情報セキュリティマネジメント 2016年 春期 午前（科目A） 問31

データ内容の原則【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の各選択肢がどのOECD原則に対応する記述かを当てはめる。
2. 「データ内容の原則＝Data Quality（データの品質）」のキーワードは「正確、完全、最新、利用目的に沿う」。これがある選択肢を探す。
3. それ以外の選択肢は「収集の制限」「通知・同意」「公開（オープンネス）」「安全保護（セキュリティ）」など別原則の説明であることを確認する。
   以上で選択肢エが該当することが分かります。

選択肢別の誤答解説

• ア（安全保護の原則 と記載）
  表題が「安全保護の原則（セキュリティ対策）」となっている一方、説明文は「収集には制限を設け、通知・同意を得る」とあり、内容が食い違っています。通知・同意や収集の制限は「収集制限の原則（Collection limitation）」に該当し、セキュリティ（安全保護）の原則は「個人データを不正アクセスや漏えいから守る技術的・組織的措置」を指します。したがって不正解です。
• イ（個人参加の原則）
  「個人参加（Individual participation）」の原則は、本人が自分のデータへのアクセスや訂正を求められることを指します。しかし説明文は「方針を公開する」とあり、これはむしろ「オープンネスの原則（Openness）」──データ取り扱い方針を公開すること──に当たります。従って不正解です。
• ウ（収集制限の原則）
  説明文は「利用目的を前もって特定し、利用は目的に矛盾しない方法で行う」とあり、これは「目的明確の原則（Purpose specification）」と「利用制限の原則（Use limitation）」の要素を含む記述です。収集制限は「収集を必要最小限にし、合法的・公正な手段で行う」ことを言うため、ウも不正解です。
• エ（データ内容の原則）
  「利用目的に沿ったもので、正確・完全・最新に保つべき」という文言は、まさにデータ品質（Data Quality）の定義です。したがって選択肢エが正しい説明です。

よくある誤解

1. 「データ内容の原則＝単に“正確であれば良い”」と考える誤解
   実際には「正確」であることに加え、「利用目的に必要な範囲であるか」「完全で最新か」も含みます。用途に不要な古い情報を残すことも問題です。
2. 「通知・同意＝安全保護（セキュリティ）」と混同する誤解
   通知や同意は収集の正当性（収集制限・目的明確）に関する事項であり、セキュリティはデータを守る手段（暗号化やアクセス制御）です。役割が異なります。
3. 「目的は後から変えても良い」と考える誤解
   利用目的を変更する場合は、変更の正当性を検討し、必要なら本人への通知や同意を取り直すなどの対応が必要です。

補足コラム

• 収集制限（Collection limitation）: 収集は合法的かつ必要最小限に。
• データ内容（Data Quality）: 正確で最新、目的に合致。
• 目的明確（Purpose specification）: 利用目的を明示。
• 利用制限（Use limitation）: 目的以外での利用は制限。
• 安全保護（Security safeguards）: 不正アクセス等から保護。
• オープンネス（Openness）: 取扱方針の公開。
• 個人参加（Individual participation）: 本人のアクセス・訂正権。
• 責任（Accountability）: 管理者が責任を持つこと。

• 顧客の住所や部署名が変わったら、社内の顧客DBや名簿をすぐ更新する運用ルールを作る。
• 定期的にデータ精査（例：半年ごとの確認）を実施し、古いデータは廃棄または更新案内を送る。
• 外部委託先へ委託する際は「データの正確性を保つ手順」を契約に明記し、具体的な更新フローを取り決める。
  こうした運用はISMS（Information Security Management System：情報セキュリティマネジメントシステム）や個人情報保護の規程に組み込むと実行しやすくなります。

FAQ