ISO27001やPマークの取得コンサルティングや情報セキュリティ対策 - SRM

PマークやISO27001取得に関するお問合せは無料相談　平日10:00から12:00／13:00から18:00　0120-796-140

ここが知りたい

Q&A

過去に当社がお客様よりいただいたご質問を随時掲載いたします。今回は個人情報保護法についてのご質問です。

Q1.個人情報取扱事業者」とはどんな企業を意味するのでしょうか？

過去6ヶ月以内において、5000件を超える個人情報を検索可能な状態で保有が該当される場合

Q2.本人に「利用目的」の通知や公表を求めていますが、利用目的の通知はどのようにしたらいいのでしょうか？

個人情報を取得した場合は、速やかにその利用目的を本人に通知または公表しなければなりません。「個人情報を取得した場合」となっているので、事後の通知または公表でもいいことになります。通知の具体的な方法として、特に手段を定めておりません。したがって書面への記載、Webに掲載、電子メールでの通知といった方法が考えられます。

Q3.利用目的はどこまで具体的に書く必要がありますか？

個人情報保護法では「事業者は個人情報を取扱うにあたっては、その利用の目的（以下、「利用目的」という）をできる限り特定しなければならない。」（個人情報保護法第15条）と定めています。「できる限り特定」とありますので抽象的でなくある程度具体的に記載しておくことが必要です。

Q4.利用目的について書面による同意をとる必要があるのでしょうか？

個人情報保護法では、本人の承諾の意思表示までは要求していないので、利用目的を記載した文章を書面に記載しておくか、Webサイトをお持ちであればで利用目的を掲示しておけば良いでしょう。

Q5.個人情報を自社以外の第三者に提供する場合にどんなことに注意したらいいでしょうか？

個人情報を取得する際に、利用目的を通知するとともに第三者に個人情報を提供する旨事前に同意をとっておく必要があります。

Q6.個人情報を自社以外の第三者に提供する場合どのように同意をとればいいのでしょうか？

第三者に個人情報を提供する旨文章を書面に記載しておくか、Webサイトをお持ちであれば利用目的を掲示しておけば良いでしょう。

Q7.グループ会社や提携先との個人情報の共有は可能でしょうか？

本人の同意を取る必要があります。逆に同意が無い場合は共有はしてはいけません。

Q8.業務委託のために提供する場合、本人の同意は必要でしょうか？

個人情報保護法では、業務委託のために個人情報を提供する場合には、本人の同意は入りませんが、委託先の監督義務を負います。委託先で個人情報が漏洩すると、委託元も責任を負うことになりますので、委託先との間で、秘密保持義務等を含む委託契約を締結することをおすすめします。

Q9.DM送付後、本人から個人情報の開示を求められました。どのようにしたらよいのでしょうか？

個人情報保護法では、本人からの求めに応じ情報を開示しなければならないとなっております。したがって個人の特定を確実に行いながら開示を行ってください。また、その情報が間違いがあった場合（住所が変わっている等）、その訂正も行わなくてはいけません。

Q10.本人から個人情報の削除を求められました。どのようにしたらよいのでしょうか？

個人情報保護法では、本人からの求めに応じ情報を削除しなければならないとなっております。したがって個人情報を社内のデータベース上から削除する必要があります。ただしその本人との間で売買の取引があったならば、これは履歴の観点で残す必要がありますので、その旨を説明し同意をとっておく必要があります。

Q11.個人情報の取扱に関する社内体制を整備したいのですが、どのようにすればよいのでしょうか？

まずは個人情報保護法に沿った形で実施することが必要と思います。ただし法律への対応と体制の整備の2つを同時に達成しなくてはいけませんので独学で行うことは困難かとも思います。第三者機関の規格に沿った、個人情報の取扱に関する社内体制やセキュリティシステムを整備した方が進めやすいかと思います。

Q12.第三者による認証制度とはどんなものか教えてください。

プライバシーマーク制度とISMS適合性評価制度があります。プライバシーマーク制度は、財団法人日本情報処理開発協会が1998年に創設し、全社的な取組みが基本で、電子化もしくは電子化を目的とした書面による個人情報が保護の対象となります。 JIS Q 15001に適合したマネジメントシステムを構築している企業に認証マークを与えています。 ISMS適合性評価制度は、財団法人日本情報処理開発協会にて2004年より本格運用されています。これは、組織が構築した情報セキュリティマネジメントシステムが認証基準に適合しているか審査し登録する制度で、技術的なセキュリティ対策と組織全体のマネジメントの両面から審査されます。

ページトップへ