エンジニアの個人情報セキュリティ、フリーランスはどこまで守ればいい？

エージェント登録で免許証の画像を求められる。請求書には口座番号を書く。フリーランスになると、自分の個人情報を外に出す場面が一気に増えます。

とはいえ、すべてを同じ強さで守ろうとすると疲れてしまいます。「どの場面で、何を、誰に渡すか」を先に整理して、守り方に濃淡をつけるのが現実的です。

🗂 案件の流れで、個人情報が出ていく場面

私はお金のデータを扱うプロダクトを作ってきました。そのため、つい「この情報が悪用されたら何が起きるか」から考えます。案件の流れに沿って並べると、だいたい次のようになります。

マイナンバーは、源泉徴収の対象になる報酬などで求められることがあります。支払調書（税務署に出す支払いの記録）を作るためです。求められたら、何に使うのかを一度確認しておくと安心です。

🔐 自分の情報は「渡し方」と「公開範囲」で守る

本人確認書類は、渡すこと自体より渡し方で差がつきます。私なら次の3つを意識します。

• メール添付より、相手が用意した専用のアップロード画面を使う
• 画像に「〇〇社 登録用」など用途を書き添える
• 提出先をメモしておき、退会時に削除を依頼できるようにする

口座は、事業用を一つ分けておくと見張りやすくなります。確認する範囲が狭くなるので、身に覚えのない動きに気づきやすいんですよね。

見落としやすいのが、ポートフォリオまわりです。たとえば GitHub では、コミットに設定したメールアドレスが履歴に残ります。個人のアドレスを出したくないなら、GitHub が用意している noreply アドレスに切り替えておきましょう。

ログインは、パスワードマネージャーと2段階認証の組み合わせが基本です。特にメールと銀行は優先します。メールはほかのアカウントの復旧にも使われるからです。

今の経験で、どんなフリーランス案件を狙える？

スキル・経験・希望条件から、自分に合う案件の選択肢を確認できます。

案件マッチング診断をする →

💻 クライアントの情報を預かるときの線引き

自分の情報以上に気をつけたいのが、預かる情報です。個人情報保護法は2017年5月に施行された改正以降、扱う人数による除外がなくなりました。個人のフリーランスでも、顧客リストなどの個人情報データベースを仕事で使っていれば、件数が少なくても対象になります。

実務では、契約書やNDA（秘密保持契約）が具体的なルールになります。迷いやすいのは、次のような点です。

• 私物のPCで作業してよいか
• 個人のクラウドストレージにデータを置いてよいか
• 生成AIのツールにコードやデータを貼ってよいか
• 契約終了時に、データをどう返却・削除するか

書かれていないことは「たぶん大丈夫」で進めず、着手前に聞いておきましょう。あとから確認するより、最初に聞くほうがずっと気楽です。

私物PCを使うなら、ディスク暗号化をオンにしておきます。Mac なら FileVault、Windows なら BitLocker です。ブラウザのプロファイルを案件ごとに分けると、アカウントの取り違えも防げます。

🚨 「漏れたかも」と思ったときの順番

焦ると、隠したくなったり、自分だけで直そうとしたりしがちです。でも、早く知らせるほど、被害は小さく抑えられます。

1. 端末をネットから外す、パスワードを変えるなどで広がりを止める
2. クライアントの情報が絡むなら、契約で決まった窓口へすぐ連絡する
3. いつ、何が、どこへ出た可能性があるかをメモに残す

2022年4月施行の改正個人情報保護法では、個人データの一定の漏えい（「漏れたかも」というおそれの段階も含みます）で、個人情報保護委員会への報告と本人への通知が義務になりました。対象は、たとえば次のようなケースです。

• 要配慮個人情報（病歴など）が含まれる
• クレジットカード番号など、財産的な被害につながるおそれがある
• 不正アクセスなど、不正な目的によるおそれがある
• 本人の数が1,000人を超える

委託を受けて作業している場合は、委託元へ速やかに知らせれば、自分で委員会へ報告したり本人へ通知したりする義務が免除される仕組みもあります。だからこそ、最初の連絡が大切です。

自分の免許証をなくしたときは、しばらく郵便物や口座に見覚えのない動きがないかも見ておきましょう。

まずは今日、GitHub のコミットに使っているメールアドレスを確かめてみませんか。数分で終わりますし、ほかの公開範囲を見直すきっかけにもなります。