ビジネス実務法務検定試験® 2級 無料問題 5 / 10 ・ 分野5: 情報の管理と活用にかかわる法規制
A社では、顧客の個人データを扱う部署の従業者が、私物のUSBメモリにデータを写して持ち帰ることが続いていたが、会社は何の取決めもしていなかった。個人情報保護法上、A社の義務として正しいものはどれか。
- 安全管理の措置は、漏えいが起きた後に被害の拡大を防ぐために講じればよい
- 従業者の監督は、事業者が努めればよい努力義務にとどまる
- 個人データの安全管理を求められるのは委託先に扱わせる場合で、自社の従業者については法律の定めが無い
- 従業者に個人データを取り扱わせるに当たり、必要かつ適切な監督を行わなければならない
正解と解説を見る
正解: D
正解の理由
個人情報の保護に関する法律第24条は、個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、その個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければならないと定める。第23条は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを求める。データを実際に扱うのは従業者なので、事業者に監督の責任を負わせている。
違う選択肢
「個人データの安全管理を求められるのは委託先に扱わせる場合で、自社の従業者については法律の定めが無い」… 自社の従業者についての定めを見落としている。第24条は、自社の従業者に個人データを取り扱わせる場合に、事業者に必要かつ適切な監督を求める。
「安全管理の措置は、漏えいが起きた後に被害の拡大を防ぐために講じればよい」… 措置の時期を取り違えている。第23条は、漏えい、滅失又は毀損の防止その他の安全管理のための措置を求める。漏えいが起きる前から講じておくものである。
「従業者の監督は、事業者が努めればよい努力義務にとどまる」… 努力義務の第22条と取り違えている。第24条は「監督を行わなければならない」と定め、努力義務ではない。データの正確性の確保と消去（第22条）が「努めなければならない」である。
押さえどころ
個人データを実際に扱う自社の従業者には、安全管理が図られるよう必要かつ適切な監督を行う（第24条）。努力義務ではなく義務で、事業者自身の安全管理措置（第23条）と並ぶ。漏えいの防止のための措置なので、事故の前から講じておく。