システム監査技術者 2022年 午前2 問06
問題文
プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。
選択肢
ア：個人情報管理台帳に、概数でしかつかめない個人情報の保有件数は概数だけで記載している。
イ：個人情報管理台帳に、個人情報の名称、内容、利用範囲などの項目に加えて、個人情報の保管場所、保管方法、保管期限を記載している。
ウ：個人情報管理台帳の機密性を守るための保護措置を講じている。
エ：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。（正解）
🔒 解説は解答すると表示されます
個人情報管理台帳の見直し【午前2解説】
正解の理由
個人情報管理台帳は、会社が取り扱う個人情報を適切に管理するための記録です。新たな個人情報を取得した場合だけでなく、既存の個人情報の内容や利用目的、保管場所などに変更があった場合にも、台帳を見直す必要があります。
したがって、新たな個人情報の取得があった場合にしか台帳を見直さないとしているエは、指摘事項として監査報告書に記載すべき状況です。
解法ステップ
- 個人情報管理台帳を最新の状態に保つ必要があるかを考えます。
- 台帳の見直しのきっかけが、新規取得だけに限定されていないか確認します。
- 個人情報の内容や管理方法などに変更があっても見直さないエを、指摘事項として選びます。
選択肢別の誤答解説
- ア：保有件数を正確に把握することが難しい場合に、概数で記載していることだけで、直ちに不適切とはいえません。把握可能な範囲で実態を記録することが重要です。
- イ：個人情報の名称や内容、利用範囲に加えて、保管場所・保管方法・保管期限を記載するのは、管理に役立つ適切な対応です。
- ウ：台帳には個人情報の管理状況が記録されるため、台帳自体の機密性を守る保護措置を講じるのは適切です。
- エ：新規取得時だけでは、既存の個人情報に関する変更が台帳に反映されないおそれがあります。見直しの機会が限定されており、不適切です。
よくある誤解
- 新しい個人情報を取得したときだけ更新すればよい
既存の個人情報についても、利用目的や保管場所などが変われば台帳への反映が必要です。 - 台帳には個人情報の名称や内容だけを記載すればよい
適切な管理のため、保管場所や保管方法、保管期限なども管理対象になります。 - 概数での記載は必ず不適切である
正確な件数の把握が難しい場合、概数であることを明確にしたうえで実態を記録することが考えられます。
補足コラム
個人情報管理台帳は、個人情報の所在や利用状況を把握し、適切な安全管理を行うための基礎資料です。台帳を作成するだけでなく、定期的に確認し、取り扱いに変更が生じた際にも更新する運用が大切です。
FAQ
Q. 台帳は定期的に見直す必要がありますか？
A. はい。新規取得や取り扱いの変更に応じて見直すほか、定期的に内容が最新か確認することも重要です。
A. はい。新規取得や取り扱いの変更に応じて見直すほか、定期的に内容が最新か確認することも重要です。
Q. 台帳の見直しが必要になる変更には、どのようなものがありますか？
A. 例えば、利用目的、保管場所、保管方法、保管期限、取扱部門などの変更が該当します。
A. 例えば、利用目的、保管場所、保管方法、保管期限、取扱部門などの変更が該当します。
Q. 保有件数が正確に分からない場合は、台帳に記載できませんか？
A. 正確な把握が困難でも、実態を確認して概数などで記録する方法があります。記載方法は、組織の管理ルールに沿って明確にします。
A. 正確な把握が困難でも、実態を確認して概数などで記録する方法があります。記載方法は、組織の管理ルールに沿って明確にします。
関連キーワード: 個人情報管理台帳、プライバシーマーク、内部監査、安全管理措置、台帳の更新
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！