令和4年度 秋期 システム監査技術者試験 午前II 問6
マネジメントシステム監査法務・標準対象別の監査着眼点・指摘事項個人情報保護・プライバシー
プライバシーマークを取得しているA社は，個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
解答・解説
正解: エ. 個人情報管理台帳の見直しは，新たな個人情報の取得があった場合にだけ行っている。
内部監査において指摘事項となるのは、JIS Q 15001などの規格や社内規程に違反している不適切な運用です。個人情報管理台帳は、組織が保有する個人情報を把握・管理するための重要な台帳であり、新たな個人情報を取得した際だけでなく、少なくとも年1回など定期的に見直しを行い、最新の状態に保つ必要があります。
各選択肢の解説
- ア: 誤り。個人情報管理台帳の保有件数について、正確な件数の把握が困難な場合は概数で記載することが認められています。適切な運用であり、指摘事項にはなりません。
- イ: 誤り。個人情報の名称や内容だけでなく、保管場所、保管方法、保管期限を記載することは、個人情報をより適切に管理するための望ましい運用です。適切な運用であり、指摘事項にはなりません。
- ウ: 誤り。個人情報管理台帳そのものに機密情報が含まれる場合があるため、機密性を守るための保護措置を講じることは適切なセキュリティ対策です。適切な運用であり、指摘事項にはなりません。
- エ: 正解。個人情報管理台帳は、新たな取得時だけでなく、廃棄された場合や内容に変更があった場合、あるいは定期的な見直しによって最新化されるべきです。「新たな個人情報の取得があった場合にだけ」見直す運用は不適切であり、監査において指摘事項として監査報告書に記載すべき内容となります。