JIS Q 15001の改正点と書面取得のルール
情報セキュリティマネジメント試験 平成31年度春期 午前 問31 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
JIS Q 15001:2017(個人情報保護マネジメントシステム－要求事項)に関する記述のうち，適切なものはどれか。
- ア
開示対象個人情報は，保有個人データとは別に定義されており，保有期間によらず全ての個人情報が該当すると定められている。
- イ
規格文書の構成は，JIS Q 27001:2014と異なり，マネジメントシステム規格に共通的に用いられる章立てが採用されていない。
- ウ
特定の機微な個人情報が定義されており，労働組合への加盟といった情報が例として挙げられている。
- エ
本人から書面に記載された個人情報を直接取得する場合には，利用目的などをあらかじめ書面によって本人に明示し，同意を得なければならないと定められている。
会話形式の解説
講師今回はJIS Q 15001:2017、つまり個人情報保護マネジメントシステムの要求事項を定めた規格の問題です。2006年版から何が変わったかを押さえているかが鍵になります。
受験者私は、労働組合への加盟を例に挙げた選択肢が具体的で、正しそうに見えました。どこかで聞いた覚えもあります。
講師聞き覚えがあるのは自然です。「特定の機微な個人情報」に労働組合への加盟を例として挙げていたのは2006年版です。2017年版では、個人情報保護法に合わせて「要配慮個人情報」に置き換わりました。要配慮個人情報の例に、労働組合への加盟は含まれていません。
受験者旧版の内容を新版のことのように書いているのが引っかけなのですね。開示対象個人情報の選択肢も同じでしょうか。
講師そのとおりです。開示対象個人情報も2006年版の用語で、2017年版では保有個人データと同じ扱いになり、別の定義は置かれていません。それに、全ての個人情報が開示の対象になるわけでもないので、二重に誤りです。
受験者章立てがJIS Q 27001と違うという選択肢は、判断の材料がありませんでした。
講師2017年版のもう一つの大きな変更点がそこです。JIS Q 9001、JIS Q 14001、JIS Q 27001などのマネジメントシステム規格と共通の構造、章立て、用語を採用しました。なので、JIS Q 27001:2014とは構成がそろっています。
受験者変更点は、共通の章立てにそろえたことと、用語を個人情報保護法に合わせたことの二つですね。残るのは書面で直接取得する場合の選択肢です。
講師はい。本人から書面に記載された個人情報を直接取得するときは、取得する前に組織の名称や利用目的などを書面で本人に明示し、書面で同意を得なければなりません。ここでいう書面には電磁的記録も含まれます。これが適切な記述です。
受験者同意が必ず必要なのですか。例外はないのでしょうか。
講師人の生命などを守るために緊急に必要な場合などの例外はあります。ただ、基本ルールとしては、あらかじめ書面で明示して同意を得る、と覚えてください。
受験者整理すると、旧版の用語を前提にした二つと、章立てが違うとする一つが誤りで、書面取得の基本ルールが正解ということですね。
講師よく整理できています。補足すると、労働組合への加盟は規格の要配慮個人情報には入りませんが、金融分野のガイドラインのように業界ごとに機微情報として独自に取扱いを制限している例もあります。規格の定義と業界ルールを混同しないようにしましょう。
まとめ
JIS Q 15001:2017は、個人情報保護マネジメントシステムの要求事項を定めた規格です。2017年版では、JIS Q 27001などのマネジメントシステム規格と共通の章立てを採用し、用語を個人情報保護法に合わせました。そのため、旧版の「開示対象個人情報」は保有個人データと同じ扱いになり、「特定の機微な個人情報」は要配慮個人情報に置き換わっています。本人から書面で直接取得するときは、利用目的などをあらかじめ書面で明示し、書面で同意を得る必要があります。
解答・解説
正解はエです
この問題のテーマ
JIS Q 15001:2017（個人情報を組織で適切に扱う仕組みを定めた規格）について、正しい記述を選ぶ問題です。2006年版からの変更点と、書面で本人から直接取得するときのルールが問われています。
解き方の考え方
まず、2017年版の変更点を二つ確かめます。一つ目は、他のマネジメントシステム規格と同じ章立てにそろえたことです。二つ目は、用語を個人情報保護法に合わせたことです。この二つと照らすと、旧版の用語を前提にしたアとウ、章立てが違うとするイは誤りだとわかります。残ったエは、書面で直接取得するときの基本ルールどおりなので、適切です。
選択肢ごとの解説
- ×ア 開示対象個人情報は，保有個人データとは別に定義されており，保有期間によらず全ての個人情報が該当すると定められている。開示対象個人情報を保有個人データとは別に定義している、という記述です。しかし開示対象個人情報は2006年版の用語で、2017年版では保有個人データと同じ扱いになり、別の定義は置かれていません。また、全ての個人情報が開示の対象になるわけでもありません。したがって誤りです。
- ×イ 規格文書の構成は，JIS Q 27001:2014と異なり，マネジメントシステム規格に共通的に用いられる章立てが採用されていない。共通の章立てを採用していない、という記述です。しかし2017年版は、JIS Q 9001、JIS Q 14001、JIS Q 27001などと共通の構造・章立て・用語を採用しています。そのため、JIS Q 27001:2014とも構成がそろっています。したがって誤りです。
- ×ウ 特定の機微な個人情報が定義されており，労働組合への加盟といった情報が例として挙げられている。労働組合への加盟を例に挙げた「特定の機微な個人情報」が定義されている、という記述です。しかしこれは2006年版の規定です。2017年版では、個人情報保護法に合わせた「要配慮個人情報」に置き換わり、その例に労働組合への加盟は含まれていません。したがって誤りです。
- ○エ 本人から書面に記載された個人情報を直接取得する場合には，利用目的などをあらかじめ書面によって本人に明示し，同意を得なければならないと定められている。書面で本人から直接取得するときのルールを述べた記述です。取得する前に、組織の名称や利用目的などを書面で本人に明示し、書面で同意を得なければなりません。ここでいう書面には電磁的記録も含まれます。したがって適切です。なお、人の生命などを守るために緊急に必要な場合などの例外があります。
補足
旧版（2006年版）の用語や例示は、2017年版の記述とは別に確認する必要があります。労働組合への加盟は、規格の要配慮個人情報には含まれません。ただし、金融分野のガイドラインのように、業界ごとに機微情報として独自に取扱いを制限している例があります。
※選択肢イで引き合いに出されているJIS Q 27001は、その後2023年版に改正されています。JIS Q 15001についても、学習の際は最新版を確認してください。
POINT
- JIS Q 15001は、個人情報保護マネジメントシステムの要求事項を定めた規格です。
- 2017年版は、ISO 9001やISO/IEC 27001などと共通の章立て・用語を採用しています。
- 2017年版では、旧版の「開示対象個人情報」が保有個人データと同じ扱いになりました。
- 2017年版では、旧版の「特定の機微な個人情報」が個人情報保護法に合わせた「要配慮個人情報」に置き換わりました。
- 本人から書面で直接取得するときは、利用目的などをあらかじめ書面で明示し、本人の同意を得る必要があります。