問題 No.6131
個人情報保護法が個人情報取扱事業者に対して義務付ける安全管理措置に関して、事業者が講ずべき措置の内容として不適切なものはどれか。
【正解の解説】
個人データを特定の従業者に限り取り扱わせる場合であっても、当該従業者に対する定期的な教育や研修の実施は法令上の義務から一律に除外される。
どれだけ信頼できる優秀なエース社員だけでチームを組んで機密情報を扱わせたとしても、「ルールを守る意識」や「うっかりミスを防ぐ注意」は時間が経つと必ず薄れてしまいます。そのため、どんな少人数であっても定期的な教育やアップデートは必ず行わなければならないという法律のルールがあり、ここが不適切な記述として正解になります。
スポンサーリンク
【その他の選択肢の解説】
外国にある第三者へ個人データを提供する場合においては、移転先の国における個人情報保護制度に関する情報の定期的な確認が事業者に求められる。
海外にデータを預けるという行為は、いわば大切な合鍵を他国の友人グループに渡すようなものです。相手国の法律が途中で変わってプライバシー保護が緩くなっていないかを定期的にチェックすることは、事業者として当然求められる安全管理措置の一部であり適切な内容です。
個人データの漏えい等事態が発生したときは、個人の権利利益を害するおそれが大きい場合に該当しない場合であっても速やかな報告が必須となる。
これは個人情報保護法における重大な誤解を狙ったひっかけ問題です。すべての漏えい事故で一律に同じ報告義務があるわけではなく、個人の権利利益を害するおそれが小さい軽微なケースなどでは報告のハードルや段階が変わるため、この選択肢の記述は法律の要件から外れており不適切となります。
保有する個人データの安全管理に関する規程等を策定するにあたっては、組織的および人的ならびに物理的および技術的な対策を網羅する必要がある。
会社でセキュリティ対策を行うときは、社内組織のルール作り、スタッフの教育、オフィスの入退室管理や鍵付き書庫の設置、そしてパソコンへのパスワード設定やアクセス制限といった技術的対策まで、あらゆる角度から隙を作らないように網羅することが義務付けられており、非常に正しい記述です。