【問113】個人情報保護実務検定 練習問題｜基準適合体制

解説

正解

正解は選択肢2です。

各選択肢の解説

選択肢1 → ❌

事業者規模で基準適合性が判定されるわけではありません。

選択肢2 → ✅

APECのCBPR(Cross Border Privacy Rules)認証は、規則上の基準適合体制と評価される代表例です。契約による義務付けでも基準適合体制を構築可能です。

選択肢3 → ❌

基準は個人情報保護委員会規則で定められており、事業者の自由裁量ではありません。

選択肢4 → ❌

基準適合体制を利用する場合でも、相当措置の継続的実施確保や本人への情報提供義務(28条3項)が課されます。

背景知識

個人情報保護委員会規則18条は、外国にある第三者が「個人情報取扱事業者が講ずべきこととされている措置に相当する措置」を継続的に講ずるための体制として、(1)契約・グループ内規程等の適切かつ合理的な方法により担保する場合、(2)国際的な枠組み(CBPR等)に基づく認証を取得している場合、を基準適合体制として認めています。基準適合体制を利用する場合、事業者は当該第三者による相当措置の継続的実施確保のため、(a)定期的な確認、(b)問題発生時の必要かつ適切な措置、を講じる義務があり、本人の求めに応じ情報提供する義務もあります(28条3項)。

学習アドバイス

基準適合体制=「契約による担保」または「CBPR認証」と覚えます。28条3項の情報提供義務もセットで押さえましょう。

まとめ

• 基準適合体制は契約またはCBPR認証
• 提供元に継続的確認義務あり
• 28条3項で本人への情報提供義務