問題 No.6354
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち「組織的安全管理措置」の具体例として、個人データの取扱いに係る規程等の整備に関する記述として最も妥当なものはどれか。
【正解の解説】
取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定すること。
会社で例えるなら「社内マニュアルや校則の制定」です。誰が・どのように個人データを扱い、どの段階で責任を持つのかというルールを組織全体で明確に文書化しておくことで、バラバラな運用を防ぎ、組織的な管理体制の土台を作ることができます。
スポンサーリンク
【その他の選択肢の解説】
個人データの漏えい等の事案が発生した場合における、報告及び対応体制の整備に関する方針をあらかじめ定めておくこと。
試験では組織的・人的・物理的・技術的の4つの安全管理措置がごちゃ混ぜに出題されます。これは非常時の備えに関するものですが、規程の整備自体は組織的安全管理措置に含まれるため、各措置の分類基準を正確に押さえておく必要があります。
個人データの取扱いに関する留意事項について、従業者に対する定期的な研修や教育の機会を継続的に実施すること。
学校の道徳の授業や企業のコンプライアンス研修のように「人」の意識を高めるアプローチは人的安全管理措置です。ルールを「作る」組織的措置と、「教え込む」人的措置の混同を狙った典型的なひっかけ問題です。
個人データを取り扱う区域の管理を行い、従業者及び権限を有しない者によるデータの閲覧等を防止する措置を講ずること。
サーバー室への入退室管理や鍵付きキャビネットの設置など「モノや場所」を守るアプローチは物理的安全管理措置です。ルールブックという形なきものを定める組織的措置とは異なり、目に見える空間を守る対策であることを区別しましょう。