問30
頻出度★★★
プライバシーマークを取得している事業者が, 個人情報保護に関する理念や取組みを内外に宣言する文書はどれか。
平成23年度 特別試験 ITパスポート試験 問30
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 30
错误ア
个人信息保护指南是由个人信息保护委员会等行政机关或行业团体编制、向企业提示的指引，用来说明法令的解释以及企业应当采取的具体措施的思路。也就是说，文件的编写方是监管机关或行业团体，企业处于遵守它的一方。它并不是企业用自己的语言宣示自身理念与举措的文件，因此不符合题干的条件。
错误イ
个人信息保护规程是为落实方针中提出的理念，就个人信息在取得、利用、保管、提供、废弃各个阶段的管理体制、责任人的职责、员工必须遵守的事项、违规时的处理措施等，以公司内部规则的形式作出规定的文件。在文件体系中它位于方针之下，适用对象仅限于公司内部员工，属于内部规程，不具有对外宣示的性质。因此是错误的。
- ウ
正解 正确答案是ウ。个人信息保护方针（隐私政策）是指企业在负责人（代表者）的责任下，把自己在个人信息保护方面持有何种理念、开展哪些举措明文化，并对内对外予以宣示的最高层级文件。隐私标志（Privacy Mark）制度所依据的 JIS Q 15001（个人信息保护管理体系——要求事项）要求企业首先制定该方针并形成文件，向全体员工传达周知，同时通过在网站上公布、在营业场所张贴等方式，使一般公众可以随时取得。方针中通常写入的代表性内容包括：结合业务内容与规模适当地取得、利用和提供个人信息；采取措施防止超出目的的利用；遵守法令、国家制定的指导方针以及其他规范；采取防止和纠正个人信息泄露、灭失、损毁的措施；设置投诉与咨询的受理窗口；持续改进管理体系；以及制定日期、最后修订日期、负责人姓名等。题干要求的「对内对外宣示理念与举措的文件」这一条件，也就是兼具对内周知与对外公布性质的最高层级文件，只有这份个人信息保护方针符合；其他选项要么是组织内部使用的运行文件，要么是外部机构向企业提示的指引，都不是企业自身的宣示文件。因此ウ正确。
错误エ
个人信息保护手册是把规程中规定的规则在实际业务中如何执行，面向具体经办人员写成详细步骤的实务操作手册。内容以作业层面的描述为主，例如申请单的受理方法、保管介质的上锁管理方式、收到个人信息查阅（披露）请求时的处理流程等，在文件体系中位于方针和规程之下。它不是提出理念并对内对外宣示的文件，因此不满足题干的条件。
ここがポイント
- 个人信息保护方针（隐私政策）的定义 —— 以企业负责人的名义把个人信息保护方面的基本理念与举措明文化，既向员工传达周知、又向公众公布的最高层级文件。它是依据 JIS Q 15001 取得隐私标志（Privacy Mark）的必备要求，内容涵盖遵守法令、禁止超出目的的利用、安全管理措施、投诉咨询窗口、持续改进等。
- 个人信息保护管理体系（PMS）的文件层级 —— 自上而下依次为 方针（要实现什么目标）→ 规程（公司内部要遵守什么）→ 手册·作业指导书（如何执行）→ 表单·记录（实施的证据），越往下越具体。记住「对外公布的是方针，公司内部运行的是规程及其以下」，就能把这几个选项区分开。指南则是行政机关或行业团体向企业提示的指引，与这一层级体系是两回事。
用語