ITパスポートの過去問
平成28年度 秋期
ストラテジ系 問33

出題文で求められているのは、「個人情報取扱事業者の義務」です。


これは法律に明記されている内容を把握している必要がある問題です。
その場で考えて答えを導き出すことはできませんので、正確に思い出せない場合には、別の問題を解くことに時間を使う判断が必要となるかもしれません。


法律と照らし合わせながら、それぞれの選択肢について解説します。

1.の「個人情報の安全管理が図られるよう、業務委託先を監督する。」ことは、個人情報保護法に明記されており、そのため、正解と言えます。

しかしながら、言葉の使われ方から消去法により正解を推測できる可能性について触れておきたいと思います。


2.の「個人情報の安全管理を図るため、行政によるシステム監査を受ける。」ことは、個人情報保護法には記載されていません。

言葉の使われ方から消去法を用いる場合には、『監査』という言葉がヒントになります。
『監査』とは、組織内で行う調査行為を示す言葉です。
多くの事業集団にとって、行政は組織外の団体と言えますので、この選択肢が示す文脈の流れが適切であるためには、『審査』という言葉遣いが相当と考えられます。

従って、文脈の言葉遣いが不適当であることから間違いと判断できる可能性があります。


3.の「個人情報の利用に関して、監督官庁に届出を行う。」ことは、個人情報保護法には記載されていません。

言葉の使われ方から消去法を用いる場合には、『届出』という言葉がヒントになります。
『届出』とは、事前通知義務を課す制度を意味する言葉です。
文面通りに理解すると、「個人情報を利用する前に、監督官庁に事前に通知する義務を課す」という意味になります。

個人情報の提供主である個人に対して、利用する前に事前に通知するのであれば、制度としての有用性を感じられるかもしれませんが、「監督官庁に事前に通知する義務を課す」ことで、適切な個人情報の利用が守られるとは思えません。

そもそも、『届出』は、単に届け出た内容を通知する行政行為です。

通知された内容が適切であるのか否かを判断し、許可、不許可の返答を返す行政手続きは『申請』と呼ばれています。

これらの点を踏まえると、この選択肢が示す文脈の流れが適切であるためには、『申請』という言葉遣いが相当と考えられます。

従って、消去法により、間違いと判断できます。


4.の「プライバシーマークを取得する。」とは、JISQ15001規格の認証を得ていることを示すプライバシーマークを示しています。

個人情報保護法では、プライバシーマークの取得を義務付けてはいません。

そのため、この選択肢は間違いであると言えます。

残念ながら、この選択肢については、言葉の使われ方から消去法により正解を推測できる可能性は低いです。


プライバシーマークの取得が個人情報保護法で義務付けられていない理由はいくつか考えられますが、大きな理由の一つとして、維持費を負担する必要が生じるためだと考えられます。

プライバシーマークを掲示し続けるには、社外の認証機関からの『審査』に適合する状態を維持する必要があり、その審査費用をプライバシーマークを掲示する団体が負担しなければなりません。

費用の負担が発生することを知識として得ていると、この設問が適切であるためには、個人情報を利用するために、個人情報保護法が事業者に対して費用の負担を求めていることになってしまうため、この選択肢が間違えである可能性に気付けるかもしれません。


いずれの場合であっても、この設問で正解するためには、個人情報保護法について、できるだけ正確に憶えていることが求められます。

正解は１です。

個人情報保護法では、個人情報取扱事業者に対し、様々な義務があります。

その中の１つに…

・個人データを安全に管理し、従業員や委託先も監督しなければならない。

というものがあります。

よって、正解は１になります。

個人情報保護法では、個人情報を扱う事業者に対して、大きく５つの義務が課せられています。

・利用目的を本人に明確にすること (15条)
・利用目的の範囲内で利用すること (16条)
・個人情報の流失や盗難、紛失を防ぐこと(19条,22条)
・第三者に提供する前に、本人の同意を得ること(23条)
・本人からの申し出に応じて公表・開示すること(27~34条)

このうち、３番目の「漏洩防止」の中に、個人データの取扱い委託先の監督が含まれます。
よって、【正解】は1.
たとえ自分の手を離れていたとしても、法律の適用化にあります。

3.に関して、個人情報保護法の対象となる取扱事業者は、規模の大小、営利非営利を問わないため、実質すべての事業者が対象になり、届出等は不要です。
（ただし、国の行政機関や地方公共団体等は別の一般法の規定が適用されるため、個人情報保護法は規制対象外です。）

4.
プライバシーマークは、JIS Q15001個人情報マネジメントシステムに適合した、個人情報について適切な保護措置を講ずる体制を整備している事業者等に使用が認められるマークです。
プライバシーマークの取得は義務ではありません。

個人情報保護法では、個人情報を保持する事業者が遵守すべき事項を定めています。
また、この事業者を個人情報取扱事業者といいます。

個人情報保護法で定めているのは、個人情報の取り扱い方法です。
必要な範囲で利用する、本人に利用目的を提示する、不要になったら破棄をする、従業員や委託先を監督する、といったことを定めています。

よって、正解は１です。

行政の監督を受けたり、プライバシーマークを取得するといった第三者の承認が必要な点は定められていません。