在するのでしょうか。
理由は2つあります。1つは、この法律の基礎が作られた2000年代初頭には、AIも高性能なOCRも無かったという歴史的背景です。もう1つは、もし「机の中に転がっている名刺1枚」まですべて厳格な「個人データ」として規制してしまうと、世の中の企業の日常業務が完全にストップしてしまうからです。法律は、企業の過度な負担を避けるために、あえて「整理されているかどうか」という分かりやすい外見上の線を引いたのです。
法律の理屈はわかりましたが、ここからが今日一番お伝えしたい実務上の恐ろしいポイントです。
「時代遅れのルールだな」と笑い飛ばして済めば良いのですが、現実には法律は法律です。
もし、営業マンが「あいうえお順に整理された1,000枚の名刺ボックス」を出先で紛失してしまったらどうなるでしょうか。
これは「個人データ」の漏洩となり、法律上、個人情報保護委員会（PPC）への報告義務、そして1,000名の本人全員への個別の通知・謝罪義務が強制的に発生します。
PPCへの報告は、単に「失くしました」と電話して終わりではありません。原因の徹底究明、自社のセキュリティ体制の調査、再発防止策の策定、さらには膨大な報告書の提出と、会社の業務が止まるほどの時間と労力が削られます。もちろん、1,000人への通知による企業のイメージダウンや信頼失墜は計り知れません。
一方で、もしそれが「整理されていないバラバラの名刺」であれば、法的なPPC報告義務までは発生しないのです。名刺を綺麗に整理して仕事を効率化していた真面目な社員ほど、万が一の時に重い法的責任を背負うという、なんとも皮肉な構造になっています。
私たちがここから学べる教訓は2つあります。
第一に、どれほど時代のリアルとギャップがあろうとも、法的な違反が起これば会社は重大なリスクを負うということです。「おかしなルールだ」と個人的に思っても、法律上の「個人データ」を扱っているという意識を持たなければなりません。
第二に、だからこそ、紙の名刺であれデジタルデータであれ、「ルール通りに安全に管理し、不要になったら適切に廃棄する」という基本を徹底する必要があるということです。
名刺1枚、名刺ボックス1つであっても、会社にとっては重大なリスクのタネになり得ます。ぜひ今日の話をきっかけに、ご自身のデスク周りや管理しているデータの扱い方を、もう一度見直してみてください。