プライバシーマーク(JIS Q 15001)でアカウント管理について求められること

プライバシーマークの審査で使われる JIPDEC の「構築・運用指針」(JIS Q 15001:2023 準拠 ver1.0)は、アカウントという語を使っていません。求めているのは 3 つです。個人情報の台帳に「アクセス権を有する者」を書いて維持すること、従業者への「必要かつ適切な監督」、委託先の選定基準と契約に入れる 8 つの事項です。アカウントの管理に置き換えると、使える人の一覧、記録、契約の条項の 3 つになります。

指針とはどの文書か

指針は、プライバシーマーク制度基本綱領 7 条 4 項に定める文書で、2023 年 12 月 25 日に制定され、2024 年 10 月 1 日から施行されています。要求事項は J から始まる項番と表で書かれ、表の「項目」が実施すべき内容、「留意事項」が補足です。対象は事業の種類や規模を問わず全ての事業者で、従業者の個人情報も「事業の用に供している個人情報」に含まれます。

台帳の「アクセス権を有する者」には何を書くか

J.3.1.1(個人情報の特定)は、個人情報を管理する台帳を整備し、少なくとも次の項目を含めるよう求めています。

• 個人情報の項目
• 利用目的
• 保管場所
• 保管方法
• アクセス権を有する者
• 利用期限
• 保管期限
• 管理する個人情報の件数(概数でも可)

台帳は少なくとも年 1 回、必要に応じて適宜確認し、最新の状態で維持します。留意事項は、台帳の整備は取扱い状況を把握するための手段であって目的ではない、と書いています。個人情報保護法の通則編も、別添の組織的安全管理措置(3)で、取扱状況を確認する手段の例に「アクセス権を有する者」の明確化を挙げています。

「アクセス権を有する者」を SaaS にある個人情報に当てはめると、その保管場所に入れる人の一覧です。個人アカウントなら、サービスの利用者一覧がそのまま答えになります。共有アカウント(1 つの ID を複数の人が使う状態)では、ID の名前を書いても誰が入れるかが分かりません。指針は、氏名で書くか部署や役割で書くかまでは決めていません。ただ共有 ID は、使う人の氏名を台帳か、台帳から参照する一覧に書いておかないと、誰が入れるかに答えられません。担当者が代わるたびに、年 1 回を待たずに直します。台帳と一覧の分け方は個人情報の管理台帳に、アカウントとアクセス権をどこまで書くかにあります。

J.3.1.3(個人情報保護リスクアセスメント。どこにどんな危険があるかの見積もり)の留意事項は、リスクを特定する観点の 1 つに「個人情報に係る情報処理施設及び個人情報に係る情報システム」を挙げています。SaaS のアカウントを誰が持っているかは、この観点で洗い出す対象に入ります。

従業者の監督は何を求めるか

J.9.3(従業者の監督)の項目は 1 つで、「個人データを取り扱う従業者に対して必要かつ適切な監督を行うこと」です。従業者には、正社員のほか契約社員、パート、アルバイト、派遣社員、役員(取締役など)が含まれます。監督の中身は参照項番の側にあります。J.9.3 が挙げるのは J.2.4、J.4.2(力量)、J.4.5.4(内部規程)です。J.4.2 は、個人情報保護に影響する業務を行う人に必要な能力を決め、身につけさせ、記録することを求めます。その処置には J.4.3(認識)を満たすことも含まれるため、J.4.3 も関わります。J.4.3 は、少なくとも年 1 回の教育の手順を内部規程にし、違反した際に予想される結果を認識させることを求めます。J.4.5.4 は、規程に含める 15 の事項を挙げています。その g) は「個人情報の適正管理(データ内容の正確性の確保等、安全管理措置、従業者の監督、委託先の監督)に関する規定」です。o) は「内部規程の違反に関する罰則の規定」です。

アカウントに置き換えると、内部規程に ID とパスワードの扱いを書くことになります。自分の ID を他の人に使わせないこと、共有 ID を使うときの記録の付け方などです。それを年 1 回の教育で伝え、違反したときの扱いを決めておきます。監督の記録は、教育の記録と規程そのものです。

委託先には何を求めるか

J.9.4(委託先の監督)は 6 つの項目からなります。委託先選定基準を確立して選ぶこと、利用目的の範囲内で契約すること、次の 8 事項を盛り込んだ契約を結ぶことの 3 つが前半です。後半は、全ての委託先を漏れなく特定すること、契約書を個人データの保有期間にわたって保存すること、契約に基づき監督することです。選定基準には、次の 2 つを含めます。委託する業務について自社と同等以上の保護水準にあること。契約に規定する事項に対応できることを、客観的に確認できることです。

置き換えの列は指針にある言葉ではないので、契約の文言は弁護士の確認を受けてください。個人情報保護法の側から見た監督の 3 点は委託先の監督とはにあります。

何を用意すれば説明できるか

台帳の「アクセス権を有する者」(J.3.1.1)については、SaaS ごとに入れる人の一覧を用意し、台帳から参照できるようにします。共有 ID は、使う人の氏名をその一覧に書きます。年 1 回以上の確認の記録も残します。

従業者の監督(J.9.3、J.4.2、J.4.3、J.4.5.4)で用意するのは、ID とパスワードの扱いを書いた内部規程と、年 1 回の教育の記録、違反したときの扱いを決めた文書です。

委託先の監督(J.9.4)で用意するのは、選定基準、8 事項を含む契約書、委託先の一覧、担当者の報告と利用の記録です。

3 つとも、審査で見せる文書と、日々の運用で更新する一覧に分かれます。文書は一度作れば済みますが、一覧は担当者の交代のたびに直すものなので、更新のきっかけ(入退社、異動、契約の開始と終了)を決めておくと維持できます。使える人の一覧・使った人の記録・外す手順は他の法令や指針とも共通で、法令・ガイドラインとアカウント管理にまとめています。