会員データを初めて扱うDXで、
プライバシー保護計画は何から作る？

扱うデータを棚卸しし、分類する

氏名・住所のような基本情報だけでなく、次の観点で棚卸しします。

• 会員以外のデータも対象：店舗スタッフが会員情報を照会するなら、その操作ログや、スタッフ自身の勤怠・評価データも保護対象です。「プライバシー保護＝顧客対応」という思い込みで、社内データが抜け落ちるケースが少なくありません。
• 似た名前のデータでも扱いが変わる：「購買履歴」や「位置情報」は、2022年施行の改正個人情報保護法で新設された「個人関連情報」の枠組みでは、一般的に単体では個人を特定できない情報として扱われます。しかし会員IDに紐づけて自社内で照合できる状態であれば「個人情報」です。項目名だけで一律に判断せず、自社内で誰のものか分かる状態かを都度確認します。
• 機微な情報は別格に：判断に迷う項目（自己申告の体質情報など）を、法律上の要配慮個人情報（病歴・信条など）と同じ入力欄で取得するなら、厳しい方に寄せて管理するのが安全です。

リスクを「取得・利用・保管・提供・消去」の5段階で洗い出す

「情報漏えいが心配」という一言で終わらせず、どの段階で、なぜ起きるのかを具体化します。例えば、会員登録フォームの自由記述欄に機微な情報が意図せず入力される（取得段階）、利用者の端末から第三者へ送信される広告タグについて電気通信事業法上の公表対応が漏れている（提供段階。2023年施行の「外部送信規律」は、通知・公表／事前同意の取得／オプトアウト措置のいずれかを義務づけています）、あるいは提供先で個人データ化されるCookie等の個人関連情報について本人同意の取得状況の確認がなされていない（提供段階。個人情報保護法第31条）など。段階ごとに具体化すると、対策も具体的になります。

リスクに強弱をつけて評価する

洗い出した全リスクに同じ対策を並べるのは非効率です。「発生可能性×影響度」で評価し、優先順位をつけます。対応の型は「低減・回避・移転（保険加入など、損失を他者に肩代わりさせること。後述する「越境移転」とは別の意味です）・受容」の4つですが、実務では大半が「低減（技術的・組織的対策で発生確率や影響を下げる）」に集約されることが多く、それ自体は問題ではありません。重要なのは、なぜその対応を選んだかを説明できることです。

影響評価（PIA）を実施し、経営判断につなげる

新しい種類の個人情報を扱う／新技術（AI等）を使う／大量のデータを扱う新システムを導入する／利用目的や提供先を大きく変える——このいずれかに該当するなら、国際規格（JIS X 9251／ISO/IEC 29134）や個人情報保護委員会のガイダンスでも推奨されている「影響評価（PIA）」の実施を強く推奨します（法律で一律に義務化されているものではありません）。ゴールは分厚い報告書ではなく、経営層が「進める／条件付きで進める／中止・再検討」を判断できる1〜2ページのサマリーです。

体制を決め、記録を残す

「誰が実行するか（R）」「誰が最終責任を持つか（A）」「誰に相談するか（C）」「誰に報告するか（I）」を役割表（RACI）で1つずつ割り当て、明確にします。特に「最終責任を持つ人（A）」は各タスクにつき必ず1名に絞ることが重要です。委託先には業務を任せられても、法令上の責任は自社に残ります。判断のプロセスと根拠は必ず記録に残します。「記録されていないことは、実行されていないことと同じ」——監督責任を果たしたことを証明する唯一の手段だからです。