情報セキュリティマネジメント試験 練習問題 18：個人情報保護と法的要件

個人情報保護法制は国際的に強化され、組織のセキュリティとコンプライアンスは不可分です。

個人情報保護方針（プライバシーポリシー）：
組織が個人情報を適切に保護することを示すため、以下を公開します：
- 個人情報の利用目的
- 保護措置
- 開示・訂正請求への対応
- 問い合わせ窓口

正しいのは「個人情報保護方針（プライバシーポリシー）を策定・公開し、個人情報の利用目的や保護措置を明確にすることが重要である」です。

主要な個人情報保護法制：

GDPR（General Data Protection Regulation）：
- 2018年ヨーロッパで発効
- EU域内の個人データを処理するすべての組織に適用
- 日本企業でも、欧州の顧客情報を処理する場合は適用
- 厳格な要件：本人同意、データ主体の権利保障、DPOの設置

日本：個人情報保護法：
- 個人情報の取得、利用、保管、第三者提供を規制
- 本人の同意取得
- セキュリティ対策の実施

個人情報の海外移転：
完全に禁止ではありませんが、安全管理措置が必要です。
- GDPR：十分性決定のある国への移転
- 日本：本人同意、事前通知

コンプライアンスとセキュリティ：
相互に関連しています：
- セキュリティは法的要件の実装手段
- コンプライアンスは法規制に従う姿勢
- 両者は組織リスク管理の重要な柱

DPIA（Data Protection Impact Assessment）：
GDPRで要求される「データ保護影響評価」。
- 高リスクな個人情報処理に対して実施
- 処理の目的、必要性、リスク、軽減策を評価
- 規制当局との協議が必要な場合もある