システムアナリスト平成13年問34：情報セキュリティアドミニストレータ試験対策

　ア　本人に関するデータの誤りについて異議を申し立てる権利があ
　　る。

　個人情報保護法案の基本部分となったOECD個人情報保護８原則は非常に重要です。

　各原則がどのようなことを意味しているか理解しておきましょう。

　OECD（経済協力開発機構）が1980年にプライバシーおよびその他の関連の問題に
　関する討議の中で個人情報保護のガイドラインを発表しました。

　◇OECD個人情報保護８原則　とは。。。

　１．収集制限の原則
　　個人データの収集には制限を設けるべきであり、いかなる個人デ
　　ータも、適法かつ公正な手段によって、かつ適当な場合には、デ
　　ータ主体に知らしめ又は同意を得た上で、収集されるべきである。

　２．データ内容の原則
　　個人データは、その利用目的に沿ったものであるべきであり、か
　　つ利用目的に必要な範囲内で正確、完全であり最新なものに保た
　　れなければならない。

　３．目的明確化の原則
　　個人データの収集目的は、収集時よりも遅くない時点において明
　　確化されなければならず、その後のデータの利用は、当該収集目
　　的の達成又は当該収集目的に矛盾しないでかつ、目的の変更毎に
　　明確化された他の目的の達成に限定されるべきである。

　４．利用制限の原則
　　個人データの収集目的は、収集時よりも遅くない時点において明
　　確化されなければならず、その後のデータの利用は、当該収集目
　　的の達成又は当該収集目的に矛盾しないでかつ、目的の変更毎に
　　明確化された他の目的の達成に限定されるべきである。
　　（a） データ主体の同意がある場合、又は、
　　（b） 法律の規定による場合

　５．安全保護の原則
　　個人データは、その紛失又は不正なアクセス、破壊、使用、修正、
　　開示等の危険に対し、合理的な安全保護措置により保護されなけ
　　ればならない。

　６．公開の原則
　　個人データに係わる開発、運用及び政策については、一般的な公
　　開の政策が取られなければならない。個人データの存在、性質及
　　びその主要な利用目的とともにデータ管理者の識別、通常の住所
　　をはっきりさせるための手段が容易に利用できなければならない。

　７．個人参加の原則
　　個人は次の権利を有する。
　　（a）データ管理者が自己に関するデータを有しているか否かにつ
　　　　いて、データ管理者又はその他の者から確認を得ること
　　（b）自己に関するデータを、
　　　（i）合理的な期間内に、
　　　（ii）もし必要なら、過度にならない費用で、
　　　（iii）合理的な方法で、かつ、
　　　（iv）自己に分かりやすい形で、自己に知らしめられること。
　　（c）自己に知らしめられること。
　　（d）自己に関するデータに対して異議を申し立てること、及びそ
　　　　の異議が認められた場合には、そのデータを消去、修正、完
　　　　全化、補正させること。

　８．責任の原則
　　データ管理者は、上記の諸原則を実施するための措置に従う責任
　　を有する。

【参考資料】
　プライバシー保護と個人データの国際流通についてのガイドライン
　に関する　OECD理事会勧告（1980年9月）（仮訳）
　http://www.mofa.go.jp/mofaj/gaiko/oecd/privacy.html

　データ管理者の要請に対して本人に関するデータを提供する義務は
　ありません。

　企業の情報資産の中で、個人情報が重要度の高い情報資産の一つで
　あることは、昨今のセキュリティ事件を通して、みなさんご存知だ
　と思います。

　情報セキュリティアドミニストレータとして、
　OECD 個人情報保護８原則の理解は避けて通れません。

　一気に全て理解することは、無理ですから、少しずつでも結構ですので、
　理解していくようにしましょう。経営陣に自分の言葉で説明できると確信を
　持てるようになれれば本物です。