問題 No.6192
個人情報保護法が個人情報取扱事業者に対して求める安全管理措置に関する次の記述のうち、不適切なものはどれか。
【正解の解説】
個人データの取扱いを外部の事業者に委託する場合、委託先が十分な安全管理措置を講じていることを確認して契約を締結すれば、委託契約締結後の委託先に対する継続的な点検や監査の実施は一切不要となる。
これは家をリフォーム業者に丸投げするようなものです。契約時にいくら「腕の良い職人です」と聞いていても、工事中に手抜きをしていないか一度も見に行かないのは、施主の責任放棄になりますよね。個人情報の委託でも同様で、契約を結んで終わりではなく、委託先がしっかりルールを守って作業しているか定期的にチェックし続ける義務が法律上求められます。
スポンサーリンク
【その他の選択肢の解説】
保有する個人データの内容が正確かつ最新であるよう保つとともに、利用する必要がなくなったときは遅滞なく消去するよう努めなければならない。
試験では「消去は事業者の自由である」といった引っかけが出やすいですが、不要になったデータをいつまでも放置することは漏えいリスクを高めるため、法律で厳しく制限されています。古くて使わなくなった名簿をそのままにせず、シュレッダーにかけるのと同じように、不要になったら速やかに消去する努力が事業者に求められています。
個人データの漏えい等の事態が発生し、個人の権利利益を害するおそれがある場合には、本人の通知および個人情報保護委員会への報告を行う必要がある。
初学者は「少しの漏えいなら隠してもバレないのでは」と考えがちですが、個人情報保護法では重大な事故が起きた際、隠蔽を防ぐために本人への通知と国（個人情報保護委員会）への報告が義務付けられています。このルールを見落とすと、企業の信頼失墜だけでなく法令違反による罰則も科されるため、非常に重要なポイントです。
従業者に個人データを取り扱わせるにあたっては、組織的な安全管理措置の一環として、定期的な研修の実施や秘密保持に関する事項の周知徹底を図る必要がある。
セキュリティの穴はシステムだけでなく「人のうっかりミス」から最も多く発生します。そのため、どれだけ高価なセキュリティソフトを入れても、中の人間がフィッシング詐欺に引っかかっては意味がありません。定期的な研修やルールの再確認を行い、従業員のセキュリティ意識を高めることは組織として絶対に欠かせない必須の対策です。