顧客データの取り扱いについて

質問

いつも参考にさせていただいております。

顧客データを数万件をかかえる企業で、個人情報保護対策
の担当をしております。
4月からの個人情報保護法に即し、現在かかえている顧客
データの洗い出しをしましたところ、紙レベルで保存して
いたもの中に名前が判別できないものが数多くありまし
た。

名前が判別できない顧客から、顧客データに関する問い合
わせがあったときの対応をどうするか、判断ができずに
います。

他の企業の対応をみていると、3月以前の顧客データは、
削除することで対応しているようですが、当社の場合は、
DMの発送など、3月以前の顧客にも行うことが前提となって
います。

3月以前の顧客データを削除せず、なおかつ名前が判別でき
ない顧客に対して、適切な対応はあるのでしょうか？
お知恵をかしてください。よろしくお願いいたします。

回答No.3

DIGAMMA

こんにちは、

いくつか、気になったので要点のみ書きます。

1)削除記録そのものが、新たな「個人情報」にならないか注意してください。

2)焼却は、例えば「懸賞応募」のハガキなら、何年何月～何月到着分、約１５００枚を溶解処分と記録し、溶解証明をホチキス止めしてファイルすれば十分です。

3)個人情報は、名前が判読できなくても、他の情報（住所等）から、個人が特定可能であるものは、全て個人情報ですので注意してください。

4)紙しか残っていないなら、2)と同様の方法でに、早期に溶解処分することをお勧めします。

5)問い合わせがあったら、電子データ上に、記録がないことを確認のうえ、2)のファイルからの該当すると思われる情報を探し、「お客様の情報は○月に溶解処分（orシュレッダー処分）しました」と伝えてください。

6)但し、5)にて「処分した」と言った後に、「DMが届いた」と抗議されたら、大騒ぎになりますので、注意してください。貴社がプライバシーマーク取得済なら、取消対象になります。

お礼

ありがとうございます。

＞1)削除記録そのものが、新たな「個人情報」にならないか注意してください。

削除せず、顧客情報に”削除”のチェックをして管理を
して、お客様の問い合わせには「いつ削除しました」と、
対応するのは、違反になるのでしょうか？

＞2)焼却は、例えば「懸賞応募」のハガキなら、何年何月～何月到着分、約１５００枚を溶解処分と記録し、溶解証明をホチキス止めしてファイルすれば十分です。

１５００枚の内訳までを記録すると、個人情報となって
しまうということですね？

＞5)問い合わせがあったら、電子データ上に、記録がないことを確認のうえ、2)のファイルからの該当すると思われる情報を探し、「お客様の情報は○月に溶解処分（orシュレッダー処分）しました」と伝えてください。

内訳を記録しないとなると、いつに溶解処分したのか、
判別つかないのではないでしょうか？

回答No.2

jyamamoto

no.1です。

個人情報の種類ごとに、管理責任者を明確にしておく必要があるだけですから、「顧客データ」の管理責任者の了解の下で削除しておけば問題はないと思います。

「個人情報保護法」は、いわば「労働安全衛生法」と同じようなもので、事故が起こらないように実質的に配慮がされていれば、重箱の底をつつくようなあら捜しはしなくても良いと思います。

お礼

参考にさせていただきました。
ご回答ありがとうございました。

回答No.1

jyamamoto

「名前の判別できない顧客」のデータが、貴方の会社にとって必要なものなのでしょうか？名前が判別できない人にＤＭを出す意味があるのでしょうか？もし、必要でないのであれば、今からでも「削除」してしまえば済む話です。

「削除」してしまえば、問合せがあっても「個人データ」を持っている訳ではありませんから何も問題ありませんし、必要であれば問合せを受けた時に了解を得て新たに登録すれば良いのではないでしょうか？

補足

削除するときに、いつ誰を削除したのかを記録する必要が
あると聞きました。誰かわからなければ、削除記録がと
れないのではないのかと思っています。
そこまで厳密にすることはないということでしょうか？