ITパスポート 2016年 秋期 問33

個人情報取扱事業者の義務はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題の主語を確認する：「個人情報取扱事業者の義務」＝個人情報保護法に定められた事業者側の義務を問う問題。
2. 個人情報保護法の基本を思い出す：事業者は「安全管理措置（個人情報を守るための対策）」を講じる必要がある。
   • 初出用語説明：安全管理措置（個人情報を安全に扱うための具体的な対策。アクセス制限や暗号化、委託先監督など）
3. 各選択肢と法の要求を照らし合わせる：
   • 業務委託した先の監督は安全管理の一部 → 当てはまる（正解）。
   • 行政によるシステム監査の受入れ、届出、認証取得は一般義務ではない → 不正解。
4. 最も法律で明確に義務付けられているものを選ぶ（業務委託先の監督）。

選択肢別の誤答解説

• ア：正しい。個人情報取扱事業者は、自社で管理していない部分（外部委託先）も含めて、個人情報が適切に扱われるよう監督・管理する義務がある。委託契約や監査、記録の確認などが具体的対策にあたる。
• イ：誤り。個人情報保護法は事業者に「行政が行うシステム監査を受ける」ことを一般的に義務付けてはいません。監督機関（個人情報保護委員会など）による調査や命令はあり得ますが、日常的に行政監査を受けることが法律上の義務ではありません。自社での点検や外部監査の実施は事業者の責務であり、必須だが「行政監査受入れ」とは内容が異なります。
• ウ：誤り。個人情報の「利用」に関して常時監督官庁に届出を行う義務は原則ありません。特定の業種や特別なデータ（例：医療・マイナンバーなど）では別の規定や届出が必要な場合がありますが、一般的な個人情報の利用で届出が必要という規定はないため、この選択肢は不適切です。
• エ：誤り。プライバシーマークは、一般財団法人日本情報経済社会推進協会（JIPDEC）が運用する第三者認証制度で、個人情報保護の体制が一定水準にあることを示す認証です。取得は事業者の任意（ボランタリー）であり、法律で義務づけられているものではありません。

よくある誤解

1. 「プライバシーマークを持っていない会社は違法」
   → 誤り。プライバシーマークは任意の認証です。持っていないこと自体が法律違反にはなりません。ただし、保護対策は法律で求められます。
2. 「行政が毎年システム監査するから受けなければならない」
   → 誤り。行政の監査は恒常的に行われるものではなく、通常は事業者自身による安全管理（内部管理や契約上の監督）が求められます。
3. 「個人情報を外部に委託したら責任は委託先に全部移る」
   → 誤り。委託しても、個人情報取扱事業者（委託元）が最終的な責任を負います。だから監督が必要です。

補足コラム

• 委託契約で守るべき事項を明記する（目的外利用禁止、再委託の制限、事故発生時の対応など）。
• 委託先に対する監査・点検を定期的に行う。
• アクセス権の最小化やログ管理、暗号化など技術的対策の実施確認。
• 委託先に情報管理の研修を実施させる、あるいは受託者の体制確認（組織図や担当者）を行う。
  これらは法で求められる「安全管理のための措置」を具体化した行動です。

FAQ