プリプレス･センターは、プライバシーマーク取得を取得しました。

ちょっと取得に時間を要してしまいましたが。
これからもコンプライアンスをしっかりと遵守し努力したいと思いますので今後とも宜しくお願いします。

個人情報保護法はやわかりNO.3

「中小企業家しんぶん」2004年 12月 5日号より
「個人情報取扱事業者」の義務（中）
「安全管理措置」は現場を再認識するチャンス

Q6．「個人情報データベース」は、「安全管理」が大事なようですが？

「個人情報データベース」への対応には、「安全管理」「従業者や委託先の監督」「本人の同意なしの第三者提供の禁止」の3つのポイントがあります。特に「安全管理」という点では、「組織的」「人的」「物理的」「技術的」にそれぞれ安全管理措置を講じる必要があり、最低限やらなければならない点について紹介します。

まず、社内にある個人データの種類ごとに、入ってくるところ、処理するところ、出て行くところなど、流れにそって、リスク分析します。データの流れは仕事の流れでもあります。経営者自身が現場を詳細に見る機会ともなるので、担当者任せにせず、現場から経営戦略を考えるチャンスとして取り組みたいものです。

次に各項目について対策をたてます。

「組織的安全管理措置」

「組織的安全管理措置」ではまず、個人データを安全に保つため、従業者（従業員、役員、派遣社員など）の責任と権限を定め、体制を確立し、規程や手順書を整備し、運用状況をチェックします。

規程には、個人データの(1)取得・入力(2)移送・送信(3)利用・加工(4)保管・バックアップ(5)消去・廃棄の流れに沿って作られることが望まれるとされ、それぞれの過程で作業責任者や手順、権限、作業確認などを明確にしておきます。

当然、形式だけでなく運用の記録やどのように個人データを扱っているかを一覧で表した取扱台帳などの整備、見直し、評価も必要です。また、事故や違反者への対処も明らかにしておきます。

「人的安全管理措置」

「人的安全管理措置」では、従業者とは雇用契約や委託契約に記述するなどして、情報を他へ開示しないことを締結します。また、各種業務において個人情報を保護するための教育をします。

「物理的安全管理措置」

「物理的安全管理措置」では、個人情報を扱う場所の入退室管理、社内であっても個人データの掲載されている書類やノートパソコンなどを放置しないなど盗難等の防止、漏水などからから機器・装置を守るなどの物理的な保護をしなければなりません。

「技術的安全管理措置」

「技術的安全管理措置」としては、個人データにアクセスする際、管理し制限すること。だれがアクセスしたかを識別し認証をかけ、そのアクセス状況を記録すること。個人情報を扱うシステムに不正ソフトウエア対策をたて、データの移送・送信、動作確認、監視を行う必要があります。

＊これらの詳細については経済産業省のガイドラインを参照ください。

2005年06月10日（旧楽天のブログサイトより転記したものです）

個人情報保護法はやわかりNO.2

「中小企業家しんぶん」2004年 11月 15日号より
「個人情報取扱事業者」の義務（上）

前回は「個人情報取扱事業者」の義務として、「利用目的の明確化と目的内での利用」「うそ、偽りによる収集の禁止」「事前の本人同意」など、8つの点が求められると書きました。今号ではその詳細をみて、自社の対応を考えていきましょう。ただし、それぞれに適用が除外される場合があります。詳細は経済産業省のガイドライン修正版等を参照ください。

Q4．「個人情報」や「個人情報データベース」「保有個人データ」など、所有している情報の種類によって、対応の仕方が違うとのことですが？

前回紹介した、特定の個人を識別できるものが(1)「個人情報」です。それを一定の規則に従って整理・分類し、特定の個人情報を簡単に検索することができるような状態に置いているものを、(2)「個人情報データベース」と言います。

その中でも、本人から管理しているデータ内容が問われたときに、その内容を知らせたり、訂正や削除、利用や第三者提供を停止するなどに応じることができる権限を持つデータが、(3)「保有個人データ」です。

これら3段階でその対応のレベルが(1)→(3)とあがり、顧客名簿などの(3)では、苦情処理の迅速な対応までが義務付けられています。

Q5．では「個人情報」にはどのように対応するのですか？

「個人情報」への対応はQ4でも紹介したように「個人情報データベース」「保有個人データ」にも当然求められる対応となりますが、個人情報全般には「利用目的の明確化と目的内での利用」「うそ、偽りによる収集の禁止」「事前の本人同意」が義務付けられています。

「利用目的の明確化と目的内での利用」とは、たとえばお客様に今後DMなどで情報を提供するために個人情報を記述してもらう場合、「当社の新商品・サービスに関する情報のお知らせのために利用いたします」のように、記入用紙やホームページ上に明記することになります。「提供するサービスの向上のため」などは目的を特定していないとみなされますので、注意が必要です。申込書や契約書、アンケート用紙などにも必要です。また、その際そこでうたっている目的以外に使うことはできません。

「事前の本人同意」とは、これら利用目的を本人に分かるように知らせたうえで、個人情報を提供してもらうことです。

「うそ、偽りによる収集の禁止」とは、判断能力のない子どもから、親の収入状況や家族の情報を取得したり、第三者に提供しないとしている情報をもらってはいけないということです。

次回は「個人情報データベース」への対応です。

2005年06月02日（旧楽天のブログサイトより転記したものです）

個人情報保護法はやわかりNO.1

施行されてからはや1ヶ月。個人情報保護法を理解していないとわれわれ印刷業界では致命的です。もう一度自分自身で勉強のつもりで掲載します。


「中小企業家しんぶん」2004年 11月 5日号より

あなたも「個人情報取扱事業者」

個人情報の流出事故が毎日のようにマスコミに取り上げられる中、企業の社会的責任が問われています。2003年5月に制定された「個人情報の保護に関する法律」（個人情報保護法）が、2005年4月に完全実施されますが、それに先駆け、経済産業分野の指針として、10月13日に経済産業省からガイドライン（修正版）が発表されました。個人情報の保有数が5000を超える事業所はすべて「個人情報取扱事業者」とされ、ほとんどの同友会会員企業はこれに該当すると見られます。この問題をないがしろにすれば、事業内容に関係なく企業の信頼を失うことになりかねません。2005年3月末までに「しっかり対応し、しっかり使う」ことで、この問題を乗り切り、ビジネスチャンスともしていきましょう。本紙では中小企業でこの問題をどうとらえて取り組めばいいのか紹介します。（編集部）

Q1．個人情報とはなんですか？

特定の個人を識別することができるものを言います。具体的には、氏名、氏名と組み合わせた生年月日・連絡先（住所、居所、電話番号、メールアドレス）、職位や所属に関する情報、防犯カメラ等の永続情報、氏名や所属が明確なメールアドレス情報、周知の情報を補うことで個人が特定される情報、雇用管理情報などがあります。

企業との取引しかしていないからといって、個人情報がないというわけではありません。担当社員の名前と企業名があれば、それだけで立派な個人情報になります。

Q2．個人情報データベース（名簿など）を持っているだけでも、個人情報取扱事業者になりますか？

「個人情報データベース」とは、コンピューターで管理しているかどうかにかかわりなく、一定の規則に従って整理・分類し、特定の個人情報を簡単に検索することができるような状態に置いているものを指します。

具体的には、顧客台帳はもちろん、メールアドレス帳や分かりやすく分類された名刺、氏名・住所・企業別に分類整理されている市販の人名録などがあります。

「個人情報取扱事業者」は、これらの情報を過去6カ月の間に1度でも5000件以上保有し、事業などに使っている企業や団体、個人のことです。

活用していない名簿等であっても、保有しているだけで「個人情報取扱事業者」になります。

Q3．「個人情報取扱事業者」は何をしなければならないのでしょうか？

個人情報取扱事業者の義務として、以下の8つの点が求められます。

1. 利用目的の明確化と目的内での利用
2. うそ、偽りによる収集の禁止
3. 事前の本人同意
4. 利用目的の本人への明示（通知または公表、事前もしくは都度）
5. 安全対策
6. 委託先の監督、従業員の監督
7. 本人同意なしの第三者提供の禁止
8. 開示、訂正、利用停止依頼への対応

これらの詳細は次回から順次紹介します。


2005年05月31日