解説

本問は、プライバシーマークを取得しているA社が個人情報管理台帳の取扱いについて行った内部監査で、監査人が「指摘事項」（改善を要する不適切な状況）として監査報告書に記載すべきものを選ぶ問題です。個人情報管理台帳は、保有する個人情報を適切に管理するための重要な記録であり、個人情報の取得・利用・保管の状況の変化に応じて、定期的に、また必要に応じて見直し・更新されるべきものです。選択肢dの「個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている」は、見直しの契機を「新たな取得時」だけに限定しており、定期的な見直しや、保管期限の到来・利用目的の変更・廃棄などに応じた見直しが行われないおそれがあります。これは台帳が実態と合わなくなるリスクがあり、適切な管理状態とはいえないため、監査人が指摘すべき不備に該当し、選択肢dが正解です。他の選択肢は、概数でしか把握できない情報を概数で記載すること、保管場所・方法・期限を記載すること、機密性を守る保護措置を講じることであり、いずれも個人情報管理台帳の適切な取扱いであって、指摘すべき不備ではありません。監査の「指摘事項」を問う設問では、リスクのある不適切な状態を選ぶ点に注意します。

なぜ他の選択肢は違うのか

選択肢 ア

「概数でしかつかめない個人情報の保存件数は概数だけで記載している」は、正確な件数の把握が困難な情報について概数で記載するという現実的で妥当な対応であり、適切な取扱いです。改善を要する指摘事項には当たりません。正確な件数の把握が困難な情報を概数で記載するのは現実的で妥当な対応であり、適切な取扱いなので、改善を要する指摘事項を選ぶ本問の答えにはなりません。

選択肢 イ

「ほかの項目に加えて、個人情報の保管場所、保管方法、保管期限を記載している」は、個人情報の管理に必要な情報を適切に台帳へ記載している望ましい状態です。むしろ推奨される管理であり、指摘すべき不備には当たりません。保管場所・保管方法・保管期限を台帳に記載するのは個人情報の管理に必要な望ましい状態であり、むしろ推奨される管理なので、指摘すべき不備には当たりません。

選択肢 ウ

「個人情報管理台帳の機密性を守るための保護措置を講じている」は、個人情報を集約した重要な台帳を適切に保護している望ましい状態です。適切なセキュリティ対策であり、改善を要する指摘事項には当たりません。個人情報を集約した重要な台帳の機密性を守る保護措置を講じるのは適切なセキュリティ対策であり、改善を要する指摘事項を選ぶ本問の答えにはなりません。

解くときのポイント

監査の『指摘事項』を問う設問は、適切な状態ではなくリスクのある不備を選ぶ。個人情報管理台帳は定期的・必要に応じて見直すべきで、『新規取得時だけ見直す』は見直し契機が不十分で実態と乖離するリスクがあり不備。