前回のブログでは本人にアクセスするということがどういったことなのについてお話しました。

今回は本人にアクセスする際にはどういったことを会社がしなければならないかをお話したいと思います。

本人にアクセスしたい場合はまずは利用目的の変更同様社内でその必要性が本当にあるかどうかを検討し、承認を得る必要があります。

これまで同意を得ていない人に連絡を入れようとするわけですから、きちんと会社として正当性があるかどうかを検討する必要がまずはあります。

その承認を得た上で今度は本人へ連絡を入れ、同意をもらいます。
流れとして一度は連絡をしなければ同意を得ることもできませんので同意を得るための連絡は事前の同意なしに行っても構わないということになります。(実際そうしなえれば同意を得れませんので。。。。)

同意を得る際ですが、規格の3.4.2.4のa)~f)の事項と同等以上の内容を本人へ示す必要があります。
基本的に同意を得る場合の必須事項は規格の3.4.2.4を原則とします。

ただ、今回の場合は必ず取得の方法を通知する必要があります。

理由としては本人からすればいきなり見ず知らずの企業からあなたと接触したいので同意をしてください。と連絡が入るわけです。企業がどうやってその本人の個人情報を取得したのかを通知しなければ、本人からすれば気味が悪くて仕方ないでしょうし、同意をする上での重要な基準にもつながってくるかと思います。

このような手順をこなして初めて本人にアクセス(連絡)することが出来る。ということになります。

なかなか難しい規格の事項であります。そしてなかなか企業としてそういった事象が発生することはないかとも思います。ですが、プライバシーマークの規格の一角を担う事項でもありますのでどういったことなのかを理解してもらうことがプライバシーマークの取得の中では必要になってきます。