平成23年度特別 システム監査技術者 午前Ⅱ 問7

個人情報の扱いを見直す視点

個人情報を扱う場面では、何のために取得するのか、必要な範囲に収まっているか、後の利用や管理が目的と整合しているかを順に整理し、断定する前に条件同士の関係を確認します。

この問題で問われていること

一つの観点として、取得時に示される目的と、その後に想定される利用・管理の範囲が同じ考え方で説明できるかを、問題文の記述に沿って丁寧に照合し、一貫して確認してください。

視点

判断では、個別の文言だけを抜き出さず、取得する情報、利用目的、本人への説明、管理や第三者との関係を一つの流れとして捉えます。そのうえで、提示された条件のつながりに無理がないかを確認します。

確認ポイント

• 取得する情報と示された目的の対応関係を確認する
• 本人への説明内容と想定される利用範囲を照合する
• 目的から外れる扱いが含まれていないかを慎重に読む

正解

ア

解説

正答はアです。Webサイトで本人から直接個人情報を取得する場合、利用目的は注文受付完了画面の表示時ではなく、注文申込み前など、あらかじめ本人に明示する必要があります。

理由

Webサイトの注文画面で利用目的を示す場合、本人が個人情報を入力して送信する前に、利用目的を確認できる状態にしておく必要があります。注文受付完了後の表示では、取得後の明示となるため、要求事項への準拠性に問題があります。

比較

口頭注文や電話注文では、担当者やオペレータが注文を受ける際に口頭で利用目的を伝えることができます。また、アンケートはがきに利用目的を記載する場合も、本人が記入して返送する前に確認できる形になっています。取得方法と明示の時期を対応させて判断します。

選択肢ア（正解）

これは正解だよ。Webサイトから本人の個人情報を直接取得する場面で、利用目的を注文受付完了画面に表示しており、注文申込み後の明示になっています。本人が情報を入力・送信する前に利用目的を確認できないため、取得時の要求事項に適合せず、監査上の指摘事項に該当します。

選択肢イ

これは不正解だよ。営業担当者が顧客から口頭で注文を受ける際に、口頭で個人情報の利用目的を伝えています。取得方法に対応した手段で、本人が情報を伝える注文受付の場面に利用目的を示しているため、この記述は指摘事項には該当しません。

選択肢ウ

これは不正解だよ。アンケートはがきに個人情報の利用目的を記載しているため、購入者は回答して返送する前に、その情報が何のために利用されるかを確認できます。取得に用いる書面上で利用目的を示しており、この記述は指摘事項には該当しません。

選択肢エ

これは不正解だよ。通信販売のコールセンタで電話注文を受ける際、オペレータが電話を通して個人情報の利用目的を伝えています。電話による取得に合わせて口頭で明示しているため、Web画面で受付完了後に表示する場合とは異なり、指摘事項には該当しません。

学習のポイント

本人から直接取得する場合の利用目的の明示時期と、取得方法ごとの扱いを区別して学ぶ。