プライバシーマーク取得について

質問

質問します。
私の会社は4県にまたがって、人材派遣を中心に業務を行っている会社です。 最近Ｐマークを取得する動きがあるのですが、勤務している会社は「個人情報」を全く大切にしておらず、受付の女性が、派遣社員（２千名ほど在籍しています）の給与・社会保険情報・履歴書一式を管理し、お客様が来られたら、それらの書類が丸見え状態です。 受付の女性は、総務部長に「個人情報をもっと重要に考えて下さい！」と伝えたそうですが、「人手が足りてないから、受付と総務業務は一緒にしてもらわないと困る」と言われたそうです。また、「受付から中が見えないように、仕切りをして、インターホンで対応するよう机を配置してもらえないか？？」とお願いしたところ、総務部長に「お客様が来たら、すぐに立ち上がってお辞儀をしないといけないから、仕切りも出来ない」と言われたそうです。受付の女性は、自分の不注意で個人情報が漏れる事を怖がっております。 長くなりましたが質問です。
１．このような会社がＰマークを取得出来るのか？？２．もし取得出来た場合、会社の個人情報に対する実態を密告したりできるのでしょうか？？
ご回答宜しくお願いいたします。

回答No.3

woody-club

プライバシーマークは、マネジメントシステムの一種です。
マネジメントシステムは、経営(企業)理念の一部として運用されます。
「個人情報を保護する」という理念が経営陣にあるのであれば、Pマークを取得することは可能だと思います。
Pマークは、次のようなことで取得することをお勧めします。
(あくまでも案であり、推奨です)
1.企業として個人情報保護法を遵守しなければならない
　　どのようにしたら法を遵守できるか？
2.規定を作り、企業として個人情報を保護しよう
　　どのようにしたら規定を作ることができるか？
3.JIS規格であるPマークを参考に規定を作ろう
4.作成した規定で充分な個人情報保護が可能だろうか、社外の人に検証して貰おう
5.Pマーク認証を取得するための審査を受けて検証して貰う
これで、JIS規格であるPマークの要求事項を満たしていれば、Pマークを取得することができます。
要するに「現状のままでは個人情報を保護することは出来ない」Pマーク取得をきっかけに「現状を変えよう」という理念を経営陣が持っていて従業員に周知・徹底して実行したらPマークは取得でます。

「実態を密告」云々とありますが、Pマーク取得準備の際に「実態」を検証して「NG」であれば、それを規定に反映するようにしてはいかがでしょうか。
Pマークを取得した後にその規定を守っていないのであれば、内部監査や日常点検で発見し、罰則規定に沿うことになると思います。
(Pマークでは、罰則を設けることになっています)

以上、参考まで

回答No.2

oklikl

以前Ｐマークの管理責任者をしていました。

＞１．このような会社がＰマークを取得出来るのか？？

やろうと思えば出来ます。
現状わかりませんが、お客様の目で見えるだけで漏えいにはなりません。
受付員が目の前にいるのに書類を盗んだり、コピーしたりも出来ません。
業務上やむを得ない場合、業務終了時に施錠管理できる引出等に整理すればＯＫじゃないかな。
私が前にいた会社なんて、コンサルの言う通り書類作って提出して、コンサルと打ち合わせた通りの面接して、指摘事項への改善書類提出してるだけでした。
部外者の通るところや個人情報があるところには防犯カメラ付けてれば大体ＯＫでした。

＞２．もし取得出来た場合、会社の個人情報に対する実態を密告したりできるのでしょうか？？

実は私も探しています。ｗ
見つかればいいですね。

回答No.1

g_liar

僕も詳しいわけではないのですけど、うちの会社のＰマーク担当者に聞いた話です。
まず、個人情報が記載されている書類は鍵のかかるキャビネットなどに保管することを求められます。
鍵を持っているのは担当者と責任者で、必要な書類だけをキャビネットから取り出して使用する…という運用になります。
第三者の目にとまる場所においておくなどとんでもないです。

それから、社外の人が自由に出入りできるエリア（受付，応接室，トイレ…）と、社員しか入れないエリアをきっちり分けることを求められます。
必然的にパーティションで区切って、お客様にはインターホンや内線電話で呼び出していただくことになります。

またエリア間の行き来は、我が社もですが、いくつか行ったことがある会社でもＩＣカードキーなどを使って入退室を管理しています。
第三者が自由に入れないようにし、個人情報の漏洩を防ぐためと、万が一漏洩した時にどこから（誰が）持ち出したかをトレースするためです。

うちもそうでしたが、個人情報の取り扱いも含めて社内体制や個人個人の意識を根本から変える必要があると思います。

僕の感覚では、今のままでＰマークが取得できるとは考えにくいですが、万が一取得できた場合に、ただ管理がいい加減というだけで内部告発するルートは知りません。
（実際に漏洩して、それを隠蔽してたとなると話は別ですが）