問題 No.6228
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が安全管理措置の一環として講ずる「組織的安全管理措置」における個人データの取扱いに係る運用状況の点検に関する記述として、最も妥当なものはどれか。
【正解の解説】
取扱規程等に基づく個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施すること。
学校のテストに例えるなら、自分で自分の答案を採点する「自己点検」だけでなく、先生や友達に厳しくチェックしてもらう「期末テストの外部採点」のような客観的な目の両方が必要なイメージです。自分で自分の不正に気づきにくい盲点を突くため、組織体制として複数のチェック機能を重ね掛けし、安全管理の抜け漏れを徹底的に防ぐことが組織的安全管理措置の本質なのです。
スポンサーリンク
【その他の選択肢の解説】
個人データの取扱規程等への違反行為を発見した場合には、事後的な原因究明だけでなく、速やかに当該部門の責任者が独自で是正措置を完了させること。
これは現場の隠蔽工作を許容してしまうような危険な罠です。会社でトラブルが起きたとき、現場のリーダーが「俺の権限で内々に処理するから黙っていてくれ」と隠してしまったら、会社全体で再発を防ぐことができなくなります。組織的安全管理措置では、問題が起きた際には速やかに上位者や委員会へエスカレーションし、全社的な視点で是正措置を講じることが鉄則となっています。
組織的安全管理措置の実効性を担保するため、運用状況の点検は内部の担当者による自己点検のみに限定し、外部監査の導入は任意とすること。
自分の部屋の掃除を「自分でキレイにしました」と主張するのと同じで、本人だけのチェックでは甘えや見落としが生じやすくなります。組織の安全管理においても、内部の人間だけでは「これくらいはルール違反にならないだろう」という馴れ合いが生まれるリスクがあるため、外部の視点を取り入れて客観的な信頼性を高めることがガイドラインで強く推奨されているのです。
情報漏えい等の重大な事故が発生した場合に限り、個人データの取扱状況に関する臨時の点検を実施し、その結果を速やかに公表すること。
火事が起きてから慌てて消火器の使い方を確認するような後手後手の対応を指しています。個人情報保護法における安全管理措置は、事故が起きてから大騒ぎするものではなく、平時からの定期点検によって「事故の芽」を日常的に摘み取ることが目的です。また、重大事故の公表が目的化している点も、組織的対策の趣旨を履き違えた典型的な出題者の罠と言えます。