PMSシステム構築ステップ

JIPDECの発行する『JISQ15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン』を参考にして、PMSシステム構築のステップの要点をまとめると以下のようになる。

ステップ1:個人情報保護方針を定め文書化する

社長は、個人情報の収集、利用、提供等に関する保護方針を定める。
個人情報保護方針に定めなければならないことは、
  1. 何のために個人情報保護活動を行うのか
  2. 個人情報保護のためにどのようなことをするのか
  3. 個人情報の取得、利用及び提供に関すること(目的外利用を行わないこと及びそのための措置を講じることを含む)
  4. 個人情報に関する法令、国が定める指針その他の規範の順守に関すること。
  5. 個人情報の漏えい、滅失又は毀損の防止及び是正に関すること
  6. 苦情及び相談への対応に関すること
  7. 個人情報保護マネジメントシステムの継続的改善に関すること
  8. 代表者の氏名
 なお、社長は、この方針を文書化し、内外に公表する必要がある。社内にも周知徹底するとともに、一般公開はホームページに掲載したり、リーフレット等に印刷する等の措置を講じる必要がある。

ステップ2: PMS策定のための組織を作る

社長は、組織の役員及び従業者等で構成するプロジェクトチーム(以下、「PMS委員会」という。)を組織し、個人情報保護方針に基づいて個人情報取扱いのマネジメントシ
ステム構築を行なう。また、社長は、各部門に対して、 PMS委員会への協力を指示する。


ステップ3: PMS策定の作業計画をたてる

 PMS委員会は、今後の作業スケジュールをたて、関係者に通知するとともに、協力を要請する。作業スケジュールは、以下のステップを考慮して立案する。


ステップ4:個人情報保護方針を組織内に周知する

PMS委員会は、社長が定めた個人情報保護方針について、組織の全ての従業者に周知する。
周知に当たっては、個人情報を保護することの重要性、利点及び個人情報が漏えい等した場合に予想される結果等を説明し、理解させることも必要である。


ステップ5:個人情報を特定する

PMS委員会は、関係者の協力を得て自社内で取扱っている個人情報を特定する。この作業の意味は、このマネジメントシステムにおいて保護の対象となるものを明確にすることである。
特定にあたっては、当該個人情報の利用目的、入手経路、社内での取扱経路(取扱部署)、保管(一時保管も含む)場所、保管形態(電子媒体、紙等)、保管期間、廃棄方法等について台帳などにまとめることが一般的である。
PMSはリスクマネジメントシステムの一種である。まず、リスクマネジメントの対象となるものを洗出し、明確にすることがシステム構築の出発点となる。


ステップ6:法令、国が定める指針その他の規範を特定する

事業者は、自身の個人情報の取扱いに関する法令、国が定める指針その他の関連規範の有無について確認する。
事業者の個人情報の取扱いは、当該事業に関連する法令や国が定める指針等に規定がある場合には、 JISQ15001(以下、「JIS」という。)に優先して適用されなければならない。なお、その他の規範として考えられる、いわゆる業界ガイドライン等に関しては、これも JISと併せて順守する必要があるが、JISの要求事項のレベルよりも下回っている場合には、JISが優先される。


ステップ7:個人情報のリスクを認識し、分析し対策を検討する

PMS委員会は、ステップ5により特定した個人情報について、その個人情報が自社に入ってから出て行くまで(いわゆる個人情報のライフサイクル)を明らかにし、そのライフサイクルの各局面(取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄)ごとに、想定されるリスクを全て洗い出す。想定されるリスクには、個人情報への不正なアクセス、個人情報の紛失、破壊、改ざん及び漏えいなどだけでなく、ステップ6で明らかになった個人情報の取扱いに関する法令、国が定める指針及びその他の規範に対する違反や、想定される経済的な不利益及び社会的な信用の失墜、本人への影響などが含まれる。~
ライフサイクルが同じものはパターン化してまとめれば良い。~
なお、社内にある個人情報をいかに守るか、という観点からのみのリスクの認識、分析及び対策では足りないことに注意する必要がある。個人情報は、たとえば、取得や利用の局面において本人の同意が得られていないというリスクがあるが、これは情報資産の保護という観点からのみでは認識できないリスクである。このように、個人情報の保護においては、「守る」だけでなく適切な取扱いも求められる点に注意する必要がある。
~
洗い出して認識したリスクについては分析し、評価に応じた合理的な対策を検討することになる。なお、「合理的」という言葉の解釈が非常に曖昧なために、事業者においてどの程度のリスク対策が「合理的」と判断できるかという問題がある。~
「合理的な リスク対策」とは、個人情報の取扱いに関するリスクが明確に認識されており、そのリスクに対するさまざまな予防措置を検討して、その中で当該事業者が取り得る最良の措置を講じることである。~
したがって、Pマーク制度においても、合理的なリスク対策について、各事業者に共通な一律の基準を特に示していない。事業者の規模や事業内容に応じ、経済的に実行可能な範囲の対策を検討すれば良い。~
「機械的なシステムを導入したいが、資金的な余裕がないから当面は人的な運用でカバーする」ということも、それは事業者の事情によるわけであるから、当然あり得る選択である。~
~
“事業者が取り得る”とするのは、検討したさまざまな対策の中から、費用、構築の容易さ、運用の容易さ、効果等の観点から総合的に検討して事業者自身が最適と判断した対策が実効性等の面からも効果的と考えられるからである。~
また、1つのリスクへの対策は、幾つかの対策を組合せることによって対応できるものが多いことから、技術的対策、物理的対策、人的管理的対策から多方面の検討が必要である。このような過程を経て作り上げたリスク対策は、十分に合理的である。~
~
 なお、リスクへの対策を講じたとしても全てのリスクが無くなる訳ではない。現状で可能な限りの対策を講じた上で、未対応部分については残存リスクとして把握し、管理する必要がある。残存リスクは認識していることが重要である。~
それから、『ライフサイクルのどの局面でどのようなリスクを認識し、どのような対策を講じたのか』という関連付けを明確にしておく必要がある。~
リスクは常に変動するものであり、定期的かつ必要に応じた随時の見直しが必要であるが、この関連付けが明確でなければ、メンテナンスができなくなるからである。
このステップ7が確実に実施されていれば、講じることとした対策をまとめる。規格で求めている内部規程などを作成する。~
このステップ5~7は、リスクマネジメントシステムとしてのPMSの根幹である。ここが適正に実施されれば半分以上は構築されたようなものである。逆にここが不十分だと、後が適正に実施されても何にもならない。


なお、ステップ8~13の詳細はこちらへ→PMSシステム構築ステップ2

  • 最終更新:2008-11-10 15:42:59

このWIKIを編集するにはパスワード入力が必要です

認証パスワード