令和2年度 10月 午前Ⅱ 問25

✓ これが正解エ個人情報管理台帳の見直しは，新たな個人情報の取得があった場合にだけ行っている。

解説

台帳の見直しが新規取得時だけでは、定期的な見直しが欠けています。

個人情報管理台帳は、組織がどんな個人情報を、どこに、どれだけ持っているかを把握するためのものです。個人情報の状況は、新たに取得するときだけでなく、利用の目的が変わったり、保管場所を移したり、廃棄したりするたびに変わります。プライバシーマークの基準では、台帳を定期的に見直して最新の状態に保つことが求められます。見直しを新たな取得があったときにだけ行っていると、それ以外の変化が台帳に反映されず、実態と台帳がずれていきます。監査人は、この運用の不備を指摘事項として監査報告書に記載すべきです。ほかの三つは、台帳の扱いとして適切にできている状況です。

ほかの選択肢はなぜ違うのか

• ア個人情報管理台帳に，概数でしかつかめない…：保有件数を正確につかめない個人情報について、概数で台帳に記載するのは認められる扱いです。把握できる範囲で実態を示しており、管理に不備があるとはいえないので、指摘事項には当たりません。
• イ個人情報管理台帳に，ほかの項目に加えて，…：保管場所、保管方法、保管期限をほかの項目とあわせて台帳に記載するのは、個人情報を適切に管理するための望ましい記載です。台帳として必要な情報を備えており、指摘すべき状況ではありません。
• ウ個人情報管理台帳の機密性を守るための保護…：個人情報管理台帳には、どこにどんな個人情報があるかがまとまっているため、台帳そのものも守るべき重要な情報です。機密性を守る保護措置を講じているのは適切で、指摘事項には当たりません。