プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• ア個人情報管理台帳に、概数でしかつかめない個人情報の保有件数は概数だけで記載している。
• イ個人情報管理台帳に、個人情報の名称、内容、利用範囲などの項目に加えて、個人情報の保管場所、保管方法、保管期限を記載している。
• ウ個人情報管理台帳の機密性を守るための保護措置を講じている。
• エ個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

正解と解説

正解：エ 個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

個人情報管理台帳は、保有する個人情報の現況を正確に反映していなければ、リスク分析にも安全管理措置の検討にも使えない。新規取得のときだけ見直す運用では、利用目的の変更、保管場所や委託先の変更、保管期限到来による廃棄などが反映されず、台帳が実態と乖離する。少なくとも定期的な見直しと、変更が生じた都度の更新が必要であり、指摘事項に当たる。

選択肢ごとの解説

• ア件数を正確に把握できない場合に概数で記載すること自体は許容される。
• イ保管場所・保管方法・保管期限まで記載しているのは適切な運用である。
• ウ台帳自体の機密性を守る保護措置を講じているのは望ましい対応である。
• エ正しい。新規取得時にしか見直さない運用では台帳が実態と乖離するため、指摘対象となる。

同じ分野の他の問題

• JIS X 9251:2021（プライバシー影響評価のためのガイドライン）において、個人識別可能情報の処理に関する潜在的…2025年度 秋期 午前II 問14
• JIS X 9251:2021において、個人識別可能情報の処理に関する潜在的なプライバシー影響の、特定、分析、評価、協議…2022年度 秋期 午前II 問14
• JIS Q 27002:2024（情報セキュリティ管理策）におけるサイバーセキュリティ概念を構成する五つの属性値はどれか…2025年度 秋期 午前II 問18
• JIS Q 27002:2024（情報セキュリティ管理策）では、運用システムに対する監査活動の影響を最小限にするための管…2025年度 秋期 午前II 問6
• “サイバー情報共有イニシアティブ（J-CSIP）”の説明はどれか。2023年度 秋期 午前II 問18