ホーム > お知らせ2006年一覧 > プライバシーマーク制度における欠格性の判断基準の設定と運用について
プライバシーマーク制度における欠格性の判断基準の設定と運用について
平成18年3月31日
1．はじめに
個人情報の保護に関する法律（平成15年5月30日法律第57号）が平成17年4月1日から全面的に施行されたことを踏まえ、企業等における個人情報保護の機運が急速に高まってきたことから、個人情報の取扱いにおける事故等に関する公表等が積極的に行われるようになってきました。
一方、プライバシーマークへの関心も高く、申請を準備している企業等から発生した事故等について、「プライバシーマーク制度設置及び運営要領（10情報開・セ第126号）」（以下「運営要領」という。）第8条の欠格条項の適用に関する問合せが多く寄せられるようになりました。プライバシーマーク制度発足以来、運営要領第8条の欠格条項に該当するか否かの判断は、運営要領第37条に基づく「プライバシーマーク制度委員会（以下「制度委員会」という。）で審議しその結果を踏まえてプライバシーマーク事務局で決定してきましたが、このたび過去の事例を基に判断基準を次のように設けました。
今後はこの基準に基づいて欠格条項に該当するか否かの判断をすることとしますが、事故等の発生原因等は多様なことから、この基準によって必ずしも明確に判断できない事例もあると考えられます。そのような場合には従来のとおり、制度委員会の審議を経て決定することとします。なお、個人情報の取扱いにおける事故等の報告に関しては、こちらを参照してください。
この基準の適用は、平成18年5月1日からとします。
2．欠格条項（運営要領第8条）の改正
欠格性判断基準の設定に伴って、その根拠を明確にするために運営要領第8条を次のとおり改正しました。
また、今回の改正に合わせて事故等を起こし欠格と判断された場合の欠格の期間を2年から1年に改めました。これは、プライバシーマーク制度が審査時点で JIS Q 15001：1999（個人情報保護に関するコンプライアンス・プログラムの要求事項）に適合していることを条件に認定する制度であることから、事故等を踏まえ再発防止措置を講じ従業者に周知徹底するまでに要する期間を経過すれば要件が整うとの認識に基づくものです。
さらに、公序良俗に反するような事業者については、認定によってその活動を認めるような誤解を与えプライバシーマーク制度の信頼を損ねることにもなり兼ねないことから、これに対応するための規定（第8条第5号）を加えることとしました。
| 現行（旧） | 改正後（新） |
|---|---|
| 欠格条項 第8条 次の各号のいずれかに該当する事業者（実質的に同一とみなすべき事業者を含む。）は、プライバシーマーク付与認定を受けることができない。 （1）申請の日前3か月以内にプライバシーマーク付与認定の申請又は第12条第1項の再審査の請求について第11条第1項に規定する否認決定を受けた事業者 （2）申請の日前2年以内に第22条第1項の規定によるプライバシーマーク付与認定の取消し又は第36条第2項の規定によるプライバシーマーク使用契約の解除を受けた事業者 （3）申請の日前2年以内に個人情報の取扱いにおいて個人情報の外部への漏洩その他情報主体の利益の侵害を行った事業者 （4）前条の規定に適合しない事業者 |
欠格条項
第8条 次の各号のいずれかに該当する事業者（実質的に同一とみなすべき事業者を含む。）は、プライバシーマーク付与認定を受けることができない。 （1）申請の日前3か月以内にプライバシーマーク付与認定の申請又は第12条第1項の再審査の請求について第11条第1項に規定する否認決定を受けた事業者 （2）申請の日前1年以内に第22条第1項の規定によるプライバシーマーク付与認定の取消し又は第36条第2項の規定によるプライバシーマーク使用契約の解除を受けた事業者 （3）個人情報の取扱いにおいて発生した個人情報の外部への漏洩その他情報主体の権利利益の侵害により、この要領に基づき別に定める基準により判断された申請を不可とする期間を経過していない事業者 （4）前条の規定に適合しない事業者 （5）役員（法人でない団体で代表者又は管理人の定めのあるものの代表者又は管理人を含む。以下この条において同じ。）のうちに、次のいずれかに該当する者がある事業者 イ 禁錮以上の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から2年を経過しない者 ロ 個人情報の保護に関する法律の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から2年を経過しない者 |
3．欠格性判断基準の設定と運用方法
欠格性は、次の手順で確定します。
- 1．発生した事象とその原因の組合せで一次的に欠格性の基準値を設定
- 発生した事象（漏えい、紛失、破壊、改ざん、不正取得、目的外利用・提供、不正使用、開示・訂正・削除に応じない、利用・提供の拒否に応じない）と原因類型（CPの不適切な運用、内部犯行、外的要因）の組合せで基準値（1、2、3、4、5）を設定します。事象が複数ある場合は基準値の高い方を適用することとします。欠格性が高いほど基準値は大となります。
- 2．その事象による影響を加味して基準値を補正（＋）
- 発生した事象による個人等への影響（被害発生、社会的影響、制度の信頼性失墜）ごとに加算すべき基準値（2、1、0、－1）を設定します。影響が複数にまたがっている場合はその複数分の基準値を補正します。
- 影響の判断は事象の発生又は発見された時点としますが、それ以降に変化が生じた場合は改めて判断します。
- 3．事故後の対応状況により基準値を補正（－/＋）
- 発生した事象への対処（事前、事後を含む）の状況によって、上記（1）と（2）で定まった基準値を次のように補正します。
- －1：他者が利用する前に回収できた、暗号化等不正使用防止措置済み
- ＋1：同様な事象を繰り返し発生させた。
その結果、設定した基準値を次の表に照らし合わせて欠格のレベルを決めて、レベルごとの対応をします。
また、この基準は、認定事業者の起こした事故等にも適用することとします。運営要領第21条では、認定事業者の個人情報の取扱いにおいて問題がある場合には、勧告又は要請することができ、勧告又は要請に従わない場合には第22条第3号により認定の取消し（欠格状態）をすることができると規定しています。しかし、厳重注意や注意の喚起をすることに関しては特に規定していないことから、今後は運営要領を補完するルールとして次の表を適用することとします。
| 欠格 レベル |
欠格レベルごとの対応 | ||
|---|---|---|---|
| 認定事業者 | 申請中事業者 | 申請検討中事業者 | |
| 5以上 | 認定取消し | 否認決定 | 1年間の申請不可 |
| 4 | 勧告・要請文書発行 | 6ヶ月の審査中止 | 6ヶ月の申請不可 |
| 3 | 厳重注意文書発行 | 3ヶ月の審査中止 | 3ヶ月の申請不可 |
| 2 | 注意文書発行 | 1ヶ月の審査中止 | 1ヶ月の申請不可 |
| 1 | 処分なし | 審査続行 | 申請可 |
- 注
- 期間の開始日は事故等の発生日又は発生日が特定できない場合は発見された日とする。
欠格レベルに該当する参考事例
それぞれの欠格レベルに該当する参考事例を次に示します。
| 欠格 レベル |
参考事例 |
|---|---|
| 5 |
|
| 4 |
|
| 3 |
|
| 2 |
|
| 1 |
|