令和4年度 秋期 午前Ⅱ 問6

✓ これが正解エ個人情報管理台帳の見直しは，新たな個人情報の取得があった場合にだけ行っている。

解説

台帳の見直しを新たな取得時だけに限る運用は、指摘事項になります。

プライバシーマーク制度が基準とするJIS Q 15001では、事業者は自らが取り扱う個人情報を特定し、それを個人情報管理台帳などで管理することが求められます。そして台帳は、作ったままにせず、定期的に見直して最新の状態に保つことが必要です。個人情報は取得のときだけでなく、利用範囲の変更や廃棄などによっても状態が変わるからです。新たな個人情報を取得した場合にだけ見直すという運用では、それ以外の変化が台帳に反映されないおそれがあり、監査人が指摘事項として報告すべき状況です。台帳の記載の詳しさよりも、最新の状態が保たれる仕組みがあるかに注目すると判断できます。

ほかの選択肢はなぜ違うのか

• ア個人情報管理台帳に，概数でしかつかめない…：保有件数を正確につかめない個人情報について概数で記載することは、台帳の運用として認められる範囲です。件数を正確に数えられない事情があっても、概数を示しておけば規模を把握でき、指摘すべき不備にはなりません。
• イ個人情報管理台帳に，個人情報の名称，内容…：名称、内容、利用範囲に加えて、保管場所や保管方法、保管期限まで台帳に記載するのは、個人情報を適切に管理するための望ましい記載です。項目が多いことは問題ではなく、指摘事項として報告する理由はありません。
• ウ個人情報管理台帳の機密性を守るための保護…：個人情報管理台帳には、どのような個人情報をどこに保有しているかがまとまっているため、機密性を守る保護措置を講じることは適切な対応です。監査で不備として指摘する状況には当たりません。