個人情報の入ったUSBメモリ・DVDの管理｜保管・持ち出し・紛失・廃棄の決まり

給与の計算データを入れて税理士事務所へ届けるUSBメモリ、名簿や成績を入れた外付けHDD、患者に渡す検査画像のディスク、行事の動画を焼いたDVD。個人情報の入った媒体は、会社や学校、病院、自治体の事務で毎日のように作られ、人の手で動いています。

根拠になるのは個人情報保護法の第23条で、事業で個人情報を扱う事業者に、個人データの漏えい、滅失、毀損を防ぐための必要かつ適切な措置を求めています。個人情報保護委員会（以下、委員会）のガイドライン（通則編）は、媒体の扱いも具体的です。施錠できるキャビネットなどに保管する、持ち運ぶときは容易に中身が分からないようにする、捨てるときは復元できない手段で行う、と書いています。USBメモリなどを捨てる方法として通則編が挙げる例は、専用のデータ削除ソフトウェアの利用か、物理的な破壊などです。

扱いを外に任せれば委託先の監督（第25条）が、なくして一定の事態にあたれば委員会への報告と本人への通知（第26条）が加わります。マイナンバーを含む情報は、番号法と委員会のガイドラインで、扱う人と区域をさらに絞ります。

個人情報の入った媒体の管理で、法律とガイドラインが求めること

安全管理の決まりがかかるのは、名簿のように特定の人を検索できるよう整理した個人情報の集まり（個人情報データベース等）を事業に使っている事業者、つまり個人情報取扱事業者です。ここでいう事業は営利か非営利かを問わず、NPO法人や自治会・町内会、PTAなども当たりうる、と委員会のQ&Aは説明しています。データベース等を作っている一件一件の情報を「個人データ」と呼び、媒体にかかわる主な条文は次の4つです。

条文	決まりの中身
第23条 安全管理措置	個人データの漏えい、 滅失、毀損を防ぐ 措置を講じる。
第24条 従業者の監督	個人データを扱わせる 従業者を監督する。
第25条 委託先の監督	扱いを任せた 委託先を監督する。
第26条 漏えい等の報告	決まった事態が 起きたら委員会に 報告し、本人に 通知する。

通則編の別添「講ずべき安全管理措置の内容」のうち、媒体に直接かかわるのは物理的安全管理措置の、盗難等の防止、持ち運ぶ場合の漏えい等の防止、削除と廃棄の3つです。どこまで手を打つかは、漏えいしたときに本人が受ける被害の大きさ、事業の規模、扱うデータの性質と量、媒体の性質などのリスクに応じて決めます。Q&Aによると、例示された手法を全部とる必要はなく、手法も例示に限られません。

従業員100人以下の事業者（中小規模事業者）には、措置ごとに「中小規模事業者における手法の例示」が添えられています。事業に使う個人データで識別される人の数が過去6か月以内のいずれかの日に5,000を超えた事業者と、委託を受けて個人データを扱う事業者は除かれます。中小規模事業者も第23条の措置そのものは講じる必要があり、ほかの事業者向けの手法を選ぶのは、より望ましい対応とされています。

誰か分かる映像や写真も個人情報

委員会のガイドラインは、防犯カメラに記録された本人が判別できる映像を、個人情報の例に挙げています。ただし、特定の人の映像を検索できるよう整理していない限り、ビデオカメラなどの映像は個人情報データベース等にはあたらない、というのが委員会のQ&Aの説明です。

設置したカメラの画像についてQ&Aは、データベースにしていなければ第23条の義務が直接かかる対象ではないものの、漏えいしないよう安全管理措置を参考に扱うのが望ましい、としています。行事の動画を配る前の同意の取り方は、園の動画・写真を配るときの同意書｜作り方と、使い道ごとに選べる文例にまとめました。

自治体・公立の学校と病院の場合

市区町村などが設置する公立の学校や園では、市区町村長や教育委員会が「地方公共団体の機関」にあたり、第5章「行政機関等の義務等」が当てはまります。保有個人情報の安全管理は第66条、漏えい等の報告と本人への通知は第68条です。2023年4月から、地方公共団体の個人情報の決まりもこの法律の全国共通のルールになりました。

委員会のガイドライン（行政機関等編）は、安全管理の例として、アクセスできる職員を業務に必要な最小限に限ることと、媒体を保管する場所を決めて施錠することを挙げています。公立の病院・診療所・大学の運営には、第58条第2項により、民間と同じ第4章の決まり（安全管理、委託先の監督、漏えい等の報告など）が当てはまります。手続きや様式は、それぞれの機関の規程で確かめてください。

媒体に入れる前に、入れるかどうかと中身を決める

USBメモリやディスクに書き出した個人データは、媒体ごとに、保管、持ち運び、廃棄の決まりの対象になります。書き出さずに業務のシステムの中で済むなら、媒体を置き、運び、捨てる手間そのものが生じません。

入れると決めたら、中身を用途に必要な範囲に絞ります。通則編は委託先に渡す場面について、委託する業務に必要のない個人データを渡さないのは当然のこと、としています。利用する必要がなくなった個人データは遅滞なく消去するよう努める決まり（第22条）もあり、媒体の中身も、用が済んだら消すか媒体ごと処分する対象になります。

媒体の種類は、捨てるときのことまで考えて選びます。DVD-RやBD-Rは、一度書いた中身をあとから書き換えたり消したりできないディスクです（マクセル）。消してから捨てる手が使えないので、要らなくなったらディスクそのものを壊します。マイナンバーは、番号法で集めたり保管したりできる場面そのものが限られています（第20条）。書類を受け取って担当者に回すだけの人は、自分の手元に個人番号を残してはならない、とマイナンバーのガイドラインは書いています。

台帳で、どんな個人データの媒体があるかを分かるようにする

通則編は、個人データの取扱状況を確かめる手段を整えることを求め、手法の例として次の項目を前もってはっきりさせておくことを挙げています。媒体の台帳を作るなら、この項目を欄にすると、委員会の資料と同じ言葉で説明できます。

項目	書いておくこと
種類・名称	元の名簿や データベースの 種類と名称。
個人データの 項目	氏名、住所など、 入っている項目。
責任者・ 取扱部署	管理の責任者と、 扱う部署。
利用目的	何のために 使うか。
アクセス権を 有する者	扱ってよい人。

委員会のQ&Aは、いわゆる「個人情報取扱台帳」の作成が義務づけられているわけではない、としています。そのうえで、どんな個人データを扱っているかをはっきりさせることは、取扱状況をつかむのに有効な取り組みだと説明しています。決めた手順どおりに扱われているかを確かめるため、利用状況などを記録することも重要とされ、記録の例には次の4つが挙がっています。

• 個人情報データベース等の利用・出力の状況
• 個人データの入った書類・媒体等の持ち運びなどの状況
• 削除・廃棄の状況（委託したときの消去・廃棄を証明する記録を含む）
• 情報システムで扱う場合の、担当者の利用状況（ログインの記録、アクセスログなど）

中小規模事業者の手法の例は、決めた取扱方法どおりに扱われていることを責任ある立場の人が確かめ、取扱状況を定期的に点検する、という形です。マイナンバーのガイドラインは、取扱状況を確かめるための記録には特定個人情報を書かない、としています。

保管は施錠できる場所で｜寿命とオフラインの控えも考える

通則編が保管について求めるのは、個人データを扱う機器、電子媒体、書類の盗難や紛失を防ぐための適切な管理です。手法の例は、中小規模事業者も同じく「施錠できるキャビネット・書庫等に保管する」こと。委員会のQ&Aは、書類や媒体、持ち運べるコンピュータを机の上や社内に放置しないことも例に挙げています。事務をする場所では、間仕切りや座席の配置、のぞき込みを防ぐ工夫で、権限のない人に見られないようにします。

媒体の寿命も、保管の条件に入れる

HDD、SSD、USBメモリ、SDカードは、光ディスクのような平均の寿命の年数が公表されていません。USBメモリとSDカードは、長く放置するとデータが消えることがあります（バッファロー）。光ディスクの平均の寿命の目安は、一般的なDVD-Rで10〜20年、BD-Rで5〜10年です（カナダ保存研究所の、温度と湿度の影響だけをもとにした値）。

中身が読めなくなれば、通則編のいう個人データの「滅失」にあたることがあり、同じデータがほかに保管されていれば滅失にはあたりません。年数の根拠はHDD・SSD・USBメモリ・光ディスクの寿命比較｜何年もつかと保存先の選び方に書きました。

控えは、ネットワークから切り離した1つも持つ

警察庁によると、ランサムウェアによってバックアップのデータまで暗号化される事例が多数確認されています。そこで警察庁は、バックアップはなるべくこまめに取り、ネットワークから切り離してオフラインで保存するなど、暗号化されないように備えるよう勧めています。通則編でも、ランサムウェアなどで個人データが暗号化され復元できなくなった場合は「毀損」の例で、不正の目的による報告対象の例です。同じデータがほかにあれば毀損にはあたりませんが、同時にデータが盗まれていれば漏えいにもあたります。

切り離した控えも個人データの媒体なので、台帳に載せ、施錠して保管します。控えの取り方と世代の残し方はランサムウェア対策のオフラインバックアップ｜中小企業・学校・家庭のやり方とBCPにまとめました。3つ持ち、2種類に分け、1つを別の場所に置く考え方は写真・動画の長期保存はクラウドとDVDのどっち？｜3-2-1バックアップの組み方にあります。

USBメモリの持ち出しと受け渡し｜暗号化し、パスワードは別に伝える

個人データの入った電子媒体や書類を持ち運ぶときは、容易に個人データが分からないよう、安全な方策を講じなければなりません。ここでいう「持ち運ぶ」は、個人データを扱う区域から外へ出すことと、外から区域へ入れることで、事業所の中の移動でも紛失や盗難に気をつける必要がある、と通則編は書いています。挙がっている方法は次のとおりです。

区分	ガイドラインの例
中身	暗号化やパスワードで 保護してから 電子媒体に入れる。
包み方	封をする。 目隠しシールを貼る。
入れ物	施錠できる 搬送容器を使う。
中小規模 事業者	パスワードを設定し、 封筒に入れて 鞄で運ぶ。
マイナンバー	上に加えて、 追跡できる 移送手段を使う。

決めた手順は、守られているかまで見ます。通則編は、従業者の監督（第24条）が足りない例として、内部の規程に反して個人データの入ったノートパソコンや外部記録媒体が繰り返し持ち出されていたのを放置し、紛失して漏えいした場合を挙げています。持ち運びの記録と照らして確かめ、研修で伝えます。研修は、適切な内容なら年1回程度でも少ないとはいえない、とQ&Aは答えています。

パスワードは、媒体やファイルとは別の手段で伝える

暗号化やパスワードで守れるかは、鍵の扱いで決まります。委員会のQ&Aは、漏えいしても報告が要らない「高度な暗号化」の条件の一つに、暗号化した情報と復号鍵を分け、鍵そのものの漏えいを防いでいることを挙げています。パスワードは、不正に手に入れた人が容易に解読できないよう、文字の種類や桁数も考えます。

伝え方について総務省は、パスワードをあとから別のメールで送る方法は、同じ間違った宛先に送ってしまう例が多く、根本的には有効とはいえないとしています。予防に挙がっているのは、電話などメール以外の手段で伝えることと、前もってパスワードのルールを決めておくことです。ギガファイル便で渡すときのパスワードの付け方と伝え方は、ギガファイル便は安全？危険と言われる理由とウイルス・情報漏洩の防ぎ方にまとめました。

送るときは、届いたかを追える方法で

書類の誤送付とメールの誤送信は、通則編が個人データの「漏えい」の例として最初に挙げている2つです。第三者に閲覧されないうちに全部を回収できれば、漏えいにはあたりません。

マイナンバーのガイドラインは、電子媒体や書類を安全に持ち運ぶ方法の一つに、追跡できる移送手段の利用を挙げています。追跡できる送り方なら、届いたかどうかを送った側で確かめられます。警察や保険会社に動画を証拠として渡すときは、先方が指定する方法に合わせます（動画を証拠として保存する方法｜ドラレコ・防犯カメラ・スマホの映像を消さずに残す）。

外に頼むときは、委託先を選び、契約し、扱いを確かめる

個人データの扱いを外に任せるときは、委託先を監督する義務があります（第25条）。通則編のいう委託は、契約の形や種類を問わず、ほかの者に個人データを扱わせることで、入力、編集、分析、出力などの処理を任せる場合が想定されています。委託先で、自分たちが第23条で講じるべき措置と同じ水準の措置がとられるよう、次の3つを行います。

1. 委託先を選ぶ。委託する業務に沿って、安全管理措置の各項目が確実に実施されることを前もって確かめる
2. 契約を結ぶ。双方が合意した安全管理措置と、委託先での取扱状況を委託元がつかめることを盛り込むのが望ましい
3. 取扱状況をつかむ。定期的な監査などで、契約で決めたことの実施の程度を調べて評価するのが望ましい

再委託については、相手や業務の内容、扱い方を委託先から事前に報告を受けるか承認することが望ましい、とされています。マイナンバーを扱う事務の委託では、契約に盛り込まなければならない項目が、マイナンバーのガイドラインに挙がっています。次のような規定です。

• 秘密保持義務
• 事業所内からの持ち出しの禁止
• 目的外利用の禁止
• 再委託の条件
• 漏えい等が起きたときの委託先の責任
• 契約終了後の返却または廃棄
• 従業者の監督・教育
• 遵守状況の報告を求める規定

自治体が委託するときの仕様書の項目は、公文書・自治体の電子記録の長期保存｜保存期間・形式・媒体と光ディスクの使い方に並べました。行政機関等から個人情報の扱いを任された事業者にも、行政機関等と同じ安全管理の決まりがかかります（第66条第2項）。

USBメモリをなくしたら、漏えい等の報告が要るかを確かめる

気づいたら、まず社内で動きます。通則編が挙げる措置は、次の5つです。

• 責任ある立場の人に直ちに報告して、被害の広がりを止めること
• 事実関係の調査と原因の究明
• 影響の範囲の特定
• 再発防止策の検討と実施
• 委員会への報告と本人への通知

「漏えい」は個人データが外に流出すること、「滅失」は内容が失われること、「毀損」は意図しない形で変わったり、内容はあっても使えなくなったりすることです。個人データの入ったUSBメモリをなくし、社内か社外か特定できないときは、漏えい（またはそのおそれ）にあたる、と委員会のQ&Aは説明しています。社内でなくしたままなら、滅失（またはそのおそれ）にあたる、としています。

委員会への報告が要る4つの場合

報告が義務になるのは、次のどれかにあたる漏えい等が起きたか、起きたおそれがあるときです（第26条、委員会の規則第7条）。「おそれ」は、その時点で分かっている事実から漏えい等が疑われるものの、確証がない場合を指します。

場合	例
要配慮 個人情報	病歴、健康診断の 結果、診療情報など。 患者の診療情報を 入れたUSBメモリの 紛失も例に挙がる。
財産的 被害	クレジットカード番号、 決済できるサービスの IDとパスワード。
不正の 目的	媒体の盗難、 ランサムウェアによる 暗号化、従業者の 不正な持ち出しなど。
本人の数 1,000人超	本人の数が 1,000人を超える。 行政機関等は 100人超。

4つのどれにもあたらない場合も、委員会に任意で報告することはできます。

暗号化していれば、報告が要らないことがある

漏えい等した個人データに「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられていれば、報告は要りません。委員会のQ&Aによると、その時点の技術水準に照らして第三者が読める状態にするのが難しい暗号化と、読めるようにする手段の適切な管理の両方が必要です。管理の条件は、暗号化した情報と復号鍵を分けて鍵の漏えいを防いでいること、遠隔操作で情報や鍵を消せること、第三者が鍵を使えない設計であることの、いずれかです。

報告の期限と、本人への通知

報告は原則として、委員会のサイトの報告フォームに入力して行います（業種によっては、権限の委任を受けた省庁が報告先です）。まず速報を、社内のいずれかの部署が知った時点から概ね3〜5日以内を目安に、その時点で分かっている内容で出します。続けて、知った日から30日以内（不正の目的のおそれがある事態は60日以内）に確報を出します。

本人にも、状況に応じて速やかに、事態の概要、漏えい等した個人データの項目、原因、二次被害やそのおそれの有無などを知らせます。連絡先が分からず知らせるのが難しいときは、事案の公表や問い合わせ窓口の設置などで代えることが認められています。

地方公共団体の機関などの行政機関等では、本人の数100人超や、条例で定めた要配慮個人情報も報告の対象です。対象外でも、公表する漏えい等のように国民の不安を招きかねない事案は、速やかに委員会へ情報を提供するのが望ましいとされています（行政機関等編）。マイナンバーを含む情報は、本人の数100人超や不正の目的のおそれなどが報告の対象で（番号法第29条の4）、対象外の漏えい等も報告するよう努めることになっています。

USBメモリ・CD-R・DVD・HDDの捨て方｜読めないようにして記録を残す

個人データを消したり、個人データの入った機器やUSBメモリなどの電子媒体を捨てたりするときは、復元できない手段で行わなければなりません。通則編が挙げる方法の例は、専用のデータ削除ソフトウェアの利用か、物理的な破壊などです。消したり捨てたりした記録を残すこと、作業を委託したら委託先が確実に消した・捨てたことを証明書などで確かめることも重要とされ、中小規模事業者の例は、責任ある立場の人が削除・廃棄を確かめることです。

ディスクは割らずに、ディスクに対応したシュレッダーで

DVD-RやBD-Rは中身を消せないので、ディスクそのものを壊します。手で割るのは、破片が飛び散ってけがをするおそれがあるとしてマクセルが止めています。書類用のシュレッダーにも、ディスクを入れないよう説明書に書かれた機種があります（アイリスオーヤマ）。

CD・DVD用の投入口を持つ機種で、説明書のとおり1枚ずつ細断します。ディスクに対応した機種の説明書にも、CD・DVDだけを挙げてブルーレイに触れていないものがあるので、ブルーレイは使う機種の説明書で確かめます。細断の手順とけがを防ぐ注意は、CD・DVDの捨て方｜何ごみかの調べ方と、読めないように壊す方法にまとめました。

HDD・SSDは、初期化だけで終わらせない

総務省が地方公共団体向けに示すガイドラインは、初期化（フォーマット）ではハードディスクなどにデータの記録が残るため適当ではない、と書いています。物理的に壊すなら、HDDは記録している内部の円盤を、SSDは内部のチップを確実に壊す必要があり、一般的な破壊装置では破片から情報を読み取られるおそれがある、ともしています。記録には、日時、担当者、処理の内容（同じガイドラインの例文）と、確かめた責任者を残し、業者に頼んだら証明書などの控えを台帳と一緒に保管します。

いつ捨てるかについて、個人情報保護法に保存期間や廃棄の時期の決まりはなく、利用する必要がなくなったら遅滞なく消去するよう努める、というのが委員会のQ&Aの説明です。診療記録のように別の法令で保存の年数が決まっている記録もあるので、捨てる前にその記録にかかる決まりを確かめます。

マイナンバーの入った媒体の保管と廃棄｜担当者と区域を決め、期限が来たら捨てる

番号法は、マイナンバー（個人番号）を含む個人情報を「特定個人情報」と呼んでいます。事業者にも、個人番号の漏えい、滅失、毀損を防ぐなど、適切な管理のために必要な措置を求めています（第12条）。個人情報保護法の安全管理の決まりもあわせてかかります。委員会のマイナンバーのガイドラインは、個人番号を扱う事務の範囲、特定個人情報等の範囲、その事務に携わる担当者（事務取扱担当者）を明確にすることを出発点にしています。

そのうえで、サーバなどを管理する区域（管理区域）と事務をする区域（取扱区域）を決め、取扱区域では担当者以外が容易に見られないようにします。機器、電子媒体、書類は施錠できるキャビネット・書庫に保管し、持ち運ぶときは追跡できる移送手段なども使って、容易に個人番号が分からないようにします。行政機関に法定調書などをデータで出すときは、行政機関が指定する方法に従います。

保存期間が過ぎたら、できるだけ速やかに廃棄する

特定個人情報を保管できるのは、番号法で認められた事務に必要な間です。雇用契約が続いていれば源泉徴収などのために翌年度以降も保管でき、書類に法令の保存期間があれば、その期間は保管します。たとえば扶養控除等申告書は、提出期限の属する年の翌年1月10日の翌日から7年を経過する日までが保存期間で、過ぎたら原則としてできるだけ速やかに廃棄します。

事務に必要がなくなり保存期間も過ぎたら、個人番号をできるだけ速やかに、復元できない手段で削除または廃棄します。作業の時期は、毎年度末に行うなど、安全性と事務の効率を考えて事業者が決めてよい、とマイナンバーのQ&Aは答えています。取引が再開するかもしれないからと保管し続けることはできません。削除・廃棄した記録は保存し、委託したら確実に削除・廃棄されたことを証明書などで確かめます。記録には、ファイルの種類・名称、責任者・取扱部署、削除・廃棄の状況などを書き、個人番号そのものは含めません。

小さな会社で決めておく最小限

マイナンバーのガイドラインにも、従業員100人以下の中小規模事業者向けの対応方法があります。除かれるのは、次の事業者です。

• 個人番号利用事務実施者
• 委託を受けて個人番号の事務を業務として行う事業者
• 金融分野の事業者
• 事業に使う個人情報データベース等で識別される人が、過去6か月以内のいずれかの日に5,000を超えた事業者

対応方法を、マイナンバーのQ&Aの例とあわせて並べます。

• 取扱方法と、責任者・事務取扱担当者をはっきりさせる。取扱規程は必ずしも義務ではなく、口頭のほか、業務マニュアルや業務フロー図、チェックリストに書き加える方法もある
• 担当者が替わるときは確実に引き継ぎ、責任ある立場の人が確かめる
• 取扱状況の分かる記録を残す。業務日誌に、入手と廃棄、源泉徴収票の作成日、税務署への提出日などを書く方法がある
• 一つの事務室なら、来客スペースから書類やパソコンの画面が見えないよう工夫し、留守にするときはドアに施錠する。機器や電子媒体、書類は、使わないときは施錠できるキャビネットや引出にしまう
• 持ち運ぶときは、パスワードを設定し、封筒に入れて鞄で運ぶなど、紛失や盗難を防ぐ
• 削除・廃棄したことを、責任ある立場の人が確かめる

源泉徴収票の作成などを外に任せていても、委託先を監督する義務は残ります（番号法第11条）。任された側が再委託できるのは、委託した側の許諾を得たときだけです（第10条）。自宅で扱うテレワークも、担当者以外が容易に見られないようにする措置を講じていれば問題ない、とマイナンバーのQ&Aは答えています。

今日から見直す順番

次の順に進めると、ガイドラインの項目と照らしながら埋めていけます。

1. 個人データやマイナンバーの入ったUSBメモリ、外付けHDD、ディスク、SDカードを洗い出し、台帳に書く
2. 施錠できる保管場所を決め、机の上に置かれたままの媒体をしまう
3. 持ち出しと受け渡しの手順（暗号化、パスワードの伝え方、送り方）と、持ち運びの記録を決める
4. 委託先ごとに、契約の中身と扱いの確かめ方を見直す
5. なくしたときに誰へ報告し、委員会への報告が要るかを誰が判断するかを決める
6. 保存期間が過ぎた媒体を読めないように壊し、記録を残す

行事や研修の動画をDVDやブルーレイにして配るときも、写っている人が分かる映像は個人情報です。当社は、大阪市北区・梅田にあるDVD・ブルーレイの書き込み代行の小さな店で、受け付けるのは完成した動画のデータです。動画を上げたギガファイル便のURLを注文フォームに貼っていただければ、プレーヤーで再生できる形に組み立てて（オーサリング）書き込みます。実際のプレーヤーで再生を確かめてから、ケースに入れて発送するか、店舗でお渡しします。

ギガファイル便のURLにダウンロードパスワードを付けた場合は、URLを貼ると開く「ダウンロードパスワード」の欄に入れてください。注文は1枚からで、基本料金（DVD・1枚あたり）1,500円（税抜）、基本料金（Blu-ray・1枚あたり）1,500円です。お引き受けできるのは、撮った本人か権利者の許可がある動画です。

よくある質問

Q1. 個人情報の入ったUSBメモリをなくしたら、必ず委員会に報告しなければなりませんか？

必ずではありません。報告が義務になるのは、要配慮個人情報が含まれる、財産的被害のおそれがある、盗難など不正の目的のおそれがある、本人の数が1,000人を超える、のどれかにあたる漏えい等（そのおそれを含む）です。社内か社外か分からない紛失は、漏えい（またはそのおそれ）にあたります。高度な暗号化がされ、鍵も適切に管理されていれば報告は要りません。どの場合も、社内での報告と調査、再発防止は必要です。

Q2. パスワードをかけたUSBメモリなら、なくしても報告は要りませんか？

パスワードをかけたかどうかだけでは決まりません。報告が要らないのは高度な暗号化等の秘匿化がされている場合で、委員会のQ&Aは、その時点の技術水準で第三者が読めない暗号化と、鍵の適切な管理（暗号化した情報と復号鍵を分けるなど）の両方を求めています。

Q3. 個人情報の入ったCD-RやDVD-Rは、どうやって捨てればいいですか？

読めないように壊してから、自治体の分け方で出します。DVD-RやBD-Rは中身を消せないので、CD・DVD用の投入口を持つシュレッダーで1枚ずつ細断するなど、物理的に壊します。手で割ると破片でけがをするおそれがあり、書類用のシュレッダーにディスクを入れるのも避けます。会社や団体なら、捨てた日時・担当者・方法と確かめた責任者を記録し、業者に頼んだら証明書などで確かめます。

Q4. マイナンバーの入った書類やデータは、いつまで保管し、いつ捨てればいいですか？

番号法で認められた事務に必要な間と、書類に法令で決まった保存期間のあいだは保管できます。どちらも過ぎたら、できるだけ速やかに、復元できない方法で廃棄・削除します。扶養控除等申告書なら、提出期限の属する年の翌年1月10日の翌日から7年を経過する日までが保存期間です。廃棄の作業を毎年度末にまとめるなど、時期は事業者が決められます。記録は残し、個人番号は書きません。

Q5. マイナンバーの入ったUSBメモリやディスクは、どこにどう保管すればいいですか？

事務取扱担当者を決め、担当者以外が容易に見られない区域で扱い、使わないときは施錠できるキャビネットや引出にしまいます。一つの事務室なら、来客スペースから書類や画面が見えないようにし、留守にするときはドアに施錠する、というのがマイナンバーのQ&Aの例です。持ち運ぶときは暗号化やパスワード、追跡できる移送手段を使い、保存期間が過ぎたら壊して捨てます。

Q6. 従業員の少ない会社でも、ガイドラインのとおりにしなければなりませんか？

安全管理措置そのものは、規模にかかわらず必要です。ただ、従業員100人以下の中小規模事業者（一部を除く）には、ガイドラインが別に手法の例を示しています。委員会のQ&Aも、大企業と同じ措置を必ずとらなければならないわけではない、と説明しています。

Q7. 委託先がUSBメモリをなくしたら、報告するのは委託元と委託先のどちらですか？

報告の対象にあたるなら、原則として両方に報告の義務があり、連名で報告することもできます。委託先が、報告の義務を負う委託元にその事態を知らせたときは、委託先の報告の義務はなくなり、知らせを受けた委託元が報告します。委託元は、通常、遅くとも知らせを受けた時点で事態を知ったことになり、そこから速やかに報告します。

参考にした公式の情報

出典の一覧（19件）を開く

• e-Gov法令検索：個人情報の保護に関する法律
• e-Gov法令検索：行政手続における特定の個人を識別するための番号の利用等に関する法律
• 個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（通則編）
• 個人情報保護委員会：「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ
• 個人情報保護委員会：漏えい等の対応とお役立ち資料
• 個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（行政機関等編）
• 個人情報保護委員会：特定個人情報の適正な取扱いに関するガイドライン（事業者編）
• 個人情報保護委員会：特定個人情報の適正な取扱いに関するガイドライン（事業者編）に関するQ&A
• 個人情報保護委員会：令和８年 改正個人情報保護法
• 警察庁：ランサムウェア被害防止対策
• 総務省：国民のためのサイバーセキュリティサイト「暗号化して送ったはずが・・・」
• 総務省：地方公共団体における情報セキュリティポリシーに関するガイドライン（令和8年3月版）
• マクセル：ディスクを廃棄するときに注意することはどのようなことですか？
• マクセル：記録型DVDの種類と違いは何ですか？
• マクセル：BD-RとREの違いは何ですか？
• アイリスオーヤマ：オフィスシュレッダー OF16J 取扱説明書
• アイリスオーヤマ：パーソナルシュレッダー KP5GC-45・KP4GM-45 取扱説明書
• バッファロー：ご存知ですか？ハードディスクは壊れます
• Canadian Conservation Institute：Longevity of Recordable CDs, DVDs and Blu-rays

条文と条番号は、2026年9月28日にe-Govで確かめた、その時点で施行されている版によるものです。個人情報保護法は2026年7月17日に改正法が公布され、漏えい等のときの本人への通知の決まりを緩めることなどが盛り込まれました。施行は原則として公布の日から2年以内で、政令・規則・ガイドラインが整えられているところです。施行後は内容や番号が変わることがあります。

この記事は2026年9月28日時点の公式の資料をもとにした一般的な説明で、個別の判断は、所属する組織の担当部署や弁護士に確かめてください。決まりの考え方は、委員会の「個人情報保護法相談ダイヤル」に電話で尋ねることもできます。ガイドラインやQ&Aに基づいて答える窓口で、適法かどうかの判断を求める相談には応じていません。