個人情報の誤廃棄について幾つかニュースになっています。
流出ではないために、2次被害などは発生しないと説明されています。一見、何も問題ないように思われますが、そこには大きな問題が隠されている可能性があります。

まずは、法令に照らし合わせみましょう。以下は個人情報保護法からの抜粋です。

（安全管理措置）
第二十条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人 データの安全管理のために必要かつ適切な措置を講じなければならない。

誤廃棄は、滅失に当たるのではないかという疑問がわきます。ただ、これは全損した場合とされていますので、元データがしっかりしていれば、滅失には該当しません。ニュース報道では詳細まではわからないことが多く、また、元データがなくなってしまっていると、事業者側で本人確認ができないため、本人側にて証拠を用意する必要が出てきます。非常にやっかいな話になってきます。(年金問題などは、このような落とし穴に陥っているように思われます)

次に、そもそもの管理体制がどうなっているのだろうか？という素朴な疑問についてです。
個人情報保護法においては、データの保存期限については触れられていません。(金融系などの業界によっては、保存年限を定めた法令に則っている場合もあります。)　法令上の制約がない場合は、事業者自身が決めることとなります。
個人情報は、「取得～利用～廃棄」のライフサイクルを決めることが大切です。そして、それぞれのフェーズにて、なんらかの承認、そして、その記録がなされていることが必要です。
誤廃棄は、"ライフサイクルを定めないまま取得している" と、"廃棄の記録を取らない" という問題ということになります。いずれも管理が杜撰ということには変わりありません。

取得～利用　については、大きな注意を払われることが多いのですが、「使った後は忘れてしまう」というのは人が行う限りは消えない問題かもしれません。特に、個人情報は、いわば他人の情報ですので、後回しにしているうちに忘れやすいのも事実です。
マイクロソフト社内においては、この問題を解決するために、個人情報取り扱いのシステムから後通知が来るようになっています。その通知は、その利用者の上長にも届きます。もちろん、取り扱いの記録なども管理されています。私を含めた管理者側も定期的にチェックをしています。これにより、使った後の放置ということを防いでいます。システムと、人によるマネージメントの両建てでようやく達成できています。いずれ、利用者側の日常意識がより高くなれば、人手の部分は不要になるかもしれませんし、不要にしていくことが目標でもあります。

事務局長　久保田

2005年4月に個人情報保護法が全面施行され、もう約 2 年半経過したことになります。
法律施行日前後時期における大きな漏えい事故や、法令順守のためのコストの話などに加え、世間の中における過剰反応もたびたび話題となってきました。

法律ができたから個人のプライバシーに配慮しなければならないということではなく、法律ができる前から、(本来は) 当たり前のように配慮されてしかるべき事柄でした。ただしかし、それの規範となるものがローカルルールや慣習であったという点において、基準化されない、若しくは明文化されていないルールとして守られにくい背景となっていたことは事実です。

過剰反応、つまり、積極的未利用についてはどうでしょうか。確かに、利用しない情報は取得しないという観点は間違っていないでしょう。しかしながら、利用されるべき情報についても、法律の誤解釈などもあって、取得しないという状況、または、管理責任が発生することに対する嫌忌感などが起きているように見受けられます。

一般的に、法律は読解するのが難しいです。そして、それを実運用にあてはめることは、法務の仕事している人間でも、時には難解な作業となります。しかし、社会が成熟していくには、ひとつひとつ吸収し、一般化させていくことを継続しなければいけません。一般化、普遍化させることで次のステージに進むことができるのです。

個人情報保護に関して、今はまだ、沢山の報道がなされています。過渡期であるが故と考え、一つ一つの事象を教訓、教材としていかなければなりませんね。

事務局長　久保田

独立行政法人情報処理推進機構 (IPA) から報告書が公開されました。

詳細は以下のページをご参照ください。
情報処理推進機構：セキュリティセンター：2006年 国内における情報セキュリティ事象被害状況調査の報告書公開について

特記すべきは、Winny に関する項目でしょう。
何かが起こる前に先手を打っての対策、つまり予防を行っていなかった場合、 その被害額は多額になります。Enterprise Risk Management(ERM) という言葉を良く聞くようになりましたが、個々人の行動が会社の経営リスクに転じることがあることも考えていかなければなりません。
Risk Management は、予測のサイエンスで、手法は単純ではありません。Case by Case に拘りすぎると決定が遅れ、かといって、些細なことと優先度を下げることも難しいことがあります。経営方針、企業規模、地域における存在などを踏まえて、チェック項目を作成する必要があります。

事務局長　久保田

ECOM(次世代電子商取引推進協議会) の調査レポートです。
　ＨＰ上におけるプライバシーポリシー表記内容の目視調査結果について

企業におけるプライバシーポリシーは、自己表明ですので、その内容が正しいかどうかや実際に運用されているかどうかは、一般消費者からは分りません。しかしながら、その企業が個人情報について意識しているか・いないかは判別することができます。

この手のポリシーは、ひな形などを入手することは比較的容易ですので、掲載すること自体は難しい作業ではありません。しかし、いろんな企業のポリシーを見ていると、やはり、その企業の姿勢が見えてくると感じています。
一般消費者の方によく見ておいていただきたいポイントとしては、
 1. 個人情報の利用目的が明確に描かれているか (理解できるか)
 2. 共同利用や第三者提供について記載があるかどうか
　もし、提供等を行うと記載されている場合、顧客に対して同意を得るプロセスがあるか
 3. 苦情問い合わせ先があるかどうか
となります。
特にクレジットカード認証などを行う場合や、高額商品の購入などの場合の個人情報については、気をつけてみる必要があります。

事務局長 久保田

私の個人的なことなのですが、自宅で PLC(高速電力線通信) を利用しはじめました。BL-PA100/PA100KT　です。
ADSL で、電話線口が変な場所についているので苦慮していたのですが、これで解決です。
パナソニックさんの HP によると、
"AES 128bit暗号技術^※1を採用。安全で信頼性の高い通信が確保できます。暗号設定もパソコンを使わずに、簡単な操作で完了します。" とのことですので、ひとまず安心です。

私の自宅では、無線 LAN は使っていないのですが、家の周りには無線LAN用電波が飛び交っています。もちろん、セキュリティパスワードがかかっており、利用はできません。利用する際には気をつけないといけませんね。

日本において、ブロードバンド世帯普及率が 50％ を超え、ネットカフェや Hot Spot など、誰でもどこでもインターネットを利用できるようになりました。
"便利さ" ばかりに目がいきがちですが、自分のプライバシーは自分で守れるようにしなければなりませんね。

[参考]
個人情報流出防止　：警視庁

事務局長　久保田

を私が担当いたします。
オフラインでしか話せないようなことなども交えたセッションとしたいと考えております。
私自身、滅多に外に出ませんので、直接コミュニケーションをとれることを楽しみにしています。

詳細はこちら↓
Microsoft Office : Microsoft Office SharePoint Conference

どうぞよろしくお願いします。

事務局長　久保田

Tech Ed 2007  が始まりました。
私も昨日は一参加者として、
ITIL に基づいたマイクロソフト プラットフォームの運用最適化と IT 統制の実現 - Microsoft Operations Framework -
を聴講しました。
フレームワークはたくさんありますが、実運用にどう落とし込むのかというのが、私にとっても日々の課題であると改めて認識しました。

8/23(木) は、Peer Talk Lunch に参加し、お客様と直接お話しをする予定です。
個人情報保護に携わっている方がいらっしゃいましたら、お声をかけていただければと存じます。

事務局長 久保田

経済産業省主催の説明会です。入場無料です。
詳細は イベント・行事（METI/経済産業省） をご参照ください。

経産省から直接説明を聞けるのは良い機会です。
法律、各種ガイドラインを誤解釈しないためにも、直接、その見解を聞くことも重要だと考えています。
ということで、私も申し込みました。

事務局長　久保田

皆様、こんにちは。
私は少々、夏バテ気味ですが、皆様はどのようにお過ごしでしょうか？

さて、
毎日のようにノートPCの紛失や、ファイル共有ソフトによる情報漏えいの事件が報道されています。
その度に、自分がそのような事を起こしてしまったらと考え、身を引き締めています。
まず私はニュースを確認し、保有個人情報 簡易算出ツール を用いて、その情報の額を試算します。
1000 件を超えるような量で、且つ、機微(センシティブ)情報が含まれている場合、軽く 1000 万円を越します。もし、このような情報をノートパソコンに保存し、持ち運んでいるとすると、1000 万円の現金を持ち運ぶのと同等と考えています。
現金の場合、セキュリティを配慮しないまま持ち運ぶことは無いと思われます。ノートPCなどの携帯端末も同様であると、私は考えています。

外回りの業務の方は、ビジネス上、どうしても顧客情報を携行しなければならない事もあると思います。
最低限、パソコンのロック、該当ファイルの暗号化を忘れずにお願いいたします。

[参考情報]
Microsoft Windows Vista: 機能の説明: Windows BitLocker ドライブ暗号化

事務局長　久保田

(8/9 2 回目の投稿となりますが、被害の拡散を防ぐため、このような情報は広く周知することも重要と考えております。)

振り込め詐欺：６１回３７７５万円被害　埼玉の男性会社員－事件：MSN毎日インタラクティブ

非常に悪質な例です。
個人情報保護法における利用停止に関わる条項を無視した、若しくは、単純に被害者本人に対し不正な事由で金品を請求する詐欺行為と考えられます。（事件の詳細がわかりませんので、どのような罪状となるのか断言できませんが）

この報道を通して、覚えておきたい点は以下となります。

1. 個人情報の利用停止措置
   不正取得・利用された個人情報について、企業は遅滞なく利用停止をしなければなりません。
    - 個人情報保護法　27条など
    - JIS Q 15001:2006 3.4.4.7
2. 手数料
   利用目的の通知、開示については、本人から手数料を徴収できることとなっています。
   個人情報保護法では、「実費を勘案して、合理的な範囲」と決められています。
   ”個人情報 手数料”　などのキーワードで、各社の手数料が検索できます。概ね300円～1000円ぐらいのようです。マイクロソフトでは手数料はいただいておりません。
    - 個人情報保護法 30条など

怪しい電話がかかってきた場合は、自分からは情報を提供せず、まずどのようにして自分の個人情報を入手したのかを聞き、次に利用停止を要求する事が大切です。

相手が悪質な業者である場合、脅迫や押し切られる形で金銭を要求されることもあると思われます。そういった場合は、まず、冷静に法律で定められている事項を検討し、国民消費者生活センターなどに相談されるのが良いでしょう。


事務局長　久保田

経済産業省からの発表です。
 情報システムの信頼性向上のための緊急点検結果と今後の対応について

その中で私が気になった点は、BCP (Business Continuity Plan) です。

今回の結果によると、(以下抜粋)
事故や災害など不足の緊急事態に陥った場合、重要業務が中断しない、あるいは最小限の被害にとどめて事業を継続するための事業継続計画（BCP：Business Continuity Plan）が、約３１％の企業で不十分。
ということです。

BCP であり、DRP(Disaster Recovery Plan) でもあるのですが、社会の基幹となっている業務であればある程、その重要度が増してきます。 Plan の有無だけで、実際に遭遇した場合の混乱具合が違ってくることは明白です。
社会に対しても、勤務している従業者の安全確保についても、経営者は真剣に考えていかなければなりません。
マイクロソフトにおいても、自社はもちろん、業務委託先企業の安全体制についても契約前に確認しています。書類だけでも膨大な量となるのですが、
以下のマイクロソフトのサイトにて、一般的なリスク管理について紹介しています。
 セキュリティ リスク管理ガイドの概要
  > セキュリティ リスク管理ガイド : 付録 C: 一般的な脅威
リスク管理の第一歩として、チェックシート的な使い方をしてもらえればと思います。

事務局長　久保田

今ではビジネスでもプライベートでも欠かせない携帯電話。
その中には多くの情報が含まれています。連絡手段としての電話番号、メールアドレスはもちろんのこと、写真、予定表などが保存されています。
もちろん、それらの中には個人情報も含まれています。

先日、JISA から携帯端末の紛失等についての通達がありました。
個人情報に係る事故等のJISAへの報告について
ちょっと抜粋します。

1. 個人情報を社外に漏洩した場合、または漏洩したおそれがある場合
2. 個人情報または個人情報を含む情報システム機器（パソコン、記録媒体、携帯電話など）を紛失した場合、または盗難に遭った場合　　＊1／＊2
3. 個人情報が不正使用された形跡がある場合、または不正使用されたおそれがある場合
4. 委託先業者で上記1.～3.の事例が発覚した場合　

マイクロソフトにおいては、ローカルのパソコンには個人情報は保存しないというルールで行っておりますが、携帯電話については、保存しないと用をなさなくなってしまうこともあるため禁止にはしていません。
そこで、可能なかぎりテクノロジーで解決できるようにしています。

Exhange Server 2007 のリモートデバイスワイプ機能を使うというのが、一例です。
技術的なことは、以下のページを見てもらうとして、
　http://technet.microsoft.com/ja-jp/library/bb124591.aspx
実際問題どういうことになっているのかといいますと、
携帯端末を紛失した場合、メールサーバーから削除指令を出すというものです。
その指令は、自分自身で行うことができます。
以下は Outlook Web Access (OWA) での画面です。OWA はインターネットの SSL 通信で自社のサーバーに接続できる機能です。

この画面で消去を実行すると、本当に削除されてしまいます。
おかげさまで、幸い、この機能を実際に使ったことはありません。一生、使わない機能でありたいものです。

注: この機能を使うには、携帯端末も Windows Mobile で、MSFP (Messaging and Security Feature Pack) に対応している必要があります。

事務局長　久保田

皆様、こんにちは。

個人情報保護の仕事というと、個人情報保護法やプライバシーマーク(JIS Q 15001:2006) のみ参照すれば良いよいように思われがちなのですが、それ以外にも多数把握しておかなければならない法令があります。
そのうちの一つが、特定電子メールの送信の適正化等に関する法律　いわゆる 特定電子メール法 です。
総務省が　迷惑メール対策　というページを公開しておりますので、一読いただければ参考になるかと思います。

この10年のインターネット普及に伴い、電子メールの利用法についても、そのあり方が変わってきました。
電子メールアドレスの所持者が少ない頃は、アドレスを外部に一般公開している方も多く見受けられました。これは電子メールに限らず、メッセンジャーもそうでした。自ら立ち上げたホームページの連絡先欄に、何の疑念もなく、メールアドレスを掲載し、見た方も何の疑念もなくメールを送るといういう文化が成り立っていました。 E コマース、IT 上でのオンライン広告が隆盛になり、B to C のメールの流れができたころから、やはり、犯罪も目立つようになり、自ずと連絡先も秘匿し、守備意識のために身分を偽り、といったスパイラルになってきました。
昨今は、Social Networking Service (SNS) が流行っています。当初は限られた輪の中でということで、実名公開されている方も多くいましたが、広がるに連れて、やはり匿名性が高いものと変容してきています。
匿名じゃなければ発言できない、実名だと発言しにくい、といった風潮になってきているのも事実で、良くも悪くも解決していかなければならない課題でしょう。

さて、皆さんはどのぐらい迷惑メールを受信しているのでしょうか？
私が個人で利用している Hotmail は、確かに迷惑メールも来ますが、いつ申し込んだのか覚えていないメールマガジンや、一度利用した通販会社からのDMやら、迷惑なのか・自分で購読しているのかよく分からなくなってしまっているものが多数あります。 "迷惑なのか、そうじゃないのか、自分でも判断できない" というのが正直なところで、つくづく、自身の管理能力のなさにあきれる次第です。
一方、会社のメールアドレスについては、会社側のサーバーでかなり弾いているため、迷惑メールがまったく入ってきません。
プロバイダーによっては、迷惑メールフィルタの機能を付加させているところもありますので、有効に活用して、迷惑メールによる無駄な時間は無くしていきたいですね。

事務局長 久保田

皆様、こんにちは。
東京では暑い日が続いております。

社団法人コンピュータソフトウェア協会 (CSAJ) がプライバシーマーク付与認定指定機関の12番目の機関として認定されました。 8/1 から審査業務を行っているとのことです。
詳細は CSAJ/Pマーク審査 をご参照ください。

マイクロソフトの付与番号は、B820219(02) です。
この番号の先頭の数字が審査機関となりますので、以下の一覧を見ていただければ、お分かりいただけると思います。プライバシーマーク制度 - 指定機関情報：指定機関一覧

それぞれの産業分野によって、ビジネスにおける個人情報の扱いの性質が違いますので、それぞれに合わせた適切な審査が必要です。

明日、3 回目の更新手続きをしてきます。

事務局長　久保田

皆様、こんにちは。

世間では未だファイル共有ソフト(Winny など) での情報漏えいが相次いでいます。特に (高度な) 暗号化がなされていない状態でのファイル流出においては、2次流出、3次流出してしまうと、もう被害の拡散は止められません。
「 2 次利用による悪用は行われていない」 と発表されることがありますが、データはインターネットの中を彷徨い続ける訳ですので、簡単に終結宣言は出せません。

コンピュータの利用拡大に伴い、使う側の成熟度も増していく必要がありますし、コンピュータ自体にも事故を未然に防ぐ機能が追加されていくことが必要です。

インターネットは、よく車社会と比較されることがあります。
車の道路がインターネット網、交通量が Web サイトのトラフィック量(アクセス数)、道の検索とインターネット検索 などなど、実社会と似ている面も多くあります。しかしながら、決定的に違うのは、車の運転には免許が必要ですが、インターネット(もしくはコンピュータ) の利用には免許がありません。そのため、インターネットについて正しく学習するという機会がほとんど無いというのが実際ではないでしょうか。ここ何年かで小中学校でもコンピュータを利用した授業(しらべ学習等)が行われるようになってきました。場面場面を通じて、また成長の度合いに合わせて適切に学んでいけることは重要だと思います。私はそのような教育は受けてきませんでしたが。。

さて、情報漏えいに話を戻します。
漏えいを防ぐ手立ては大きく二つに分けられます。"技術的に防ぐ方法" と "規則で禁止する方法" です。
技術的な方法は、各社いろいろなものを出しています。もちろん、有効なものもたくさんあります。
一方、"規則" については、最終的にはその人の倫理観に頼らざるを得ないのが現実です。いくら規則を厳しくし、罰則を定め、犯人特定のための手段を設けても、悪意のあるユーザーがいると打ち破られることがあります。
しかし、規則を設け、教育を施すということは、やはり有効な手段であることには変わりありません。しかも、社会のモラルということも含め、子供のころから正しい教育をするということは大切でしょう。
企業におけるモラルは、やはり、その企業のトップに依存することが多いと思われます。
厳しい規則を設けるのではなく、トップ自らが公約し、実践することが、何よりの社員教育となると思います。

[参考情報]
情報サービス事業者１社に対する個人情報保護法に基づく報告徴収について

事務局長 久保田

皆様、こんにちは。

昨日は参院選がありました。私も午前中に投票所に行きました。夕方、ものすごい雷雨となったので早めに行っておいてよかったです。
私が住んでいるところは、少々、変わったところで、2 県 1 都の境目のようなところです。最寄り駅自体は東京都のため、近辺の候補者ボードは都のものです。しかし、私は県民ですので、そのボードは関係ありません。そして、駅前に演説に来られる候補者やパンフレット配布の方も都の方ばかりだったような気がします。でも各駅停車の駅ですので、そもそも、候補者の方もほとんど来ていませんでしたが。。
というわけで、候補者についての情報収集は必然的にインターネットとなります。
しかし、日本においてはインターネット上での選挙活動は公職選挙法違反になるとのこともあり、あまり芳しい情報は得られません。悩ましいです。

ここ数年、選挙のたびにインターネット選挙・投票ということも話題になるようになりました。
投票自体が早くインターネットでできるようにならないかと思っています。ネット経由に対する安全性、ソーシャルセキュリティの問題(なりすまし等)、インフラ整備など課題はまだまだあります。IT の成熟度がもっと高くなっていかなければなりませんね。


事務局長　久保田

皆様、こんにちは。
東京は暑い日が続いていますね。北海道出身の私としては、この環境はなかなか慣れません。

さて、少々前ですが、７月上旬に Visio 内部統制文書化ツールが公開されました。
(詳細は Microsoft Office : Microsoft Office Visio 内部統制文書化ツール をご参照ください)
個人情報に関する業務は、まさに内部統制そのものと言ってもいいものです。そこで、早速、このツールを使って業務プロセスの改訂を行っています。

社内のことですので、すべてはお見せすることはできないのですが、簡易版に書き直しているものをここで紹介します。

個人情報の取り扱いで必須項目となるのは、一般的には以下となります。

1. 個人情報の棚卸し
2. 個人情報の特定手順の確立
3. 個人情報を取り扱う者の制御
4. 個人情報管理台帳の作成
5. プロセスの策定、可視化
6. 運用状況の把握、監査

マイクロソフト社内においては、これらすべてを一度に達成するために社内ツールを使っています。もちろん IT 化しています。といっても、特殊なインフラ構築をしているわけではなく、Sharepoint Server をベースに少々使い勝手良いように変更させている程度です。
ツールを使う = 業務プロセスとなっている つまり、手順書を見ながら（もしくは丸暗記して）ということなく、無理なく業務を行えるように工夫しています。
この社内ツールは、PII Control System (PIICS) と呼んでいます。こちらのページにも記載していますので、ご一読を。

さて、一から順にツールを使うだけですのでマニュアルなんて不要と思われがちですが、内部統制を正しく実現するためには可視化された業務プロセスと定め、それに則って業務が行われていることが重要です。

こちらの図を見ていただければわかると思うのですが、アクションごとに上長の承認が必要になっています。PIICS ツール上で操作をすると、上長に対し電子メールで通知がなされます。上長は、その通知を受け取り、メール内に記載されているリンクをクリックし中身を確認し、承諾をします。もちろん、承諾した日付などは証拠としてサーバーに格納されます。
よくありがちな業務フローですが、口頭で済ませるのではなく、かならず証拠が残る方法、しかも改ざんできない証拠の保存をするという機能も果たしています。個人情報の取扱いに関しては、事後承認ということが絶対にないようにしています。
このプロセスで保管された取扱記録が、そのまま、個人情報の棚卸しをした結果 = 個人情報管理台帳となっています。
台帳があれば、個人情報の特定も容易です。
また、各種レポート機能を利用して、それをもとに社内監査も行うことができます。
そして、一番いいのはペーパーレスであるということです。大量な書類は、環境にもよろしくありませんし、保管するのにも手間です。

Visio 内部統制文書化ツールの良いところは、この Visio Flow Chart を、Word 文書にエクスポートできることです。

この機能を使うと、↓こんな感じで Word 文書ができあがります。
 
これに対して少々書き直しをすれば、立派な業務プロセス文書の完成です。

製品紹介みたいになっていますが、個人情報の実担当者である私が使っても便利と感じますので、業務プロセスの構築に関わる方は、ぜひこのツールを使っていただければと思います。

事務局長　久保田
(企業の方で、マイクロソフトの社内ツールを見てみたいという方がいらっしゃいましたら、コールセンターまでご連絡下さい。)

皆様、こんにちは。

ただいま、事務局ではプライバシーマーク申請の準備を行っています。
期限が切れる 3 か月前に申請をしなければならず、しかも、その際に必要書類を全て揃えておく必要があります。
この必要な書類は、社内で利用している各種規則類も含みます。社内で利用しているものは、既に存在しますので、プリントアウトするだけで済むのですが、それ以外にも、会社の登記簿を法務省に行ってもらってきたり、申請書のために代表者に印鑑をもらいに行ったり、それらすべてのプリントアウトをバインダーに収めたり、インデックスを作ったりと、かなりな事務作業ではあり、労力が要ります。
すべて完成すると、重さ 5-6kg にはなるんじゃないでしょうか。正直、重いです。

詳しくは、JIPDEC の案内を見ていただければ、ご理解いただけると思います。
プライバシーマーク制度 - 更新申請方法

プライバシーマークを新規取得しようと思った場合、だいたい 6 ～ 8 か月必要と言われています。
今回のマイクロソフトの申請は更新申請ですので、そこまでの時間はかからないのですが、JIS Q 15001 が 1999 から 2006 バージョンの改訂がありましたので、その対応を少しずつ行ってきました。コツコツと日頃から業務を続けることが肝要です。

申請後、書類審査、実監査と、まだまだ落ち着く日がありません。
同じような境遇の方は分かっていただけますよね？

事務局長　久保田

マイクロソフト株式会社 (以降、マイクロソフトとします) では個人情報保護に積極的に取り組むために、全社的な体制を整備しています。
(私が所属する) 個人情報保護に特化したチームと、それぞれの部門に属しながら兼任で業務に当たる社員たちと、大きく二つに分類されます。

世間で良く聞くのは、

1. Privacy Mark 取得のために特命担当(もしくはチーム) を設ける
2. 個人情報保護は法務部が兼任する
3. 個人情報保護は IT 部門が兼任する
4. 各部門から担当者を選出し、委員会を設置する

といった体制整備です。

マイクロソフトでは、上述の 1. と 4. を組み合わせた形をとりつつ、法務部と IT 部門と密接に関わりながら業務を進めるようにしています。同時に教育は人事部、監査は管理部門、外部対応はカスタマー部門との連携をしています。
そのため、個人情報保護のスペシャリストでありつつ、社内のジェネラリストであるという立場です。

各部門から担当者を選出する意味は、やはり、実務とかけ離れたポリシーや動きとなることを避けるために、実務を理解し、適切な運用を心掛けるためです。
マイクロソフトは社員 2000人を超え、複数の拠点に跨って業務を行うようになっており、どうしても直接わからない業務も存在します。効率良く、業務を把握し、実態に活かすため、他にも工夫している点はありますので、またの機会に記載したいと思います。

社内体制は以下に公開しています。
社内事例　マイクロソフトにおける個人情報保護マネージメントシステムの実践 : マイクロソフト株式会社の取り組み

事務局長　久保田

この度、Windows Live Spaces にてブログを始めることとなりました。
ブログの名前の通り、個人情報保護に関する事をメインテーマとして続けていく所存ですが、テーマがテーマだけに堅苦しくなってしまうかもしれません。どうかご容赦を。

通常は専ら社内業務のため、お客様やパートナー様の皆様とは接する機会がない裏方の仕事です。
この場を通して、コミュニケーションをとることができることを願っています。

事務局長 　久保田