問題 No.6199
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が安全管理措置として講ずべき「組織的安全管理措置」における責任体制の整備や報告連絡体制の構築に関する記述として、最も妥当なものはどれか。
【正解の解説】
個人データの取扱いに関する責任者を設置し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制をあらかじめ整備しておくこと。
学校の部活でキャプテンを決め、トラブルが起きたらすぐに先生へ報告する仕組みを作るようなものです。組織的安全管理措置では、誰が責任を持ち、異常があった際にどう情報をエスカレーションするかのルールを明確にすることが必須となります。
スポンサーリンク
【その他の選択肢の解説】
個人データの漏えい等事案に対応するため、すべての従業者が直接監督官庁へ速やかに通報できる体制をあらかじめ構築しておくこと。
会社で小さなミスや規程違反の兆候を見つけた際、いきなり外部の警察や監督官庁に駆け込むのではなく、まずは社内の責任者や窓口に報告するルートを作るのが組織的措置の基本です。外部への報告は社内対応の後のステップとなります。
個人データの安全管理に関する全社的な方針を策定し、その運用状況を定期的に自己点検するための責任者を組織全体に配置すること。
方針の策定や自己点検は大切ですが、問題文が問うているのは「責任体制の整備や報告連絡体制の構築」というピンポイントな内容です。用語の定義がごちゃ混ぜになるよう出題者が仕掛けた典型的な罠です。
個人データの取扱いに係る規程の違反を防止するため、従業者に対する定期的な研修の実施状況を記録し適切に保存すること。
研修の実施や記録保存は従業者の教育・訓練にあたる措置であり、責任者の設置や報告連絡体制の構築という今回の問いの核心からは外れます。安全管理措置の4つの柱（組織的・人的・物理的・技術的）の分類を問う引っかけです。