システム監査技術者 2025年 午前2 問14

プライバシー影響評価（PIA）【午前2解説】

正解の理由

解法ステップ

1. 問題文の「潜在的なプライバシー影響」に注目します。
2. 「特定、分析、評価、協議、伝達、対応の計画」という一連のプロセスを読み取ります。
3. このプロセスを指す用語がPIAだと判断します。
4. 選択肢の中からPIAを表す ウ を選びます。

選択肢別の誤答解説

• ア：eKYC
  Electronic Know Your Customerの略で、オンライン上で本人確認を行う仕組みです。プライバシー影響を評価するプロセスそのものではありません。
• イ：GDPR
  EUの一般データ保護規則です。個人データの保護に関する法規制であり、問題文にある評価プロセスの名称ではありません。
• ウ：PIA
  プライバシー影響評価です。個人識別可能情報の処理に伴うプライバシー影響を評価し、対応を計画するプロセスなので、問題文の定義に合致します。
• エ：PII
  Personally Identifiable Informationの略で、個人を識別できる情報を指します。評価の対象となる情報であり、評価プロセスではありません。

よくある誤解

• PIAとPIIを取り違える
  PIAは「影響を評価するプロセス」、PIIは「個人を識別できる情報」です。略語が似ていますが、意味は異なります。
• GDPRを評価手法の名称だと思う
  GDPRは法規制です。PIAはプライバシー影響を把握・評価するためのプロセスです。
• PIAを個人情報の漏えい後に行うものだと思う
  PIAは、個人情報の処理による影響をあらかじめ検討し、リスクへの対応を計画するためにも用いられます。

補足コラム

FAQ