こんにちは。

みなさんGWはどのように過ごされましたか？今年はお出かけ日和な日が多かったですね。

さて、皆さんプライバシーマーク取得に取り組むに当たって、「役割」はどのように決めていますか？適当？経験者？現状で少し手に余裕のあるヒト？いろいろ選定基準はあると思いますが、悩ましいですよね。

そこで、今回は「資源、役割、責任及び権限」についてお話していきます。

資源って？

ここで言う「資源」とは、会社の資金はもちろん、人員や時間のことも指します。

個人情報保護マネジメントシステム構築のためには、お金と時間とヒトが必要です。(極力お金をかけすぎないことが望ましいですが･･･)

プライバシーマークの準備をするにあたって、担当者の時間を大きく圧迫してしまうことになります。また、ご自身の業務と兼任となれば、準備時間に業務が停滞してしまうことを考えると、負担は大きくなるでしょう。

担当者だけでなく、全社での取り組みとなりますので、個人情報洗い出しの手間、リスクヒアリングや教育、監査などなど･･･要所要所で時間がとられてしまいます。また、資源はそのコストも考慮する必要があります。

役割を割り当てたいのだけれど、どうしたら良いのかわからない

プライバシーマークの役職には下記のものがあります。

個人情報保護管理者

個人情報保護管理者は新卒社員や新人ではなく、会社の業務等を把握し、ある程度周りに意見を言え、かつ社外へ責任を持てる人物が望ましいです。従業員数が少ない会社ですと、社長さんがこの役職に就かれるケースも珍しくありません。

内部監査責任者

内部監査責任者は、かならず社内から指名しなければなりません。こちらも、同上で新卒社員や新人社員は避けていただきたい役職です。社内の業務を把握し、公平な目線で見ることができ、かつ遠慮することなく意見を発することができるような人物が望ましいです。

教育責任者

教育責任者は、教育計画を定め、従業員へ教育のアナウンスをする人物です。こちらは特に制限はありませんが、マネジメントシステムや個人情報の取扱い方を理解している人物が望ましいです。個人情報保護管理者がそのまま兼任しているケースが多いように感じます。

(教育参考記事：「個人情報保護に対する意識」を従業員に教育するには？)

事務局員

事務局員も特に人物像的な制限はありません。個人情報保護管理者の補助をする人員ですので、この人がいればスムーズだと思える人物をチョイスすることが望ましいです。

監査員

最後に、監査員に関しては、公平な目線を持ち、社内で意見を言える人物が望ましいです。自分の部署や親しい人の監査をした時に、贔屓目に見てしまうような人物は望ましくありません。

※注意していただきたい点として、個人情報保護管理者と、内部監査責任者は絶対に兼任することが出来ないという点があります。どちらの役職も教育責任者は兼任が出来ますが、個人情報保護管理者と内部監査責任者は対等な立場でいなければならないため、兼任は不可となっています。

責任って何のこと？権限って何？

責任・権限とは、個人情報の管理と、個人情報を利用する者の権限のことを指します。

例えば、個人情報保護管理者は、個人情報マネジメントシステムを理解し、実施・運用をする責任があります。また、例えば、ある情報にアクセス制御をかけている場合、アクセス権限を持つ者は、マネージャークラスと限定したり、特定の顧客の情報にアクセスできるのは、一部の業務関係者のみにするとします。このように、誰彼が好きにアクセスし、利用できるようにするのではなく、権限も明確にする必要があります。

権限と責任を明確にすることで、個人情報の安全管理の方法も明確にすることができます。

以上が「資源、役割、責任及び権限」についてでした。

マネジメント体制を作るうえでも、重要なところですので、ふんわりとでも理解していただけたら幸いです。

では～。