Scribble at 2026-07-22 06:13:41 Last modified: unmodified

頻繁にある話ではないから紹介しておくと、昨日の業務を始めた際にメールを受信したところ、弊社のサービスを利用していた人物からメールが "privacy@" というメール・アカウントに届いていた。なんでもパスワードを忘れたらしいので、サービスにログインできず、サービスからの退会と登録情報の抹消を要望するとのことだ。文章の最後には、ご丁寧に個人情報保護法と特定電子メール法の話まで書いてある。

こういう場合に、企業の個人情報保護管理者（Chief Privacy Officer）として行うべきことは決まっている。なお、この肩書は JIS、特に ISMS で経営陣から組織に指名して配置しなくてはいけない「組織的管理策」を個人データの保護マネジメントに適用したもので、実体や手続き上の証拠などなしに企業が勝手に社員の誰かに名乗らせて良いものではない。ここでは僕が何度も CPO だと名乗っているので、「哲学者」という言葉と同じで何かの自意識フレーズだと勘違いする人もいるとは思うが、こちらはれっきとした産業規格の要求なのだ（JIS Q 15001:2023, 5.3.2「役割，責任及び権限の割当て」）。

第一の手順は、もちろん「本人確認」である。このような申し出や要求を個人データの当事者である本人が行っていることの確認だ。これは、悪意のある第三者が本人を騙って偽の要求をする可能性があるからで、事業者は要求が本人からのものであることを確かめなくてはいけない。一般的には書類への記入や押印などを求める手続きなどがあるけれど、これは本人にとってかなり煩雑だし時間もお金もかかる。なので、電子契約書の場合と同じく、開示したり削除したり訂正したい個人データ（特にメール・アドレス）と同じアドレスからメールとして送信されている要望は、ひとまず本人からのものだとして処理してよいと思う。"From" のメタ・データを詐称するような相手を想定してもいいが、少なくとも僕がメールを受信しているのは GMail 上であり、そして今回の要望は GMail のメール・アカウントから送られてきているので、これを別のメール・アカウントや MX サーバから詐称して送信することは困難であろう。

もちろん、幾つか引っかかることはある。わざわざ個人情報保護法や特定電子メール法のような法令の名前まで出してこちらに適正な手続きを求めるような人物なのに、弊社のサービスではメール・アドレスさえ分かっていればパスワードの再設定ができることを知らないというのは、やや迂闊な印象も受ける。すると、この送信メール・アドレスにパスワードの再設定に関するメールが届いても対応できない、つまりは送信元を詐称している人物が、本人に成りすましてメールを送ってきている可能性も疑えるわけだ。まぁでも、今回はここまで疑って書類への押印といった面倒臭い本人確認をするのは止めにした。もし本当に本人からの求めであれば、即座に対応する方が好感度は高いだろうし、仮に本人であってなおかつ弊社の対応が適切であるかどうか（つまり本人確認をちゃんとやるかどうか）を見定める何かの調査であるとしても、「送信元を詐称するような『高度な技術と悪意を持つ』相手まで想定していませんでした」と馬鹿のフリをすればいいだけである。過ちは次への糧とすればいい。これは大人の特権というものだ（冨野風）。

こういうわけで、該当サービスの部長へデータの削除を依頼し、その日の午前中に対応が終わって報告をメールで返信したというわけである。ご要望のメールは 7/20 で対応は 7/21 の午前だから日付として１日は経過したことになるが、7/20 は祝日なので（一部の業種や窓口担当を除けば）企業が祝日対応などするわけがないから、そこはパスワードの再設定ができないようなスキルとか知識の人でも差し引いて考えてもらわなくてはいけない（なーんて言っても、凡人がそんなバランスの取れた思考なんてするわけもないが。そもそも人というものは、凡人ならなおさら、合理性や公平や正義なんかのために生きているわけではない。そんなことに人生を費やしたところで、せいぜい高校倫理の教科書に名前と、それから実情を反映しているとは言い難い雑な要約の業績が掲載されるのが関の山であろう）。

それから、報告をメールで送ったら、こちらの仕事は完了である。中には本人からの応答とか、それどころか「お礼」のようなメッセージを期待する人がいるかもしれないが、そんなものはまず来ない。