質問: 個人情報保護法について 法律に詳しい方に教えを請いたくて質問しました。 私は薬局を経営している者です。うちで保険計算に使っているpcのリース期限が切れ、pc等一式を返却する事になりました。pc上には患者様の住所等個人情報が沢山記載されています。したがってリース会社の方から、個人情報保護法に則して個人情報が漏れない様処置をして返却して下さいとの事。ではどうするかと聞くと「hddをフォーマットして下さい」との事でした。 ところでpcのhddをフォーマットしただけではosが使えなくなり一般の方ではhddの内容が読めなくなります。しかしpcに詳しい方だったら、単にフォーマットしただけではhddの内容を読み出す事が可能です。ですからリース会社サイドにpcに詳しい方がいて悪さしてフォーマットしたhddの内容を読み出されてしまった場合、私が個人情報保護法違反になるのでしょうか???私の拙い法律の解釈では、個人情報保護法は「どんな場合でも仕事上客様等から教えて頂けた個人情報は、その仕事上必要な方以外の外部には漏れない様な処置をしなければならない」と解釈しています。その解釈からすると、リース会社サイドの方が悪さしてフォーマットしたhddの内容を読み出された場合「どんな場合でも外部に漏れない様な処置をしなければならない」に当てはまらないと思います。 私の個人情報保護法の解釈が悪いのかどうか、もし私の解釈が正しいとしたらhddを物理的に破壊までしないとならないと考えています。と言う質問をリース会社にしたら、そこまで考えているならhddを新しい物に替えて返却して下さいとの事。hddの物理的破壊はしないで下さいとの事です。hdd交換の費用が出せなくて困っています。(最近はhddも安くなったのでなぜそこまで費用が出せないのかと考えていると思いますけど、売上の関係で無理です。) 今回のリース物件返却に対しての個人情報保護法がらみで法律をどう解釈したら良いのか・実際の処理はどうしたら良いか、法律に詳しい方無知な私にご教授下さい。
回答: 個人情報の保護に関する法律では、 第二十条 (安全管理措置) 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。 となっており、“どんな場合でも”とは書かれていません。“必要かつ適切な措置”をとる義務があるだけです。その義務を果たした上で、漏洩が起こった(今回は“悪さ”)のであれば、個人情報取扱事業者に責任はありません。 しかし、質問者が取り扱っている情報は“薬局”とのことですから、医療に関する情報ですので、仮に“漏れた”場合、顧客への影響は重大なものと考えられます。確かに法的責任は無いでしょうが、“うわさ”などで深刻な影響がでる可能性は否定できません。 確かに“単にフォーマットしただけではhddの内容を読み出す事が可能”ですが、それでも“情報”自体がなければ、いかにしても読み出すことは出来ません。 どうしても心配であれば、フォーマットした後に適当なデータをhddの容量分書き込めば大丈夫です。画像などの大きなファイルを繰り返し違った名前でコピーする作業をくりかえすことで、元の情報を“完全に”破壊することが出来ます(そのようなツールも販売されています)。