JIS Q 15001
個人情報を保有する組織は、これを安全に管理し、紛失・破壊・改竄・漏洩など個人情報を損ない、本人に不利益を与えることのないよう処置を講じなくてはならない。
組織は関与している個人情報の取扱いを、業務上、外部に委託する場合がありうる。その際にも個人情報を受け取る委託先が同様の管理を行えるか選定し、監督しなくてはならない。
組織は、まず自らが事業の用に供しているあらゆる個人情報を特定し、これを台帳管理することになる。台帳は、定期的または随時に更新することになる。ただし、すべての個人情報を台帳に記載する必要はない。リスクに応じて、台帳記載を省くことは許容される。
次に、特定した個人情報に対してリスク分析(個人情報リスクアセスメント)を行う。リスク分析については、個人情報の取扱いの局面ごと(取得、利用、保管、移送、委託、提供、廃棄のそれぞれの局面ごと)に個人情報保護リスクを認識する。そして、リスクへの対応を立案する。リスク対策は、当然ながら当該組織としてルール化(安全管理措置)をすることになる。これらのリスクを分析、対策を講じることとした記録、実際にそれを運用した記録を作成し、保存することも必要となる。
また、リスクに対応し分析した結果でも、残存リスクが残る。これも記録管理が必要である。
個人情報保護法
プライバシーマーク