【問320】個人情報保護士 練習問題｜安全管理措置の責任者と体制

解説

正解

正解は選択肢1です。

各選択肢の解説

選択肢1 → ✅正解

正しい。法23条は必要かつ適切な安全管理措置を義務付け、ガイドライン通則編10（別添）は組織的・人的・物理的・技術的の4区分を示す。組織的安全管理措置には責任者の設置など責任体制の明確化が含まれる。

選択肢2 → ❌誤り

誤り。ガイドライン通則編は基本方針の策定や規律の整備、従業者の教育・監督まで求めており、人事や庶務を含む全社的な体制が前提となる。システム部門に限定した対応では足りない。

選択肢3 → ❌誤り

誤り。法23条は事業者の規模による免除規定を置いていない。中小規模事業者にはガイドラインで簡便な手法が例示されているが、それは手法の緩和であって義務そのものの免除ではない。

選択肢4 → ❌誤り

誤り。法令にもガイドラインにも見直し頻度を年数で定めた規定はない。取扱状況を把握・評価し、継続的に見直すことが求められるにとどまる。

背景知識

安全管理措置は法23条が定める中核的な義務で、個人データの漏えい・滅失・毀損の防止を目的とする。個人情報保護委員会のガイドライン通則編は、その具体的内容を「10（別添）講ずべき安全管理措置の内容」として整理している。そこでは基本方針の策定と個人データの取扱いに係る規律の整備を土台に、組織的・人的・物理的・技術的の4区分の措置が示される。組織的安全管理措置の筆頭が組織体制の整備であり、責任者の設置と権限・責務の明確化がここに位置付けられる。講じるべき手法の水準は、事業の規模や性質、取扱状況に起因するリスクに応じて判断される。

学習アドバイス

「4区分＋基本方針＋規律の整備」というガイドラインの骨格をそのまま覚えると出題に強い。規模による手法の違いはあっても義務の有無は変わらない、という切り分けが頻出。

まとめ

• 法23条により責任者の設置を含む組織体制の整備が必要
• 組織的・人的・物理的・技術的の4区分で措置を講じる
• 手法はリスクに応じて異なるが、規模による義務免除はない