プライバシーマークの個人情報管理台帳について

質問

当社は１０名の印刷会社です。
この度、取引先からの要請でプライバシーマークを取得する事になりました。
取得に向けコンサルティング会社と契約し作業を始めたところですがわからない事があり質問させていただきます。

個人情報管理台帳を作成して下さいと指示があり、フォーマットをいただいたのですが、そもそも記載する保護すべき個人情報がいまいちよくわかりません。
コンサルティング会社の担当者に聞いたところ、氏名が入ってるものはすべてですとだけしか教えてもらえませんでした。

そこでいくつかの例を書きますので教えていただけると助かります。

(1)事務所に保管してある、印刷機器の設計図や購入や修理時の見積書、点検報告書等に担当者の会社名と名前が書いてあるのですが、台帳に記載が必要でしょうか？
また、毎月点検している場合など同じ担当者で何枚もあるのですが、件数としては延べ人数で数えるのでしょうか？

(2)お客様からお預かりした印刷データ内(２頁ほどの冊子の印刷)に対談のコーナーがあり、対談者２名の名前が入っていたのですが、これも保護の対象で台帳に記載が必要でしょうか？
記載対象の場合、お預かりしたデータが１つの場合は件数は１件でしょうか？データ内に２名分の名前があるので２件でしょうか？
また、当社で印刷できない場合は外注先にお願いするのですが、データの中身を確認せずそのまま外注先に渡し印刷発送までしてもらうケースがあるのですが、その場合個人情報が入っているかどうか預かった時点では確認できません。そういった場合も念のため件数に含めた方がよろしいのでしょうか？

(3)社内のみの報告書（会議の議事録や稟議書、始末書等）も台帳に記載が必要でしょうか？
必要な場合は、１枚ごとに個人情報の数を数えないとダメでしょうか？

まだ始めたばかりで自分自身勉強不足の上、そもそもの保護すべき個人情報の意味を取り違えているような気がし、わかりにくい質問かもしれませんがとても困っていますので、お力を貸していただければと思います。

よろしくお願いします。

回答No.1

hue2011

保護すべき個人情報の意味を取り違えているような気がしていると思うなら、それが正しいです。いくらでも本はありますから勉強しなおしてください。

個人情報は、個人の情報です。だから議事録や稟議書を個人情報台帳に載せるのは異常でしょう。
データがいくつあるから何件でしょうか、という見方も変でしょう。

それと、保護する視点は、自分の社の関係だけですよ。お客さんから預かった資料に知らない人の名前が何人書かれていても、関与がないなら、ただのごみデータです。

そういう考え方をしたら、新聞を読むだけでそこに掲載されている人物名を全部書き写さなければならないことになるでしょう。変ですよ。

名刺を１枚もらったらそれはプライバシーマークの管理情報になります。その人が何度訪ねてきても一人です。もちろん、打ち合わせや会議をしたときの記録は参加した複数人の行動ですから記録しますけど、もともと業務資料なんだから個人情報保護とは直結しない守秘情報でしょう。プライバシーマークのレベルの話ではありません。

個人情報なんだから、会社とかかわりのあった人の氏名の全部が対象です。その人に対し、守秘を心掛ける台帳なんです。ひとりはひとりです。

お礼

保護すべき個人情報、なかなか難しいですね。。。

ご指摘いただいた、「掲載されている人物名を全部書き写さなければならない」は私自身も不可能だと思ったのですが、コンサルに相談したら大まかでいいから件数に入れて下さいと言われ困惑した次第です。今回の例では２名でしたが実際は何十ページにもわたるものも多いですし、ならお客様から預かった印刷データの数で何件として管理できれば現実的かなと思い質問させていただきましたがそれも変という事でしたので、意味をよく考えてみたいと思います。

また、議事録や稟議書、見積書にのる名前は確かに個人情報ですが、利用目的の一覧にはなくどうしたものかと思っていたのですが、「個人情報保護とは直結しない守秘情報」という言葉でとても納得できました。

提出期限までは残りわずかですが、プライバシーマーク制度の意味をしっかり考え勉強してみたいと思います。

ご回答ありがとうございました。