プライバシーリスクを特定し対応せよ！
本日は、前回の続きです。
前回は、PIA （Privacy Impact Assessment、個⼈情報保護評価）の意義から、PIA を実施することにより得られるメリットを確認しました。
【PIA を実施するメリット】
☘ 消費者や利害関係者との信頼関係が醸成できる
☘ 経営層・従業者の更なる意識付けができる
☘ 結果的に、コスト削減につながる
【詳しくはこちら】
では、その PIA ですが、もう少し具体的に、どの様に実施すれば良いのでしょう？
ということで、
本日は「 PIA の実施⼿順に沿った留意点」について整理してみました。
Ⅱ．PIA の実施⼿順に沿った留意点
💡 PIA の実施⼿法は事業の規模、性質や個⼈情報等の内容等によって様々であり、事業者⾃⾝において、最適な⼿法を考慮していくことが重要。
１．要否の検討、２．準備
PIA を実施するかどうかの検討後、体制整備や個⼈情報等のフローの確認等の多⾓的かつ幅広い情報収集・整理を⾏う。
☘ 個⼈情報等を取り扱う業務の実施もしくは⾒直し等に際して、幅広く、PIA を実施する必要があるのか否かを検討。
☘ PIA を実施することを決定した場合は、実施責任者の任命、投⼊⼈員数などリソース計画、スケジュールの策定など、実施のための体制整備が必要。
☘ 準備にあたり、経営層が PIA の必要性を理解・認識した上で、必要なリソースを割り当てることについてコミットすることが重要。
☘ 前提として、収集・保管・移転・利⽤・廃棄等のプロセスごとに、個⼈情報等のフローを整理。
☘ 消費者や委託先等の利害関係者を関係主体として組み込むことが重要。
３．プライバシーリスクの特定
整理したフローの段階ごとに、事業者側のオペレーションなどに伴い想定されるリスク要因、消費者・利⽤者側の利⽤⽅法などに伴うリスク要因なども踏まえて、リスクを洗い出し、整理することが求められる。
リスク整理表を作成することが有効
・個⼈情報保護法等の法令により求められること
・公的機関の指針や業界ルールにより求められること
・それ以外に事業の性質上求めることが望ましいこと
等の区別を明確にしていくことが望ましい。
【リスク特定の着眼点の例】
・利用目的の通知や同意の取得が本人に分かりやすい形で行われるか。
・本人が、自らの個人情報等がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できるか。
・個人情報等が過剰に収集される可能性がないか。
・本人からの各種請求への対応は滞りなく行われるか。
・権限のない者が個人情報等に不正にアクセスする可能性がないか。
・個人情報等の紛失、盗難又は不正に持ち出される可能性がないか。
・不適正な個人情報等の編集、紐づけ、分析等の利用が行われる可能性がないか。
・不必要に保有し続ける情報がないか。
４．プライバシーリスクの評価
評価者が個⼈情報等の取扱いに係るリスクを具体的に特定・評価し、重⼤なリスクや対応を要する事項を洗い出す。
☘ 特定したリスクについて、「影響度」及び「発⽣可能性」の観点で評価を実施。
☘ リスク評価の基準は、数段階（無視できる、限定的、重⼤、甚⼤等）の基準を設定することが考えられる。
設定した基準に従い、特定した各リスクについて、想定されている個⼈情報の取扱内容等に照らし、影響度及び発⽣可能性を評価。
評価後、各リスクの分布を総覧的に把握し、対策を講じる優先度等の検討を⾏いやすくするため、影響度と発⽣可能性の⼆軸のリスクマップを作成することが考えられる。
５．プライバシーリスクへの対応
評価者の評価を踏まえ、特定・評価したリスクを低減するための具体的な対策・計画を設計者等が策定し、実行する。
評価者が評価したリスクについて、例えば、以下のように設計者等が対応⽅針を決定する。
☘ 【リスクを回避】
影響度が⾼く、発⽣可能性も⾼い場合は、事業の前提条件を変更する。
☘ 【リスクを低減】
影響度は低いものの、発⽣可能性が⾼い場合、もしくは影響度は⾼いものの、発⽣可能性が低い場合は、適切な対策を実施する。
☘【リスクを保有】
影響度が低く、発⽣可能性も低い場合は、追加的な対策や特段の⾒直しは⾏わず、そのままにする。
対応⽅針を踏まえ、設計者等は具体的な対応策を検討する。
対応策を踏まえて、影響度、発⽣可能性を再評価した上でマップを修正し、残存リスクについて、さらに低減等する必要があると判断した場合は、更なる対応策を検討することも考えられる。
６．PIA報告書のとりまとめ等
☘ PIA の実施結果等について、報告書としてとりまとめ、事業者の経営層への報告を⾏うことにとどまらず、対外公表することは、消費者をはじめとするステークホルダーへの説明責任と透明性の観点から有効。
☘ 対外公表に際して、実施結果等の詳細まで提供する必要性は乏しく、むしろ、報告書のサマリーを作成し、簡潔でより分かりやすい形で公表することが有効。
☘ 報告書には、個⼈情報等の取扱いのフロー、当該フローのうち PIA の実施範囲、実施⽅法、特定したリスク、当該リスクの評価結果、対応策等について記載することが考えられる。
☘ 事案に応じて、報告書の内容について、第三者機関のチェックを経て、信頼性を⾼めることも有効。
☘ 特に消費者団体などの消費者を代表する⽴場にある者からの確認を得ることが重要。
引用文献
個人情報保護委員会 法令・ガイドライン等
【 PIA の取組の促進】より
◆ PIA の取組の促進について- PIA の意義と実施手順に沿った留意点- (PDF : 2427KB)
◆ PIA の取組の促進について- PIA の意義と実施手順に沿った留意点-（概要） (PDF : 1876KB)
プライバシーマーク取得事業者は、リスクアセスメントという手続きで、すでに似たような事を実施していますね。
リスクアセスメントは、事業者が取り扱う全ての個人情報、つまり事業者全体を対象に実施します。
それに対して、
PIA は、事業単位で実施する点や、プライバシーバイデザインの考え方に則って、事業を開始する前に実施する点が、大きな違いになります。
【 あわせて確認しておきたい関連記事はこちら】
本日のアウトプットはいかがでしたか？
少しでも参考になりましたら
❤️（スキ）で応援いただけると大変励みになります
では、また！