情報セキュリティマネジメント 2019年 春期 午前（科目A） 問31

取得時の明示と同意【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：JIS Q 15001、取得、書面、明示、同意。
2. 各選択肢が規格のどの定義・要求に当たるかを照合する：
   • 「開示対象個人情報」「保有個人データ」の定義関係か、
   • 規格の章立て（高位構造／HLS）か、
   • 「要配慮個人情報（敏感情報）」の例示か、
   • 「取得時の手続き（明示・同意）」か。
3. 規格の趣旨である「本人の権利保護と管理の仕組み」の観点から妥当性を判断する。
4. 最も直接に規格文の要求を表しているものが正解（エ）。

選択肢別の誤答解説

• ア: 誤り
  「開示対象個人情報は、保有個人データとは別に定義されており、保有期間によらず全ての個人情報が該当する」との記述は不正確です。一般に「保有個人データ」は事業者が保有し、開示請求の対象となるデータ群を指します。保有期間や破棄の有無は保有個人データの該当性に影響し、すべての個人情報が無条件に開示対象になるわけではありません。よってアは不適切です。
• イ: 誤り
  規格文書の章立てについての記述ですが、JIS Q 15001:2017はマネジメントシステム規格に合わせた構成の採用など整備が進められています。つまり「マネジメントシステム規格に共通的に用いられる章立てが採用されていない」と断定するのは誤りです。したがってイは不正確です。
• ウ: 誤り（注意点あり）
  JIS Q 15001は「要配慮個人情報」（取り扱いに特に注意を要する情報、いわゆる敏感情報）を挙げており、その例として「労働組合への加入」などが含まれます。ここで重要なのは用語の正確さです。選択肢の表現は「特定の機微な個人情報」としており、JISで用いられる正式用語は「要配慮個人情報」です。したがって語句の取り違えにより選択肢は厳密には誤りと評価されます。なお、労働組合への加入が例示される点自体は、個人情報保護法やJISの例示と整合します（この点は誤りではありません）。

よくある誤解

• 「書面＝紙だけ」と考える誤解
  書面とは紙だけを指すわけではありません。電子的に記録・提示して追跡できる方法（メール、Webフォームの保存など）も含まれることが多いです。運用では社内ルールでどの方法を「書面」と扱うか定めておきます。
• 「敏感情報＝病歴だけ」と思う誤解
  要配慮個人情報（敏感情報）には病歴のほか、思想信条、民族、犯罪歴、労働組合への加入なども含まれます。収集は原則必要最小限にし、扱いを厳格にしてください。
• 規格の用語をあいまいに扱うことの危険
  JISや法律では用語の微妙な違いが意味を変えます（例：「保有個人データ」と「個人情報」）。試験では語句の正確さが問われます。

補足コラム

• 新入社員の入社書類やアンケートで個人情報を集めるときは、用紙や入力フォームの冒頭に「利用目的」を明記します（例：給与支払、労務管理、福利厚生のため）。
• 敏感な項目（病歴、労働組合加入など）は原則として不要なら取得しない運用にします。どうしても必要な場合は別紙で明示的に同意を取り、アクセス制御や保存期間を短く設定します。
• 同意の記録は、人事システムのログや保管された同意書（電子・紙）で残します。いつ誰がどの目的に同意したかが追跡できることが重要です。

• JIS Q 15001：個人情報保護マネジメントシステムに関する日本工業規格。組織が個人情報を適切に扱うための要求を定める文書です。
• 要配慮個人情報：取り扱いに特に注意が必要な個人情報（敏感情報）。例：人種、思想、病歴、労働組合加入歴など。

FAQ