フォームで集めた個人情報の保管について調べ始めると、たいてい「安全な場所に保存しましょう」という話にたどり着きます。ところが実際に受付を回している人が困っているのは、置き場所そのものではありません。応募のファイルが担当者のパソコンにも共有フォルダにも通知メールの添付にも残っていて、どれが正本なのか分からない。選考が終わったあとに誰がそれを消すのかが決まっていない。この状態が困りごとの中身です。
保管を決めるというのは、置き場所を1つ選ぶことではなく、消えるところまでの流れを決めることです。どこに置くか、誰が見られるか、いつまで持つか、どう消すか。この4つが順につながって初めて、保管が決まったと言えます。逆に言えば、置き場だけを決めて消し方を決めていない運用は、時間が経つほど残骸が増えていきます。
この記事では、その4つを順番に決めていきます。あわせて、決めた内容が実際に守られるかどうかは仕組み側の作りで大きく変わるので、いま使っている道具のままどこまで決められるのかも整理します。なお、個人情報保護法の解釈や、自分の組織が何年持つべきかという判断は、この記事では断定しません。制度の当てはめは所管の窓口や専門家に確認する前提で読んでください。
個人情報の保管が、置き場の話で終わらなくなった背景
受付の入口が増えたことが、まず大きな変化です。以前は問い合わせといえば電話とメールが中心で、届いたものは受信箱に並んでいました。いまは自社サイトの問い合わせフォーム、採用の応募フォーム、イベントの申し込みフォーム、資料請求のフォームと、目的ごとにフォームが立ち上がります。作るのが簡単になったぶん、入口の数だけデータの置き場も増えました。
入口ごとに置き場が違うと、何が起きるか。同じ人の情報が、複数の場所に別々の形で残ります。応募フォームの回答は表計算ソフトのシートに、履歴書のファイルはクラウドストレージに、その後のやり取りは担当者のメールに、面談の日程調整はカレンダーの招待に。1人の応募者について、少なくとも4か所に痕跡が残る計算です。選考が終わったあとに「消してください」と言われても、この4か所を思い出せる人は多くありません。
もう1つの変化は、持っていること自体がリスクとして扱われるようになったことです。以前は「集めた情報は資産だから、とりあえず取っておこう」という発想が普通でした。いまは違います。持っている量が多いほど、漏れたときの影響は大きくなります。使う予定のないデータを持ち続けることは、保険料だけ払い続けているようなものです。
制度の側もその方向に動いています。個人情報の取り扱いについて、事業者が何をすべきかを示している所管の窓口は個人情報保護委員会です。ガイドラインや相談窓口の案内は個人情報保護委員会のサイトにまとまっています。中小の事業者向けの解説や、実際に事故が起きたときの報告の流れもそこで確認できます。自分の組織の運用が足りているかどうかは、最終的にはここで確かめるのが確実です。
現場側の実感としては、この数年で「保管期間を決めていますか」と外部から聞かれる場面が増えた、という声をよく聞きます。取引先の調達部門から質問票が届いたり、助成金の申請で管理体制を書く欄があったり、採用の応募者から「不採用の場合の書類はどうなりますか」と問い合わせが来たり。そのときに答えられる状態にしておくのが、この記事で言う「保管を決める」ということです。
規模の小さい組織ほど後回しになりがちですが、後回しにするほど作業は重くなります。溜まってから片付けるより、入ってくる時点で消えるまでの道筋を決めておくほうが、圧倒的に手間が少なくて済みます。
保管を決めるとは、4つを順に決めること
保管の話が散らかるのは、いろいろな論点が同時に出てくるからです。暗号化の話、権限の話、バックアップの話、同意文の話。どれも関係はありますが、順番を決めずに手を付けると、結局どこから始めればいいのか分からなくなります。
そこで、次の4つを順番に決めます。順番には意味があります。前の答えが決まらないと、次が決められないからです。
1つ目は、どこに置くかです。正本がどこにあるのかを1つに決めます。ここが決まらないと、権限も期間も決められません。
2つ目は、誰が見られるかです。置き場が決まったら、その置き場に手が届く人の範囲を決めます。全員が見られる状態は、決めていないのと同じです。
3つ目は、いつまで持つかです。目的が終わった時点をいつと見るかを決めます。年数を先に決めようとすると必ず止まるので、起算点から決めます。
4つ目は、どう消すかです。期限が来たときに、誰がどの手順で消すのかを決めます。ここまで決めて、初めて保管が決まったことになります。
この4つを1枚の紙に書いて、フォームごとに埋めていくのが実務的なやり方です。採用の応募フォーム、問い合わせフォーム、イベントの申し込みフォームで、それぞれ答えは変わります。全部まとめて1つの規程にしようとすると抽象的になりすぎて、現場では使えない文書ができあがります。フォーム単位で埋めるほうが、はるかに実用に耐えます。
以下、4つを順に見ていきます。
どこに置くか
置き場を決めるときに最初に決めるのは、保存する場所の種類ではなく、正本をどれにするかです。同じ情報が複数の場所にあること自体は避けられません。避けられるのは、どれが正しいのか分からない状態のほうです。
正本を決めるというのは、「この案件について確認するときは、必ずここを見る」という場所を1つ決めることです。それ以外の場所にあるコピーは、あくまで控えとして扱います。控えは消してよいもの、正本は手順を踏んで消すもの、と扱いを分けます。この区別がないと、消す作業のときに毎回「これは消していいのか」で止まります。
表計算ソフトに集めたときに起きること
多くの受付は、フォームの回答を表計算ソフトのシートに集めるところから始まります。無料で使えて、並べ替えも検索もでき、共有もリンク1本で済みます。件数が少ないうちは、これで十分に回ります。実際、月に20件程度の問い合わせなら、シート1枚で困ることはほとんどありません。
詰まり始めるのは、件数が増えて列を足したくなったときです。届いた回答のシートは、フォームからの追記で下に伸びていきます。そこに「担当者」「対応状況」「返信日」といった、受け取った側が書き込む列を足すと、フォームの追記と手入力が同じ表に混在します。行の並べ替えをした瞬間に、手入力した列が別の行にずれる。この事故は、現場では100件を超えたあたりから起きやすくなると言われています。
個人情報の保管という観点で見ると、表計算ソフトの共有シートにはもう1つ問題があります。共有リンクを知っている人が全員、全部の行を見られることです。特定の案件だけを見せる、という切り方が難しい。採用の応募なら、面接に関わる人だけが応募者の情報を見られる状態にしたいのですが、シートを共有した時点で、そのシートに載っている全員の情報が見えます。
さらに、シートをコピーして手元で加工する人が出ます。集計のためだったり、会議資料を作るためだったりします。コピーされた時点で、元のシートの権限設定とは切り離された個人情報の塊が1つ増えます。消すときに、そのコピーの存在を管理者は知りません。
表計算ソフトで回すこと自体が悪いわけではありません。件数と関わる人の数が少なければ、これで足ります。決めておくべきは、どの規模になったら別の置き場に移すのか、そして移すまでの間コピーをどう扱うのか、の2点です。
メールの受信箱に残る分をどう扱う
フォームの送信内容を通知メールで受け取っている場合、その通知メール自体が個人情報の入った文書です。宛先が複数人になっていれば、その人数分だけコピーが存在します。転送されていれば、さらに増えます。
受信箱は消す作業と相性がよくありません。検索して該当のメールを見つけて選択して削除する、という手順は、件数が増えると現実的でなくなります。ラベルやフォルダで整理していても、転送された先の受信箱までは管理できません。
ある事務局では、応募の受付が終わったあとに書類を消す運用にしていたものの、通知メールの存在を数えていなかったために、担当者3人の受信箱に応募内容が残り続けていた、という話を聞きます。正本を消しても、通知が残っていれば個人情報は残っています。
対処としては2つの方向があります。1つは、通知メールに個人情報そのものを載せず、「新しい応募が1件届きました」という事実と、管理画面へのリンクだけを送る方法です。中身は管理側でしか見られないので、受信箱に個人情報が積み上がりません。もう1つは、通知の宛先を必要最小限にして、転送を禁止する運用ルールを明示する方法です。前者のほうが仕組みで守れるぶん確実です。
添付ファイルの置き場は、本体と分けて決める
応募書類、見積依頼に添えられた図面、修理受付の写真。フォームで受け取るファイルは、回答本体とは別の扱いが要ります。理由は2つあります。
第一に、ファイルは持ち出しやすいからです。回答本体は画面で見るだけのことが多いのですが、ファイルはダウンロードされて手元に残ります。ダウンロードフォルダに応募書類が50件溜まっている、という状態は珍しくありません。管理側からはその存在が見えないので、消してくださいと言うこともできません。
第二に、ファイルは容量の都合で別の場所に置かれがちだからです。回答はシートに、ファイルはクラウドストレージに、というように分かれると、案件とファイルのひもづけが弱くなります。ひもづけが弱いと、案件を消すときにファイルが取り残されます。
決めておくことは、ファイルをどこに置くか、案件との対応をどう保つか、そしてダウンロードを前提とするのかしないのかです。画面上で内容を確認できるなら、そもそも手元に落とさずに済みます。落とさなければ、消す対象も増えません。案件とファイルが同じ画面にひもづいていると、消すときに取り残しが出にくくなります。
誰が見られるか
置き場が決まったら、次はそこに手が届く人の範囲です。ここは「誰に見せたくないか」から考えると決まりません。「誰が見られないと仕事が止まるか」から考えると決まります。
権限は人ではなく役割で決める
個人名で権限を配ると、人の入れ替わりで必ず崩れます。異動した人の権限が残り、新しく来た人の権限が足りない、という状態が半年もすれば発生します。役割で決めておけば、人が変わっても付け替えるだけで済みます。
受付の運用でよく使う役割は3つか4つです。届いたものを最初に見て振り分ける人、実際に返信する担当者、内容を確認して承認する人、そして全体を見る管理者。応募の受付なら、これに面接に関わる人が加わります。この役割ごとに、何が見えて何ができるかを表にします。
表を作るときのコツは、「見える」と「編集できる」と「消せる」を分けることです。全部を1つの権限にまとめると、見せたいだけの人に消す権限まで渡すことになります。特に消す権限は、意図せず消えたときの被害が大きいので、絞っておく価値があります。
もう1つ、案件ごとに見える範囲を切れるかどうかは、道具によって差が出るところです。全件が見えるか全件が見えないか、の二択しかない仕組みだと、外部の面接官に応募者1人分だけ見せる、ということができません。結果として、書類をダウンロードしてメールで送ることになり、管理外のコピーが増えます。
見た人が残るかどうか
権限の設計と同じくらい大事なのが、誰がいつ見たかが残るかどうかです。記録が残っていること自体に、二重の効果があります。
1つは、事故が起きたときに範囲を特定できることです。どのデータが誰の手に渡った可能性があるのかを、記録なしで説明するのは困難です。記録があれば、影響範囲を限定して説明できます。
もう1つは、抑止の効果です。閲覧が記録されると分かっていれば、必要のない案件を興味本位で開く人はいなくなります。これは性善説か性悪説かの話ではなく、記録があるほうが全員にとって説明が楽になる、という実務の話です。
表計算ソフトの共有シートでも、編集の履歴はある程度残ります。ただし、開いて見ただけの記録までは追いにくいのが実情です。見た記録が必要かどうかは、扱う情報の重さで決めます。採用の応募書類や、健康や家庭の事情を含む申請を扱うなら、必要だと考えたほうがよい部類に入ります。
外部の関係者に見せるときの渡し方
面接に関わる社外の役員、審査を依頼している専門家、施工を担当する協力会社。受付の運用では、組織の外の人に情報を見せる場面が必ず出てきます。ここが、コピーが一番増えやすい場所です。
メールに添付して送ると、送った時点で相手の受信箱にコピーができます。相手がダウンロードすれば、さらに増えます。こちらから消すことはできません。パスワード付きの圧縮ファイルを別メールでパスワードを送る方式は、いまでは効果が疑問視される場面が増えていて、届いたあとに残り続ける問題は何も解決していません。
外部に見せる必要がある場合の考え方は、渡すのではなく見せる、です。閲覧できる状態を期限付きで作り、期限が来たら見られなくなる。この形なら、相手の手元にコピーが残らないぶん、管理する対象が増えません。どうしてもファイルを渡す必要がある場合は、渡した相手と渡した日を記録しておき、案件が終わったときに削除の依頼を出す手順まで決めておきます。
いつまで持つか
ここが4つの中で一番決まりにくいところです。理由ははっきりしていて、「何年持つべきか」という問いから入るからです。この問いには一般的な答えがありません。目的によっても、業種によっても、根拠となる制度によっても変わります。
年数から決めない。起算点から決める
先に決めるべきは、年数ではなく起算点です。何が終わったら、そのデータの目的が終わったことになるのか。ここを言葉にします。
採用の応募なら、選考が終わった時点です。ただし「選考が終わった」にも幅があります。不採用の連絡を出した時点なのか、その年度の採用活動が終わった時点なのか、次の募集で再度連絡してよいかを本人に確認している場合はまた別です。イベントの申し込みなら、開催が終わった時点か、参加費の精算が終わった時点か、翌年の案内を送る前提があるかで変わります。問い合わせなら、返信して解決した時点か、その後の再問い合わせに備える期間を置くのか。
起算点が言葉になれば、そこからどれだけ持つかは決めやすくなります。逆に起算点があいまいなまま年数だけ決めると、いつ消せばいいのかが誰にも分からない規程ができます。
なお、業務によっては帳簿や契約に関する書類の保存について、制度上の定めが関わることがあります。何がその対象に当たるのか、どの期間が適用されるのかは、事業の内容によって変わるため、この記事では断定しません。取引に関する記録が含まれる受付を扱っている場合は、所管の窓口や税務・法務の専門家に確認してください。
消すことが原則である、という前提
制度の考え方として、必要がなくなった個人データについて何が求められているかは、条文で確認できます。
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。 出典: e-gov.go.jp
この条文の当てはめ方、つまり自分の組織のどのデータが「利用する必要がなくなった」に当たるのかは、個別の判断になります。条文は改正で変わることもあるため、最新の文言と自組織への適用については個人情報保護委員会の公表資料や専門家への確認が要ります。ここで押さえておきたいのは、持ち続けることが前提ではなく、必要がなくなったら消すことが前提として置かれている、という方向性です。
この方向性が分かっていると、期間を決めるときの姿勢が変わります。「なるべく長く持っておきたい」ではなく、「持ち続ける理由を説明できる期間だけ持つ」になります。説明できない期間は、短くするほうに倒すのが筋です。
期間を延ばしたくなったときの決め方
決めた期間を過ぎたあとで「まだ持っておきたい」と言われることがあります。過去の応募者にもう一度声をかけたい、去年の参加者に今年の案内を送りたい、といった要望です。
この要望に応えるかどうかは、集めるときに何と伝えたかで決まります。「選考の目的でのみ使用します」と書いて集めた情報を、翌年の募集案内に使うのは、集めたときの説明と違う使い方になります。使い道を広げたいなら、集める時点でその範囲を伝えておくか、あらためて本人に確認を取るかのどちらかが必要です。
実務的には、フォームの中で「今後の案内を受け取ってもよい」という項目を任意で置き、同意した人だけを別の名簿に分ける方法がよく使われます。同意した人と同意していない人を同じ表に混ぜて管理すると、送っていい相手と送ってはいけない相手の区別が運用の中で崩れます。名簿を分けておけば、そこで間違えることがありません。
なお、こうした同意の取り方が適切かどうか、どこまで書けば伝えたことになるのかは、制度の解釈が関わる部分です。フォームの文言を決めるときは、公表されているガイドラインを確認するか、専門家に見てもらうのが安全です。
どう消すか
期限を決めても、消す手順が決まっていなければ消えません。ここが最後の関門で、実際に一番放置されているところでもあります。
消す作業を、人の記憶に置かない
「選考が終わったら消す」というルールは、それだけでは実行されません。誰が、いつ、何を見て、消すのかが決まっていないからです。忙しい時期に選考が終わり、次の業務が始まれば、消す作業は後回しになります。そして忘れられます。
実行される形にするには、消す作業がどこかに現れる必要があります。方法は大きく2つです。1つは、定例の作業に組み込むこと。月初の作業リストに「期限の来た案件の削除」を入れて、担当を決めておきます。もう1つは、仕組み側で期限を持たせ、期限が来た案件が一覧に出るようにすることです。後者のほうが、担当者が変わっても回り続けます。
どちらにしても、消す対象が一覧で出てくる状態を作るのが要点です。「どれが期限切れなのか」を毎回人が判断する運用は、件数が増えると必ず止まります。
コピーが何本あるかを数える
消す作業に入る前に、対象のコピーが何本あるかを数えます。数え漏らしたコピーは、消したつもりのデータとして残り続けます。
数えるべき場所を並べると、正本の置き場、通知メールが届いた受信箱、転送された先の受信箱、ダウンロードされたファイル、共有シートの複製、会議資料に貼り付けられた抜粋、バックアップ。この7種類を毎回追いかけるのは現実的ではありません。だからこそ、コピーが増えにくい形で受け取ることが効いてきます。
バックアップの扱いは、少し性質が違います。バックアップは事故に備えるために取るものなので、消したい案件だけを狙って抜くのは技術的に難しい場合があります。この場合の現実的な決め方は、バックアップの保持期間そのものを短めに決めておき、その期間が過ぎれば自然に消えるようにすることです。バックアップの世代管理をどう設計するかは、システムを預けている先に確認しておく項目に入ります。
消した記録を残す
消したあとに「本当に消えているか」を聞かれることがあります。応募者本人から聞かれることもあれば、取引先の監査で聞かれることもあります。そのときに答えられるように、消した記録は残します。
残すのは、何を、いつ、誰が、どの手順で消したか、の4点です。中身そのものは消えているので、記録に残すのは案件の識別子と日付と担当者だけで足ります。この記録があると、問い合わせが来たときに5分で答えられます。記録がないと、状況の確認から始めることになり、答えるまでに数日かかります。
削除の記録を残す運用は、手作業では続きません。消すたびに別の表に書き込む、という手順は、忙しいときに省略されます。削除の操作をしたときに自動的に履歴が残る形になっていることが、続けるための条件です。
受付の入口ごとに、詰まりやすいところが違う
同じ「個人情報の保管」でも、何の受付かによって注意すべき点は変わります。代表的な入口ごとに、どこが詰まりやすいかを整理します。
採用の応募受付は、扱う情報が一番重い部類です。氏名や連絡先だけでなく、経歴、学歴、場合によっては家庭の事情まで含みます。選考に関わる人が複数いて、外部の面接官が入ることもあります。応募書類をどう受け取り、選考が終わったあとにどう扱うかは、採用の応募受付で扱われている論点とそのまま重なります。特に、不採用となった人の書類の扱いを先に決めておくかどうかで、後の作業量が大きく変わります。
助成金や公募の受付は、審査の記録を一定期間残す必要が出やすい入口です。誰がどの基準で採否を判断したかを説明できることが求められる場面があり、その説明のためには応募内容も残っていなければなりません。一方で、審査が終われば不要になる情報も混ざります。残すものと消すものを分けて考える必要がある点は、助成金・公募の受付で整理されている進め方と共通します。
問い合わせの受付は、件数が多いぶん、溜まりやすい入口です。1件ずつは軽い情報でも、年間で数千件になれば、まとまった量の個人情報になります。対応が終わった問い合わせをいつまで持つかを決めていない組織は多く、結果として何年分もの問い合わせが残り続けます。対応の履歴をどう扱うかは問い合わせの受付で扱われている範囲です。
イベントの申し込みは、開催が終われば目的が終わる、という起算点がはっきりしている入口です。そのぶん決めやすいのですが、翌年の案内に使いたいという要望が出やすく、そこで期間が延びます。申し込み時の説明と、その後の使い道をどう合わせるかが要点になります。運用の流れはイベントの申し込みを見ると具体的に分かります。
講座の受講申し込みは、受講中の連絡と修了後の扱いを分けて決める必要があります。受講中は連絡先が要りますが、修了後も同じ状態で持ち続ける理由があるかは別の話です。修了証の再発行に備える期間を置くかどうかも含めて決めます。講座の受講申し込みでは、申し込みから受講後までの流れが整理されています。
施設利用の申請は、利用日が過ぎれば終わるものと、事故や苦情に備えて一定期間残すものが混ざります。誰がいつ使ったかの記録は、トラブルが起きたときに必要になる情報です。ここも起算点を利用日にするのか、精算完了にするのかで運用が変わります。詳しくは施設利用の申請で扱われています。
会員の入会申し込みは、他の入口と性質が違います。会員である間はずっと持ち続ける情報なので、決めるべきは退会したあとの扱いです。退会の処理をしたときに、どこまでを消してどこからを残すのかが決まっていないと、退会したはずの人の情報が名簿に残り続けます。会員の入会申し込みでは、入会から会員管理までのつながりが示されています。
修理やサポートの受付は、製品や機器の情報と個人の連絡先がひもづく入口です。写真や動画が添付されることも多く、ファイルの置き場を決めておく必要が特に高い部類に入ります。再修理の可能性を考えて履歴を残す一方で、連絡先をどこまで持ち続けるかは別に決めます。修理・サポートの受付で、受付から完了までの扱いが整理されています。
入口ごとに違うと書きましたが、決める順番は全部同じです。どこに置くか、誰が見られるか、いつまで持つか、どう消すか。この4つを、入口ごとに1枚ずつ埋めていけば、抜けは出にくくなります。
何かあったときに問われるのは、手順が決まっていたかどうか
万が一、外に出てはいけない情報が出てしまったとき、最初に問われるのは「どこまで出たのか」です。次に問われるのが「防ぐ手順は決まっていたのか」です。
前者に答えるには、記録が要ります。誰がアクセスできる状態だったのか、いつ誰が見たのか、コピーはどこにあったのか。この3つが分かれば、影響の範囲を限定して説明できます。分からなければ、最悪の想定で説明せざるを得ません。同じ事故でも、記録の有無で説明の重さがまったく変わります。
後者に答えるには、決めた内容が文書になっている必要があります。頭の中で「こうしている」と思っていることは、外に対しては存在しないのと同じです。この記事で挙げた4つを1枚に書いておくだけでも、説明できる状態にはなります。
漏えいが起きたときの報告の要否や手続きについては、事案の内容によって扱いが変わります。何が報告の対象になるのか、いつまでに何をするのかは、個人情報保護委員会が公表している資料で確認するのが確実です。組織としての行政手続き全般の入口としてはデジタル庁が案内している情報も参考になります。いずれにしても、事故が起きてから調べ始めると時間が足りません。手順を先に確認しておくこと自体が、備えの一部です。
そしてもう1つ。事故は外部からの攻撃だけで起きるわけではありません。宛先を間違えて送った、共有の設定を公開のままにしていた、退職した人の権限が残っていた。実際に起きている事故の多くは、こうした運用の中の取りこぼしです。だからこそ、暗号化のような技術の話より先に、誰が見られるかと、いつ消すかを決めるほうが効きます。
いま使っている道具のまま、どこまで決められるか
4つを決めたあと、実際にそれを守れるかどうかは、使っている道具によって変わります。決めた内容を人の注意力で守る運用は、件数が増えると必ず崩れます。仕組みで守れる部分がどこまであるかを見ておく価値があります。
無料で使えるフォームサービスで受付を作り、回答を表計算ソフトで見ている構成は、いまでも一番多い形です。作るのが速く、費用がかからず、共有も簡単です。件数が少なく、見る人が固定されていて、消す作業も手作業で回るなら、この構成のままで困りません。一方で、案件ごとに権限を切る、期限が来たものを一覧に出す、消した記録を自動で残す、といった動きは、シート側の工夫だけでは作りにくくなります。この構成が向いている範囲と、届いたあとの管理をどう補うかについてはGoogleフォームとの比較で整理されています。
自社サイトの中にフォームを設置していて、送信内容がメールで届く構成の場合、個人情報は受信箱に蓄積します。この形は、届いたことがすぐ分かる利点がある反面、消す作業の対象が受信箱になるという特徴があります。保存の設定や、届いたあとの扱いをどうするかはContact Form 7との比較で扱っています。
社内で使っているグループウェアのフォーム機能を使っている場合、社内の権限管理の仕組みをそのまま使えるのが利点です。ただし、社外の回答者にサインインを求める設定になっていないかは確認しておく価値があります。回答者にアカウント登録を求めると、そこで応募や問い合わせをやめる人が出ます。社内利用と社外受付の違いはMicrosoft Formsとの比較で整理されています。
なお、各サービスの仕様や上限は変わります。ここで触れた内容は、公開されている資料で確かめられる範囲のものです。権限の細かさや履歴の残り方は、導入を決める前にその時点の公式ドキュメントで確認してください。公開資料に記載が見当たらない項目については、提供元に直接問い合わせるのが確実です。
消すところまで決まった受付は、同じ画面の上で完結する
最後に、この記事の4つを実際の運用に落とすときの条件をまとめ直します。決めた内容が守られるかどうかは、次の3つがそろっているかで決まります。
1つ目は、正本が1か所にあることです。案件を確認するときに必ず見る場所が決まっていれば、コピーは控えとして扱えます。正本が定まらないと、消す作業のたびに「これは正本か控えか」の判断が発生し、判断が発生すると作業は止まります。
2つ目は、案件ごとに状態と担当が付いていることです。個人情報の保管は、案件の状態と切り離せません。対応中なのか、終わったのか、終わってからどれだけ経ったのか。この状態が案件に付いていないと、消してよい案件を選び出せません。期限が来たものだけを一覧に出すには、状態が付いていることが前提になります。
3つ目は、操作の記録が残ることです。誰が見たか、誰が消したか。この記録が自動で残る形になっていれば、外から聞かれたときに答えられます。手作業で記録する運用は、忙しい時期に必ず省略されます。
この3つを言い換えると、受け取ったあとの管理が同じ画面の上にあるほど、保管のルールは守りやすくなります。逆に、回答はシートに、ファイルはストレージに、やり取りはメールに、と分かれているほど、コピーの数が増え、消す作業が重くなります。個人情報の保管が難しいという悩みは、保存場所の選び方の問題に見えて、実際には受付後の管理が分散していることの問題であることが多いのです。
何ができる状態になっていれば守りやすいのかを具体的に見たい場合は、できることに受付後の管理でよく使う機能がまとまっています。実際の画面で、案件がどう並び、どこに状態や履歴が付くのかを確かめたい場合は動くところを見るで確認できます。運用の規模によって必要な範囲が変わるので、件数や利用人数に応じた考え方は料金を見ながら判断するのが分かりやすいはずです。導入前に出やすい疑問、たとえば既存のデータの移行や、回答者側の操作についてはよくある質問にまとまっています。
まず取りかかるとしたら、いま動いているフォームを1つ選んで、この記事の4つを紙に書き出すことです。どこに置いているか。誰が見られるか。いつまで持つか。どう消すか。書き出してみると、4つ目が空欄になっているはずです。そこが、いまの受付で決まっていない場所です。年数を決めることから始めると止まるので、まず「何が終わったら目的が終わりか」という起算点だけを言葉にしてください。そこが決まれば、残りは順番に埋まります。制度の当てはめで迷う部分は、公表されているガイドラインを確認するか、所管の窓口や専門家に相談してから確定させれば足ります。
Q1. フォームで集めた個人情報は何年保管すればよいですか？
一律の年数はありません。目的や根拠となる制度によって変わるため、年数から決めずに「何が終わったら目的が終わりか」という起算点を先に決めます。取引記録や帳簿に関わる情報が含まれる場合は制度上の定めが関わることがあるので、所管の窓口や専門家に確認してください。
Q2. 表計算ソフトで応募者の情報を管理していますが、変えるべき目安はありますか？
件数と関わる人の数が目安になります。案件ごとに見せる範囲を切りたい、期限が来たものを一覧で出したい、誰が見たかを残したい、のいずれかが必要になった時点が切り替えどきです。件数が少なく見る人も固定なら、そのままで問題ありません。
Q3. 通知メールに応募内容が載っていますが、これも消す対象ですか？
対象です。通知メールも個人情報の入った文書で、宛先の人数分だけコピーが存在します。正本を消してもメールが残れば情報は残ります。通知には届いた事実と管理画面へのリンクだけを載せ、中身は管理側で見る形にすると、消す対象が増えません。
Q4. 外部の面接官に応募書類を見せるとき、どう渡すのが安全ですか？
渡すのではなく、期限付きで見られる状態を作るのが基本です。メール添付は相手の受信箱にコピーが残り、こちらから消せません。どうしてもファイルで渡す場合は、渡した相手と日付を記録し、案件終了時に削除を依頼する手順まで決めておきます。