システム監査技術者 2022年午前2 問14

問題文

JIS X 9251:2021において、個人識別可能情報の処理に関する潜在的なプライバシー影響の、特定、分析、評価、協議、伝達及び対応の計画を立てるための全体的なプロセスと定義されているものはどれか。

🖊️ 解答を隠して解いてみる

ア：eKYC

イ：GDPR

ウ：PIA（正解）

エ：PII

🔒 解説は解答すると表示されます

個人識別可能情報（PII）を処理することで生じる、潜在的なプライバシーへの影響を特定・分析・評価し、関係者との協議や情報伝達を行い、対応を計画する一連のプロセスを、プライバシー影響評価（PIA）といいます。

この定義に当てはまるのはウです。PIAは、プライバシー上のリスクを事前に把握し、適切な対策につなげるための取り組みです。

PIAとPIIを混同する
PIAは評価のプロセス、PIIは評価対象となる情報です。末尾の「A」はAssessment（評価）と覚えると区別しやすくなります。
PIAを評価だけの作業だと思う
PIAには評価だけでなく、関係者との協議、結果の伝達、対応の計画も含まれます。
GDPRをプライバシー影響評価の別名だと思う
GDPRは法規制、PIAは影響を調べて対応を計画するプロセスです。役割が異なります。

PIAは、個人情報を扱うシステムやサービスの企画・設計段階で実施すると、プライバシー上の問題を早期に見つけやすくなります。問題が運用開始後に判明するのを防ぎ、リスクを減らす対策を事前に検討することが重要です。

PIAは、個人情報を扱うたびに必ず実施するものですか？
実施の要否や方法は、情報の種類や処理の内容、想定される影響などを踏まえて判断します。プライバシーへの影響が大きい処理では、特に重要な検討になります。

PIAの対象は、個人を直接特定できる情報だけですか？
個人を識別できる情報が対象です。単独では特定できない情報でも、他の情報と組み合わせて個人を識別できる場合などは、対象となる可能性があります。

関連キーワード: PIA、PII、プライバシー影響評価、個人識別可能情報、プライバシーリスク

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！