情報セキュリティマネジメント 平成31年度 春期 午前 問31

✓ これが正解エ 本人から書面に記載された個人情報を直接取得する場合には，利用目的などをあらかじめ書面によって本人に明示し，同意を得なければならないと定められている。

解説

書面で直接取得する際は利用目的を書面で明示し同意を得ます。

設問が引くJIS Q 15001:2017は、個人情報保護マネジメントシステムの要求事項を定めた規格です。本人から書面に記載された個人情報を直接取得する場合には、利用目的などをあらかじめ書面によって本人に明示し、同意を得ることが求められます。自分の情報が何に使われるのかを、本人が渡す前に知って判断できるようにするためです。なお、この2017年版は個人情報保護法との整合を図った版であり、規格の構成も、マネジメントシステム規格に共通の章立てを取り入れたものに改められています。

ほかの選択肢の解説

• ア 開示対象個人情報は，保有個人データとは別に定義されており，保有期間によらず全ての個人情報が該当すると定められている。：2017年版は、2006年版が使っていた開示対象個人情報という区分を、保有個人データに置き換えています。保有個人データとは別に定義されているという前半からしてこの版の説明になっておらず、保有期間によらず全ての個人情報が該当するという後半も、この版の定め方ではありません。
• イ 規格文書の構成は，JIS Q 27001:2014と異なり，マネジメントシステム規格に共通的に用いられる章立てが採用されていない。：2017年版への改正で、マネジメントシステム規格に共通に用いられる章立てが取り入れられました。採用されていないという記述は、この版の構成の説明として合いません。
• ウ 特定の機微な個人情報が定義されており，労働組合への加盟といった情報が例として挙げられている。：特定の機微な個人情報は、2006年版が置いていた区分の名称です。2017年版はこれを要配慮個人情報という区分に置き換えており、その中身は個人情報保護法の定義によります。法が挙げるのは人種、信条、社会的身分、病歴、犯罪の経歴などで、労働組合への加盟は入っていません。2017年版を説明した記述として、これは当てはまりません。