JIS Q 15001
JIS Q 15001(個人情報保護マネジメントシステム ― 要求事項)は、組織が業務上取り扱う個人情報を安全で適切に管理するための標準となるべく、一般財団法人日本規格協会の原案によって策定された日本産業規格の一つ。初版は1999年に制定され、2006年・2017年の改正を経て、最新版は2023年に制定された「JIS Q 15001:2023」である。
この規格では、個人情報の保護に関する法律(以下「個人情報保護法」という。)に定められる義務の遵守はもちろんのこと、組織(個人情報取扱事業者)がその事業の用に供している個人情報や個人データを把握し、個人情報保護のための資源を確保すること、その体制を定期的に見直し改善すること、そしてこれらを実践するための一連の要素(個人情報保護マネジメントシステム)をもつことなどを求めている。
JIS Q 15001は、2005年の個人情報保護法の施行に先立ち、1999年に海外での先例にならって作られた、個人情報保護におけるマネジメントシステム規格である。媒体の大容量化や通信の高速化など、情報通信を取り巻く環境の変化に合わせて、個人情報保護法と相互に影響しながら改正されている。
規格の要求事項を読み解く上では、要求事項ごとに、個人情報保護法と同じ概念か、個人情報保護法に上乗せした概念か、個人情報保護法には全く記載のない概念かを区別しながら眺めることが重要である。
JIS Q 15001:2017は、マネジメントシステム本文、要求事項とその管理策について示した附属書A、管理策に対する補足を記した附属書B、安全管理措置に対する管理策を記した附属書C、2006年版との新旧対照表である附属書Dの5部構成になっている。本節では附属書Aで求められる要求事項について解説する。
JIS Q 15001は、前述を含む内容を従業員に教育し、周知させることを求めている。
また、組織内より個人情報保護監査責任者を指名し、定期的または必要に応じ、個人情報保護マネジメントシステムの運営体制がJIS Q 15001に適合しているかどうかについて内部監査すべきであると定めている。監査だけでなく、運用の確認(パフォーマンス評価)などによって改善すべき点が発見されれば、トップマネジメントによって個人情報保護マネジメントシステムの見直しを行い、必要ならば改訂すること(マネジメントレビュー)を要求している。
個人情報保護法との整合性が図られた規格となっており、個人情報保護法で定義される用語は、そのままJIS Q 15001でも同一の用語として使用されるが、その扱いが異なるものも存在する。たとえば「本人から直接書面によって取得する個人情報」については、個人情報保護法では「その利用目的を明示することだけ」を求めているのに対し、JIS Q 15001では、「利用目的を明示し、同意を得ることまで」を求めており、さらに高い水準での保護施策が必要とされる。また、ここでの書面とは、一般的には紙面上の媒体であると思われがちであるが、紙を使わずにやりとりされる電子メールはもちろんのこと、ウェブサイト上に表示されるデータも含めて書面である。つまり、個人情報をWeb上の入力フォームより取得する場合、個人情報保護法では、認知しやすいように利用目的を明示するだけで要件を満たせるが、JIS Q 15001では、明示したうえで「同意して送信」ボタンを押させるなどの対応が必要となる。