プライバシー影響評価
システムライフサイクルを考慮すれば、開発段階でPIAを実施し、その後の運用段階でPマーク制度やISMS制度を活用することにより、各制度の特長を補完することができる。このため、より効果的なプライバシー保護策を実施することができる。
個人情報保護法制とPIAとの関係については、次の点を指摘することができる。すなわち、民間部門を対象とした個人情報保護法では、5,000人を超える個人情報を事業に利用する事業者(個人情報取扱事業者)に対してのみ個人情報を取り扱う上での義務を定めており、また、保護対象も個人の識別が可能な情報(個人情報)のみに限定している。しかしながら、実社会において、個人の識別が可能でない情報であっても他人に知られたくないプライバシー情報は数多く存在するものであり、また、かかるプライバシー情報を含めた情報の漏えいがひとたび発生した場合、「個人情報取扱事業者」かどうかに関係なく、被害者は損害賠償請求訴訟を起こすことが考えられる。つまり、個人情報保護法を遵守していればリスクが回避されるものでもなく、この点で、より広範に、かつ、より深くプライバシーに関する影響評価が可能なPIAを実施することは、リスク回避において有効である。
PIA報告書の様式は組織によりカスタマイズが可能だが、最低限以下の項目についての記載が必要である。
対象システムの概要とPIAを実施した範囲
PIA実施にあたって必要とされる専門的な知識と、関与する独立第三者機関の位置づけ
PIA報告書に基づいて行われる意思決定プロセス
対象システムに係るプライバシーポリシーおよび関連法令、規則、標準等
対象システムに係るプライバシーリスク、PIAの過程で認識されたその他のリスク
リスクを緩和する代替策
報告書を受領し、PIA結果と提案事項に責任を持つ経営幹部の識別