## はじめに
デジタル技術の進歩により、個人情報の保護や適切な取り扱いは現代のビジネスにおいて極めて重要な要素となりました。法的な要件や顧客の信頼獲得に向け、企業は適切な体制構築やルール作りを進め、定期的な個人情報監査を実施する必要があります。
この記事では、個人情報の取り扱いの体制構築や監査の現場において、経営者やCIO・CPOなどの責任者、データオーナー、監査担当者など異なる立場で発生する課題に焦点を当て、それぞれのポジションでの具体的な問題点とその解決策について解説していきます。各立場が協力し、個人情報保護の重要性を理解した適切な体制を構築していきましょう。

## 目次

• 個人情報の適切な保護とは
  • 1.1: 個人情報の定義
  • 1.2: 保護の必要性と法的要件
• 個人情報の取り扱い監査の必要性
• 個人情報の取り扱いにおける立場別の課題
  • 3.1: CIO、CPOの視点からの課題
  • 3.2: データオーナーや管理責任者の視点からの課題
  • 3.3: 監査担当者の視点からの課題

1. 個人情報の適切な保護とは

1.1 : 個人情報の定義

個人情報とは、特定の個人を識別できるデータや情報を指します。これには氏名、住所、電話番号、メールアドレス、生年月日などが含まれます。個人情報の保護は、個人の権利とプライバシーを尊重し、不正利用や漏洩から守ることが目的です。

1.2: 保護の必要性と法的要件

個人情報とは、特定の個人を識別できるデータや情報を指します。これには氏名、住所、電話番号、メールアドレス、生年月日などが含まれます。個人情報の保護は、個人の権利とプライバシーを尊重し、不正利用や漏洩から守ることが目的です。
個人情報の適切な保護は、企業の信頼構築に不可欠です。日本においては「個人情報保護法」により、個人情報の適切な利用を促しながら、個人の権利利益もしっかり保護するためのルールを規定しています。ルールの概要は次のとおりです。

・義務

利用目的の明示、事前の本人同意、適切な管理により漏洩等を防ぐこと

・取り扱いルール

正確性の確保、利用目的外での利用禁止、第三者提供の制限

・罰則

違反時には罰則（懲役刑や罰金など）が科される可能性あり

2. 個人情報の取り扱い監査の必要性

個人情報保護法の遵守のため、企業は定期的に監査を行い、法令を適切に守っているかを確認する必要があります。
また、個人情報の適切な取り扱いは、顧客や取引からの信頼性にも直結し、顧客の安心感や満足度の向上にも繋がります。ステークホルダーからの信頼を得て、ビジネスを成長させていくためには非常に重要な基盤となりますので、必ず実施するようにしましょう。
それを軽視し、不適切な個人情報の取り扱いを行うことは、企業にとって大きなリスクとなり得ます。個人情報の漏洩や流失が発生すると、企業は法的な制裁や損害賠償の対象となるだけではなく、社会的信用が失墜したり、ブランド価値を下げることに繋がったり、ひいては顧客を失うことにもなりかねません。それらのリスク対策のためにも、監査を通じて、潜在的なリスクを特定し、これを軽減するための対策を講じる必要があります。
さらに、適切なセキュリティ対策や情報管理体制を講じるためには、情報の取り扱い状況の整理が必要となるため、これらを通じて、企業全体の業務効率化に繋がる側面も期待できます。

3. 個人情報の取り扱いにおける立場別の課題

個人情報の取り扱い体制を整え監査を定期的に実施していくには、全社的な体制構築と協力が必要となりますが、実際の現場では、立場によって様々な課題を抱えることがあります。この章では、実際の現場における立場別の課題とそれに対する対策を解説します。

3.1: CIO、CPOの視点からの課題

CIO（Chief Information Officer）とは、「最高情報責任者」や「情報システム担当役員」などの意味を持つ役職で、全社的な情報化戦略を立案し実行する役割を担います。
CPO（Chief Privacy Officer）とは、「最高個人情報責任者」の意味を持つ役職で、 個人情報の取扱いに関する最高責任者として、プライバシーポリシーの策定や、 監査・評価の仕組みを構築する役割を担います。
個人情報保護法において、CIO、CPOの選任義務はありませんが、グローバル基準では設置することがスタンダードであり、令和2年の個人情報保護法改正の際にCPOの選任を評価するとの見解が出たことからも、適切な取り扱い推進のために設置することが望まれます。
まず、CIO、CPOを設置していないと、責任者による管理体制がないため、データの管理が全て現場任せとなってしまい、「どこにどんなデータがあるか」が把握、管理されていないという問題が発生しがちです。
データ管理における責任の所在も不明確となり、問題があった際に誰がどのように対応すべきかの初動や対応結果にも問題が出ます。
また、CIO、CPOを立ててプライバシーポリシーやセキュリティポリシーを策定したとしても、伝達不足、教育不足で現場に浸透していないといった課題も散見されます。
これらの課題を解消するためには、各ポリシーを現場の方が理解しやすいようにルール化して広めたり、教材を作成して全従業員に実施させるなどの策が有効です。
Web教材、Webテストを作成できるSaaSツールもあるので活用してみましょう。

3.2: データオーナーや管理責任者の視点からの課題

情報の取り扱い体制の構築が進むようになれば、そのデータのオーナーや管理責任者を明らかにすることができ、以前に増して、「どのデータがどの部署の管理なのか」がわかりやすくなります。
ただし、これらの管理者を定めても、実際の現場では複数の課題に直面することがあります。
まず、各部門の事業責任者など適切な方を「データオーナー/管理責任者」として指名しても、担当者のプライバシーポリシーやルールへの理解や適切な管理・運用体制への知見が乏しく、名ばかりの状態となってしまうといった実態が多くあります。
また、データオーナーや管理責任者は、個人情報データの正確性や適正な保持、保管を行う必要がありますが、更新性の確保ができておらず、不要になったデータを削除せず、放置してしまうこともあります。人事異動を反映し忘れて、アクセス権限の更新が行われていない事象もよく発生します。
このような問題を起こさないためには、まずは、個人情報取扱い監査の実施によって、「データオーナー/管理責任者」が本当に機能しているかどうかを全社的に把握していくことが有効です。
また、データ削除のルールを策定したり、定期的なデータクレンジングを行い、不要なデータを削除するサイクルを構築する必要があります。
削除のタイミングを、人事異動や退職の処理フローの中に組み込んで漏れなく対応する体制構築も有効でしょう。

3.3: 監査担当者の視点からの課題

情報の取り扱い体制が適切であるかをモニタリングするため、監査の定期的な実施は非常に重要ですが、実際に個人情報取り扱い監査を実施する際に、監査担当者が直面する課題も幾つかあります。
まず、個人情報が企業内に複数の場所に分散している場合、それを特定し、適切に分類することが難しいことがあります。
監査を実施するには、正確にこれらの所在を把握しておく必要がありますが、データの所在を一覧化するには、企業内のデータフローを可視化し、どのデータが個人情報であるかを特定するためにデータマッピングを行うなどの作業を行わなければなりません。
なお、データの所在を自動モニタリングできるSaaSを用いてこれらの作業を効率的に行うこともできます。
また、監査には、その結果の報告と改善策の要求がセットとなりますが、この作成に膨大な時間がかかることもあります。
これらの課題を解決するためには、監査結果を明確かつ具体的に報告するためのフォーマットやテンプレートを整備しておき、効率的な報告を実施するのが有効です。

## まとめ
個人情報の取り扱い体制を構築するにあたっては、立場ごとに異なる課題が浮き彫りになりますが、それらに対する有効な対策は存在します。ビジネス戦略との調和と並行しながら、外部機関のノウハウや作業を効率化するSaaSなども活用し、それぞれの課題に対処していきましょう。これらの課題を克服し、協力体制を築くことで、企業はより効果的な個人情報の取り扱い体制を確立し、顧客との信頼を高めることができるでしょう。

プライバシーデータ、個人情報の取り扱い状況のモニタリングや、監査の効率的な実施には、Data Auditorをぜひご活用ください。
https://dataauditor.jp/service/