JIS Q 15001:2017｜Pマーク　ISMSのコンサル　取得は
スリープロサポート株式会社

Pマークコンサルタント：HOME ＞JIS Q 15001:2006 ＞ JIS Q 15001規格解説 3.4.2.3〜3.4.2.4

　JIS Q 15001:2006　規格解説　項番3.4.2.3〜3.4.2.4

　企業が個人情報を取得する際は様々なルールがあります。適切な取得は大前提であり、その他にも通知や同意のルールなど細かなルールが存在します。3.4.2.3及び3.4.2.2.4では、センシティブ情報(機微な情報）の取り扱いの制限と、通知（明示）と同意について規定しています。
　企業はセンシティブ情報については極力取得しないように心がけねばなりません。個人の特殊なプライバシー（人に知られたら嫌な情報）を保有しているとなると、それだけで漏えいした場合のリスクは非常に高くなります。また、漏えいした場合を想定して保護管理する必要があり、通常管理よりも厳重な管理が求められ企業負担も増大します。企業の様々なリスクを低減する為にも、何が機微な情報になるのか確認して、個人情報の取得内容は必要最低限に抑えるように徹底しましょう。

※引用：JIS Q 15001:2006

【解説】
　「特定の機微な情報」(センシティブ情報）とは、個人の社会生活に大きく影響する可能性のある情報です。3.4.2.3では、その機微な情報を明確にし、例外（明示的な本人の同意がある場合及び3.4.2.6 のただし書きa)〜d) のいずれかに該当する場合）以外は「取得」「利用」「提供」を原則禁止しています。また、a)〜e)以外でも「機微な個人情報」と判断すれば同様に禁止しましょう。Pマーク審査時には、例外が発生した場合の、ただし書きの承認手順や、本人から同意を得る手順を確認されます。

※引用：JIS Q 15001:2006

【解説】
　3.2.2.4は、個人情報を直接本人から収集する際の「通知（明示）および同意」に関して規程しています。要求事項には書面の定義もありますのでwebからの取得も書面に含まれるので注意が必要です。また「明示」とありますので、本人が明確に確認した証拠が必要になります。本人から直接書面で取得する場合は、ただし書きa)〜h)を明示しなければなりませんが、特にd)「提供」に関する通知は、事業者が個人情報の提供を行うことに関して本人が直接関与しないケースが多いため、明確に通知する必要があります。 Pマークの審査時には、本人から直接書面で個人情報を取得する手順が規定されているかどうかの確認が入ります。