ITパスポート 平成28年度 秋期 特別措置試験 問33

✓ これが正解ア 個人情報の安全管理が図られるよう，業務委託先を監督する。

解説

委託しても責任は残るため、委託先を監督する義務があります。

この問いで見るのは、法律が義務として求めているかどうかの一点だけです。やったほうがよいこと、実際に多くの会社がやっていることは、義務とは別に置きます。個人情報取扱事業者には、預かった情報が安全に扱われるようにする責任があります。その扱いを外部へ任せた場合でも責任そのものは手元に残るので、任せた先を見ておくことが求められます。一方、行政の監査を受けることや、役所へ届け出ること、民間の認定を取ることは、義務として課されているものではありません。とくに認定は取得する会社が多いのですが、取っていないから違法になるわけではなく、現実にどれだけ行われているかは義務であることの根拠になりません。望ましいことと、義務であることを分けて読みます。

ほかの選択肢の解説

• イ 個人情報の安全管理を図るため，行政によるシステム監査を受ける。：行政による監査を受けるという話です。個人情報保護法がそれを一律に課しているわけではありません。受けてはならないという話でもなく、義務ではないということです。
• ウ 個人情報の利用に関して，監督官庁に届出を行う。：役所へ届け出るという話です。個人情報を扱うこと自体に届出を求める仕組みにはなっておらず、届出制と登録制を混同するとここを選んでしまいます。
• エ プライバシーマークを取得する。：民間の認定を取るという話です。取得している会社が多いので選ばれやすいのですが、任意の認定で、取っていなくても違法にはなりません。実際の多さは義務の根拠になりません。