大きなファイルを社外に送る方法を聞かれたら

送り方を決める前に、中身を聞きます。名簿、応募者の書類、健康診断の結果、取引先の顧客データが入っているなら、送り間違いが法律の報告義務につながります。

個人情報保護法施行規則の第7条は、報告が必要になる事態を4つ挙げています。要配慮個人情報が含まれる個人データの漏えいと、不正に利用されると財産的被害が生じるおそれがある個人データの漏えいです。残る2つは、不正の目的による行為での漏えいと、本人の数が1,000人を超える漏えいです。おそれがある段階でも対象になります。

個人情報保護委員会は、報告が必要な例として、1,000人を超える会員へのメール配信で、本来BCC欄に入れるべきメールアドレスをCC欄に入れて一括送信した場合を挙げています。ファイルの送り方の質問は、この種の事故と地続きです。中身を聞かずに手順だけ答えると、承認が要る案件を素通りさせてしまいます。

メールの添付には上限があります。Googleのヘルプは、個人用のGmailアカウントの上限は25MBで、複数のファイルを添付する場合は合計で25MBまでだと書いています。仕事用アカウントと学校用アカウントの上限は、Google Workspace の管理者が設定します。

合計が上限を超えると、Gmailでは添付ファイルが自動的に削除され、Google ドライブのリンクとしてメールに追加されます。社員が「勝手にリンクになった」と言ってくるのは、この動きです。異常ではないと伝えます。

上限は受け取る側にもあります。こちらで送れても、相手のメールサーバーで止まり、届かなかったことに気づくまで時間がかかります。数十MBを超えるなら、はじめから共有リンクで渡すほうが確実です。

共有リンクは、作り方を間違えると、転送されただけで誰でも開ける状態になります。設定できる項目は会社が使っているサービスで違います。

OneDriveのヘルプは、リンクを渡す相手として、リンクを受け取った人全員、組織内の人、すでにアクセス権を持つ人、指定した人の4つを挙げています。あわせて、編集の許可、ダウンロードの禁止、有効期限とパスワードの設定を選べます。有効期限とパスワードは Microsoft 365 のサブスクリプションを契約している場合に使えると書かれています。

Google ドライブのヘルプは、共有相手の権限を閲覧者、閲覧者（コメント可）、編集者から選べると書いています。仕事用アカウントまたは学校用アカウントでは、共有のときに有効期限を追加できます。

LINE WORKS のDriveでは、リンクの共有範囲を、誰でもアクセス可能（パスワード設定可能）、社内メンバー、許可した人のみ（OTP認証）から選びます。リンク共有を使うには管理者の許可が必要で、外部との共有を止めている会社ではそもそも作れません。社員から「リンクが作れない」と言われたら、操作ではなく管理者の設定を先に確認します。

取引先から、ファイルをzipにしてパスワードを別のメールで送るよう指定されることがあります。社員はこの指定を断れないので、会社としての答えを先に用意しておきます。

個人情報保護委員会のガイドライン（通則編）は、漏えいした個人データに高度な暗号化等の秘匿化がされている場合は、報告を要しないと書いています。ただし、同じメールの経路でパスワードを送る方法が、この「高度な暗号化その他の個人の権利利益を保護するために必要な措置」に当たるかどうかは、ガイドラインには書かれていません。届く先を間違えれば、ファイルもパスワードも同じ相手に届きます。

答え方は2つに分かれます。相手の受け取り方に合わせてzipで送る場合は、パスワードを電話や別のチャットなど、メールとは違う手段で伝えてもらいます。共有リンクを使える相手なら、リンクにパスワードと有効期限を設定する形を提案してもらいます。どちらを標準にするかは、会社の方針として決めておきます。

社員が慌てて相談してくるのは、送ったあとです。最初にやることは、リンクを止めることと、誰が開いたかを確かめることです。共有リンクなら、削除するかアクセス権を外せば、その先は開けなくなります。

個人情報保護委員会のFAQによると、個人データを含むメールを誤送信しても、相手が削除するまでの間に閲覧していないと確認できたときは、漏えいに該当しません。あわせて、誤送信先の取扱いやアクセスログ等が確認できない場合には、漏えいまたは漏えいのおそれに該当し得るとも書いています。確認できるかどうかが分かれ目になります。

報告が必要な事態に当たるときは、規則第8条により、知った後に速やかに報告します。ガイドラインは、この「速やか」の目安を、知った時点から概ね3～5日以内としています。そのうえで、知った日から30日以内（不正の目的による行為での漏えいの場合は60日以内）に、原因や再発防止の措置を含めて報告します。本人への通知も必要になります。社員に全部を覚えてもらう必要はありません。「気づいたらすぐ【情シスの窓口】に連絡する」ところまでを伝えます。