PIAの取組の促進について―PIAの意義と実施⼿順に沿った留意点―（概要）

令和３年６⽉30⽇

Ⅰ．PIAの意義 ①
 PIA （Privacy Impact Assessment、個⼈情報保護評価）は、個⼈情報等の収集を伴う事業の開始や変更の際に、個⼈の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理⼿法（←事業の企画・設計段階から個⼈情報等の保護の観点を考慮するプロセスを事業のライフサイクルに組み込む）。
 PIAの対象範囲は、事業の規模や性質等によっても異なるが、最終的に消費者本⼈の個⼈情報等の保護を含む権利利益の保護にどれだけ資するかが重要。したがって、個⼈情報等の取扱いにより影響を受ける消費者等の個⼈との関係を整理し、場⾯ごとにリスクを適切に評価することが不可⽋。また、委託先等の事業に関わる利害関係者を含めて実施することが望ましい。
 消費者の不安や懸念を払拭するために、個⼈情報保護法の遵守にとどまらない範囲も含めて対応することが重要。
 PIAの実施範囲や取り組む視点は、事業分野毎に共通している部分もあると考えられ、認定個⼈情報保護団体をはじめとした業界団体等が、その事業分野におけるPIAを実施するための基準や対象範囲、評価項⽬等を整理して、必要に応じてその構成員に共有していくことは有効。
また、事業者が実施したPIAの妥当性を第三者の⽴場から評価することは、PIAの信頼性を⾼める上で有効。
1

Ⅰ．PIAの意義 ②
 PIAを実施する主な効果（これらは相互に関連）① 消費者をはじめとする利害関係者からの信頼性の獲得 → 法令遵守やリスクを低減するために適切な対応を実施した旨の証明となり、社会的な信⽤を得ることに資する。また、結果の公表等により、説明責任を果たし透明性を⾼め、消費者・事業者間の情報の⾮対称性の解消にも資する。

② 事業のトータルコストの削減 → 多額のシステム投資や事業の中⽌を決定する前に、必要な対応が可能。結果として、事業のトータルでのコスト負担抑制。

③ 従業者の教育を含む事業者のガバナンスの向上 → 従業者が⾃覚を持つとともに、経営層も個⼈情報等の取扱状況等を把握することで、ガバナンス向上。

2

Ⅱ．PIAの実施⼿順に沿った留意点
 プロセスの⼀例は以下のとおり。ただし、実施⼿法は事業の規模、性質や個⼈情報等の内容等によって様々であり、事業者⾃⾝において、最適な⼿法を考慮していくことが重要。
① 準備→ PIAを実施するかどうかの検討後、体制整備や個⼈情報等のフローの確認等の多⾓的かつ幅広い情報収集・整理を⾏う。

② リスクの特定・評価 → ①の準備をもとに、評価者が個⼈情報等の取扱いに係るリスクを具体的に特定・評価し、重⼤なリスクや対応を要する事項を洗い出す。

③ リスクの低減→ ②で評価者が特定・評価したリスクを低減するための具体的な対策・計画を設計者等が策定し、実効する。

【⼀般的なPIAのプロセス】

3

Ⅱ．PIAの実施⼿順に沿った留意点（１．要否の検討、２．準備）
 個⼈情報等を取り扱う業務の実施もしくは⾒直し等に際して、幅広く、PIAを実施する必要があるのか否かを検討。
 PIAを実施することを決定した場合は、実施責任者の任命、投⼊⼈員数などリソース計画、スケジュールの策定など、実施のための体制整備が必要。準備にあたり、経営層がPIAの必要性を理解・認識した上で、必要なリソースを割り当てることについてコミットすることが重要。
 前提として、収集・保管・移転・利⽤・廃棄等のプロセスごとに、個⼈情報等のフローを整理しておく必要。また、消費者や委託先等の利害関係者を関係主体として組み込むことが重要。
【個⼈情報のフローの整理】

4

Ⅱ．PIAの実施⼿順に沿った留意点（３．リスクの特定）
 整理したフローの段階ごとに、事業者側のオペレーションなどに伴い想定されるリスク要因、消費者・利⽤者側の利⽤⽅法などに伴うリスク要因なども踏まえて、リスクを洗い出し、整理することが求められる。
 リスク整理表を作成することが有効であり、個⼈情報保護法等の法令により求められること、公的機関の指針や業界ルールにより求められること、それ以外に事業の性質上求めることが望ましいこと等の区別を明確にしていくことが望ましい。
【リスク特定の着眼点の例】【リスク整理表のイメージ】 利用目的の通知や同意の取得が本人に分かりやすい形で行われるか。
 本人が、自らの個人情報等がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できるか。
 個人情報等が過剰に収集される可能性がないか。
 本人からの各種請求への対応は滞りなく行われるか。
 権限のない者が個人情報等に不正にアクセスする可能性がないか。
 個人情報等の紛失、盗難又は不正に持ち出される可能性がないか。
 不適正な個人情報等の編集、紐づけ、分析等の利用が行われる可能性がないか。
 不必要に保有し続ける情報がないか。

5

Ⅱ．PIAの実施⼿順に沿った留意点（４．リスクの評価①）
 特定したリスクについて、「影響度」及び「発⽣可能性」の観点で評価を実施。
 リスク評価の基準は、数段階（無視できる、限定的、重⼤、甚⼤等）の基準を設定することが考えられる。
【評価基準の例】

6

Ⅱ．PIAの実施⼿順に沿った留意点（４．リスクの評価②）
 設定した基準に従い、特定した各リスクについて、想定されている個⼈情報の取扱内容等に照らし、影響度及び発⽣可能性を評価。
 評価後、各リスクの分布を総覧的に把握し、対策を講じる優先度等の検討を⾏いやすくするため、影響度と発⽣可能性の⼆軸のリスクマップを作成することが考えられる。
【評価表のイメージ】【リスクマップのイメージ】

7

Ⅱ．PIAの実施⼿順に沿った留意点（５．リスクへの対応①）
 評価者が評価したリスクについて、例えば、以下のように設計者等が対応⽅針を決定。
 影響度が⾼く、発⽣可能性も⾼い場合は、事業の前提条件の変更などリスクを回避。
 影響度は低いものの、発⽣可能性が⾼い場合、もしくは影響度は⾼いものの、発⽣可能性が低い場合は、適切な対策を実施することでリスクを低減。
 影響度が低く、発⽣可能性も低い場合は、追加的な対策や特段の⾒直しは⾏わず、そのままリスクを保有。
【対応⽅針の例】

8

Ⅱ．PIAの実施⼿順に沿った留意点（５．リスクへの対応②）
 対応⽅針を踏まえ、設計者等は具体的な対応策を検討。
 対応策を踏まえて、影響度、発⽣可能性を再評価した上でマップを修正し、残存リスクについて、さらに低減等する必要があると判断した場合は、更なる対応策を検討することも考えられる。

【対応策の例】【修正後のリスクマップのイメージ】

9

Ⅱ．PIAの実施⼿順に沿った留意点（６．PIA報告書のとりまとめ等）

 PIAの実施結果等について、報告書としてとりまとめ、事業者の経営層への報告を⾏うことにと
どまらず、対外公表することは、消費者をはじめとするステークホルダーへの説明責任と透明性の観点から有効。
 もっとも、対外公表に際して、実施結果等の詳細まで提供する必要性は乏しく、むしろ、報告書のサマリーを作成し、簡潔でより分かりやすい形で公表することが有効。
 報告書には、個⼈情報等の取扱いのフロー、当該フローのうちPIAの実施範囲、実施⽅法、特定したリスク、当該リスクの評価結果、対応策等について記載することが考えられる。
 事案に応じて、報告書の内容について、第三者機関のチェックを経て、信頼性を⾼めることも有効。その際、特に消費者団体などの消費者を代表する⽴場にある者からの確認を得ることが重要。

10