「個人情報管理台帳」の項目「消去・廃棄／記録」という項目がありますが、ここは何を指していますか？
「個人情報管理台帳」の項目「消去・廃棄／記録」という項目がありますが、ここは何を指していますか？
委託者に対して、削除・廃棄した証明、エビデンス的な物の提出の要・不要を表しているということでしょうか。結論から申し上げますと、この項目は「その個人情報が役割を終えた際、どのようなルールで捨て、その事実をどう記録に残すか」という、ライフサイクルの出口（終着点）を定義するものです。
ご質問の「委託先からの証明書の要否」も、この項目で定めるべき重要な要素の一つとなります。
1. この項目が指している具体的な内容
JIS Q 15001では、個人情報の「取得」から「消去・廃棄」までを一貫して管理することが求められています。この項目には、主に以下の2点を記載します。
- 消去・廃棄の方法：
「シュレッダー廃棄」「データ削除ソフトによる消去」「委託先による溶解処理」など、具体的な手段を特定します。 - 廃棄の記録（エビデンス）の管理：
いつ、誰が捨てたのかを「廃棄記録簿」に付けるのか、あるいは委託先から「廃棄証明書」を回収するのかといった、証跡の残し方を定義します。
2. 委託先へのエビデンス提出の要・不要について
ご指摘の通り、外部へ処理を委託している場合、その委託先から「消去・廃棄の証明書」を提出してもらう必要があるかどうかを、ここで整理しておくことは非常に有効です。
- 要・不要の判断基準：
リスク分析の結果、重要度が高い個人情報（マイナンバー、機密性の高い顧客情報など）については、確実に廃棄されたことを確認するために「証明書の提出を要する」と定義するのが一般的です。
3. 規格要求事項との関連性
旧来の「6.1 個人情報の特定」のフェーズだけでなく、最新の安全管理措置（JIS Q 15001:2023 A.10）の観点からも、消去・廃棄の明確化は必須です。
- リスク対策（箇条6.2.1）：
「捨て方が曖昧であること」自体が大きな情報漏洩リスクとなります。 - 安全管理措置（箇条 A.10）：
個人情報を消去、または機器・媒体を廃棄する場合の具体的な手順を定め、実施した記録を保持することが求められています。
4. 実務上のアドバイス
「消去・廃棄／記録」の欄を埋める際は、以下の例を参考にカスタマイズしてみてください。
記入例：
- 社内PCデータ：
専用ソフトによる上書き消去後、情報システム担当者が「廃棄記録簿」へ記入。 - 紙の契約書（委託）：
専門業者へ溶解委託し、発行された「廃棄証明書」を5年間保管。
個人情報管理台帳は、一度作って終わりではなく、この「消去・廃棄」が実行された時に初めてライフサイクルが完結します。関連ブログ記事「開示対象個人情報の判断基準」も参考に、データの入口から出口までを整合性のあるルールで管理していただければと思います。
