プライバシーマーク制度の概要

組織のトップの取り組みが取得を左右します

プライバシーマークの取得では、組織のトップが個人情報保護に積極的に取り組んでいるかどうかが重要なポイントとなります。なかでも「現地調査」には組織トップへのインタビューが組み込まれています。このインタビューを通して、組織が個人情報保護に対して真摯に取り組んでいるか否かが判断される可能性が大きいのです。

現地調査を実施する日本情報処理開発協会では、トップへのインタビュー内容として、次のような項目を挙げています。

1.事業内容
2.プライバシーマーク申請のきっかけ
3.個人情報保護方針とその周知方法
4.管理者、監査責任者の任命
5.マネジメントレビュー

この中で重要なのが3～5です。まず、3ですが、個々で留意すべきは、個人情報保護方針を、どのような方法で組織のメンバーに周知させたか、この点を適切に解説できるかどうかです。周知セミナーを実施したとか、eラーニングで理解度をチェックしたなど、実施した具体的な方法を答えることが必要です。

次に4は、組織の個人情報保護体制が、どのような体系になっているかに関する調査といえます。JISQ15001では、組織の代表者が、個人情報保護管理者の任命を要求しています。従って、組織体制の中に管理者は不可欠です。また内部監査も重要要件ですので、この責任者を任命しておくことも必要となります。

最後の5はマネジメントレビューに関する項目です。マネジメントレビューの前提として内部監査は不可欠ですから、監査実施の記録が適切に保存されていることが重要です。また、監査記録などを基にしてマネジメントレビューを実施、トップがどのような判断をしたのか、これらの記録も不可欠となります。