【問322】個人情報保護士 練習問題｜個人データの持出し管理

解説

正解

正解は選択肢4です。

各選択肢の解説

選択肢1 → ❌誤り

誤り。持ち出し自体を一律に禁じる規定はなく、本人への通知を条件とする定めもない。求められるのは事業者がリスクに応じた安全管理措置を講じることである。

選択肢2 → ❌誤り

誤り。組織的安全管理措置として個人データの取扱状況を確認する手段の整備が求められ、持ち出しの記録や台帳による管理はその代表例である。口頭の了解のみでは体制として不十分。

選択肢3 → ❌誤り

誤り。社外での利用を禁じる法律上の規定はない。テレワークやモバイル環境での利用は前提とされており、その分だけ相応の安全管理措置が必要になる。

選択肢4 → ✅正解

正しい。ガイドライン通則編10-5は、電子媒体等を持ち運ぶ場合の手法として持ち運ぶ個人データの暗号化やパスワードによる保護等を例示する。措置の水準は取扱状況に起因するリスクに応じて判断される。

背景知識

個人データの持ち出しは、テレワークやモバイル端末の普及により避けられない実務課題となっている。ガイドライン通則編は物理的安全管理措置の一つとして「電子媒体等を持ち運ぶ場合の漏えい等の防止」を挙げ、手法の例として持ち運ぶ個人データの暗号化やパスワードによる保護等を示している。あわせて組織的安全管理措置として取扱状況を確認する手段の整備と漏えい等事案への対応体制の整備が、技術的安全管理措置としてアクセス制御やアクセス者の識別・認証が求められる。これらは義務として固定された手順ではなく、リスクに応じて選択される手法の例示である。

学習アドバイス

ガイドラインの記載は「手法の例示」であって、特定の技術が必ず必要と決まっているわけではない点に注意したい。「これだけで十分」と「まったく不要」はどちらも誤りになりやすい典型パターン。

まとめ

• 持ち運ぶ個人データの暗号化やパスワード保護が手法の例示
• 取扱状況の記録と漏えい等事案への対応体制の整備も必要
• 措置の水準はリスクに応じて判断され、社外利用の一律禁止規定はない