ISO27701取得のメリット

この記事ではISO27701取得のメリットを紹介していきます。
ISO27701ではPII管理者とPII処理者の立場があるので、それぞれの立場から見たメリットを説明します。

※PIIについてはこちらをご参考ください。

ISO27701認証を取得する際には、PIIを管理している事業者であるPII管理者(PII Controller)として取得するか、PIIを処理する事業者であるPII処理者(PII Processor)として取得するか、またはその両方の立場を併せ持つ事業者として取得するか、自社の立場を明確にする必要があります。

ISO27701においては、PIIの処理目的を決定している事業者は「PII管理者(PII Controller)」と位置づけられます。

「市場調査のためにアンケートを実施して個人情報を収集し、その結果を分析する事業者」「Webサイト上でのお問い合わせや資料請求の際にPIIを収集する事業者」など、何のためにPIIを処理するのかを決めている事業者はPII管理者に該当します。

• 顧客に対して、個人情報を取り扱う体制をアピールしたい。
• 各国のプライバシーに関する規制に対応したい。
• 自社の個人情報における管理体制の役割と責任を明確にしたい。
• 現状分析やリスク対策の検討を経て、自社の個人情報保護体制を客観視したい。
• 顧客に対する個人情報の対応窓口など、体外的なコミュニケーション手段を整備したい。

組織がPIIを取扱う際には、その組織だけでPII処理が完結しない場合も多くあります。例えば、他の企業と一緒になってイベントを開催する場合に個人情報を取得したり、他の企業にPIIの処理を委託したりする場合などが考えられます。このような場合、どの事業者にどの範囲でPIIの処理に関する責任や権限があるのかを明確にすることが重要です。仮にそれらが曖昧なままPII処理が行われて個人情報漏えい等の事故が発生した場合、本来は負う必要のなかったような責任を負いかねません。ISO27701をもとに、自社の責任や役割がどこまでなのかを明確にすることで、不要なトラブルを回避することに繋がります。また、各関係者の役割が明確になっていることで、結果的にPII主体のプライバシー保護に繋げることができます。

テクノロジーの発展によってPIIを含む情報のやり取りは、容易に国境を超えて行われるようになりました。例えば、国内の企業が、EUの顧客の個人情報を取り扱うようなビジネスをしているケースだと、日本の個人情報保護法の準拠に加えて、EU一般データ保護規則(GDPR)にも準拠する必要があります。
ISO27701の規格では「各国の法域（法規制）によっては～」という言葉が頻出するので、ISO27701の規格に基づいてルールの検討や構築等をしていく中で、自組織に適用される法規制に関してどのような視点から考慮すればいいのかが明確になり、それによって『各国のプライバシー規制に対応するための仕組み』が構築できます。

ISO27701においては、PII管理者から指示を受けてPIIを処理する事業者は「PII処理者(PII Processor)」と位置づけられます。日本でいう業務委託先に当たります。

「PIIを保存するために使っているクラウドファイルストレージを提供している事業者」「企業の代わりに企業の税務処理を行う税理士」などがPII処理者にあたります。一般的な委託先と考えたらわかりやすいです。

例えば、AWSやGCPは、顧客からPIIを預かることが多いため、『顧客（PII管理者）から指示を受けてPIIを処理』しているといえるので、PII処理者に該当します。

• ビジネスをグローバル展開したいが、現状、各国のプライバシー法規制に対応できていない。
• 顧客に対して、自社サービスの個人情報の管理体制をアピールしたい。
• 個人情報の取り扱いに関する、業界特有のガイドラインに対して準拠できる体制を構築したい。
• 万が一、個人情報が消失したときに慌てず対応できるような業務プロセスを構築したい。
• 個人情報の取り扱いに配慮した業務プロセスやシステムを構築したい。

顧客(PII処理者に処理を委託したPII管理者等)にとっては、「PIIを正しく処理してくれる事業者」や「処理におけるプロセスが明確で安心できる事業者」の選定がとても重要となります。
ISO27701認証は国際規格に基づいた第三者認証なので、自社のPII管理体制を世界的にアピールできるという効果があり、顧客に対して安心感を与えることができます。ISO27701認証の取得で、ビジネス契約が円滑に進められることでしょう。

個人情報を取り扱う事業者は、個人情報漏えいや不正な悪用等の多くのリスクを抱えています。
そのようなインシデントが発生しないための業務プロセスが既にある事業者にとっても、まだ明確な個人情報を保護するための業務プロセスがない事業者にとっても、ISO27701は大きな効果を発揮します。

ISO規格なので、比較的組織に適した個人情報保護ルールを作成することができ、既にルールが存在する場合は、あらためてセキュリティレベルの高い体制を構築するための1つのきっかけにすることができます。
それによって、国際的な基準に則って個人情報を処理をしている事業者というお墨付きを得ることができるメリットがあります。