注目の法律研究【プライバシーマーク制度
 個人情報の取り扱いを適切に行っている事業者を、第三者機関である(財)日本情報処理開発協会(JIPDEC)及びその指定機関が評価・認定し、その証としてロゴ:プライバシーマークの使用を許諾する制度です。

●プライバシーマークとは?

 平成17年4月1日より、個人情報保護法が全面施行され、事業者は個人情報の適正な取扱いが求められることとなりました。IT化の進展に伴い個人情報保護の重要性が一層増してきており、様々な事業者がもつ顧客データなどの個人情報を保護し、安全に利用していくための指針が公布されたことになります。この法律の施行により、既に平成10年4月にスタートしていたプライバシーマーク制度が企業努力の証明として活用されるようになりました。
 プライバシーマークを第三者機関である(財)日本情報処理開発協会(JIPDEC)及びその指定機関に申請し、認定されるとその証明としてプライバシーマークが使用できるようになります。このマークを使用することによって、その企業が個人情報を適切に管理し、取扱っていることが証明され、信用力の向上と事業の拡大に寄与することになります。
 認定にあたっては JIS Q 15001 に基づいた審査により、自社で保有する個人情報 の(1)収集(取得)、保管・利用、 委託、提供、破棄(2)情報主体(本人)からの要求(開示、訂正、削除、拒否)に対する対応などの、一連の取り扱いについて適切に行う手順が確立されているかを審査するため、通常約1年前後の時間が必要とされます。


●プライバシーマーク適用認定を受けることのメリット
 個人情報保護が重要視されればされるほど、プライバシーマークの力は大きくなります。個人情報をしっかり管理しているとアピールすることにより、企業の信用力をアップでき、大きくまとめると下記の4つのメリットがあると思われます。
(1)個人情報保護管理体制を構築することにより、お客様・取引先・社員の信頼獲得が望める
(2)現状の把握・リスク分析の実施により効果的な情報管理の仕組み作りが可能
(3)個人情報保護体制の確立で管理基準が一定水準に保てる
(4)自己診断(内部監査)、組織的な見直し(管理体制を維持するための仕組み)をおこなえる
 外的な信用力の向上がメリットとして注目されがちですが、企業内部での情報管理の仕組み造りができることが一番重要なポイントと言えます。以下に取得するために具体的な流れをまとめましたのでコンプライアンス・プログラム(社内倫理規定)構築時の参考としてください。

 プライバシーマークの取得準備と認定までの流れ
1.個人情報保護方針の策定と個人情報の特定
個人情報保護の声明文を策定し、保有している個人情報を明確にする。
2.法規制の遵守・リスクの認識
事業者として守るべき法令および規制を特定しリスクを認識する。
3.安全性・正確性の確保
認識したリスクに対して合理的な管理策・業務手順を策定する。
4.委託先の管理
個人情報に関する業務委託先を管理するための仕組みを策定する。
5.個人情報取扱いに関するルール化
個人情報の収集・利用(提供)に関するルールを明確にする。
6.従業員の教育
個人情報を保護する重要性を自覚させる教育の手順を確立する。
7.苦情・相談の管理
個人情報およびコンプライアンス・プログラム(C・P)に関する苦情・相談に対応するための、適切な苦情・相談受付手順を確立する。
8.内部監査
定期的に内部監査を行いC・Pの有効性および適合性を確認する。
9.事業者による見直し
C・Pが常に有効な機能を保つよう適切な見直し手順を確立する。
※コンプライアンス・プログラム(C・P)とは…社内倫理規定

●プライバシーマーク認定取得に適したオフィスレイアウトとは?
 次にプライバシーマーク認定を受けるために、必要なセキュリティ環境を満たしたオフィスレイアウトについて考えてみましょう。
 リスクを分散し、安全性を確保するために共用スペースと従業員スペースを分けたり、個人情報を保管・管理しているスペースに、一般社員や顧客が立ち寄れなくするレイアウトを考えるなど、オフィスのレイアウトからオフィス内の物理的安全措置を高めていく必要があります。
 実際に利用状況を考え、どこに間仕切りを立てたらよいのか?サーバールームの施錠はどのようにしたらよいか?など、ゾーニング(機能や用途などを考えて空間を分けて配置すること)も含めて総合的なプランが望まれます。

オフィスのレイアウトから考える安全対策 5つのポイントは?
1.入退室管理措置
・入退場の出入口は施錠でき、内部への侵入を阻止できるか?
・従業員の入退記録がとられているか?
・業者等に対する室内等への進入規制が行われているか?
・鍵の使用管理がなされているか?
2.レイアウトの管理
・印刷機、複写機、FAXなどの機器は一般共用通路に面して設置されていないか?
・出入口付近にあるデスクのPC画面が、来訪者に直視できる位置、角度に設置されていないか?
3.保管と鍵の管理
・紙記録媒体は施錠可能な机、書棚等に収納されているか?
・鍵は特定された者により管理されているか?
4.サーバー室の管理
・出入口には施錠設備があり、鍵の管理が適切に行われているか?
・非関係者の入室制限と、入退者の管理簿への記録を実施しているか?
5.職場設置サーバーの管理
・職場内での設置位置は出入口、人の集まる場所を避け適切か?
・施錠できるキャビネットに収納、または間仕切等により非関係者のアクセスを制限しているか?

●プライバシーマーク認定対応オフィス事例紹介:株式会社エンプレックス

〜共用スペースと従業員スペースを分離し、情報セキュリティ管理を徹底〜
 2005年11月にプライバシーマーク認定を取得した株式会社エンプレックスはCRMパッケージソフト「eMplex CRM」の開発・販売・導入コンサルティングをおこなっているIT企業です。大手クライアントの企業情報、顧客情報管理・分析をおこなうパッケージソフトの開発や販売をおこなっている仕事柄、個人情報の保護に関する取り組みは早くから開始されていました。プライバシーマークを取得するにあたって個人情報の管理・保管についてのコンプライアンス体制を整備して運用していますが、オフィスレイアウトについても情報管理がしやすい造りとなっています。具体的には、外部パートナーや顧客など来客者との打ち合わせで利用するパブリックエリアと従業員が執務する従業員エリアを分離し、部外者が機密情報保管場所にアクセスしにくい環境を造っています。このため、通常の来客者には来客者カード等を発行せず、特定エリア内に入る必要がある時だけビジターカードを提示する仕組みです。セキュリティ管理を重視しなければならないオフィスレイアウトを考えると、運営面でのメリットが大きく、参考としたい手法の一つと言えます。(取材協力:PLUS)


●オフィスセキュリティをトータルに高めるための取り組み研究
 プライバシーマーク認定を受けるためにオフィスレイアウトや個人情報の管理・運用を考えていくにあたって、セキュリティを実現するハードウエアの導入が不可欠となります。監視カメラなどを含めた監視システムやネットワーク監視システム、セキュリティゲートや入退出監視システム、書類庫や金庫類といったものまで幅広くハードウエアを検討し選定していく必要があります。ここでは、具体的にハードウエアを見てみましょう。


●内在する企業内リスクに幅広く対応。業務フローやスタッフ特性に合わせた配置を

 企業内のセキュリティをトータルに高め、維持していくためには、利用するスタッフの業務フローや入退出する内部、外部の人の動きなどを考えてセキュリティポイントを設定する必要があります。
 セキュリティ大手のセコム(株)によると、最近では指紋や静脈認証などによる最新の認証システムやエントランスで社員の体重管理をして、内部のものを持ち出せないように管理するシステムなどの需要が高まっているそうです。自社のスタッフの業務環境や入退出するメンバーの特性に合わせたハードウエアの導入が重要であると言えます。