プライバシー影響評価（PIA）の実践支援と課題

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル / 言語: ja
• タイトル: プライバシー影響評価（PIA）の実践支援と課題
• タイトル / 言語: en
• タイトル: Support and Discussion of Conducting Privacy Impact Assessments
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: プライバシー影響評価，PIA，個人情報保護法，プライバシー保護
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTT社会情報研究所
• 著者所属: NTT社会情報研究所
• 著者所属: NTT社会情報研究所
• 著者所属: NTT社会情報研究所
• 著者所属: NTT社会情報研究所
• 著者所属: NTT社会情報研究所
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者名: 池田, 美穂; 亀石, 久美子; 荒岡, 草馬; 畑島, 隆; 藤村, 明子; 折目, 吉範
• 著者名(英): Miho, Ikeda; Kumiko, Kameishi; Soma, Araoka; Takashi, Hatashima; Akiko, Fujimura; Yoshinori, Orime
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: プライバシー影響評価（PIA）は個人情報・プライバシー保護のための有効な手段であるが，筆者らが自社のPIAに評価者として携わってきた経験から，案件担当者の個人情報・プライバシー保護に関する知識・理解不足はPIAの適切な実践や円滑な事業活動の妨げとなる．この課題解決に向けて2つの観点から検討した結果を報告する．第一に法令遵守の観点から，案件担当者に対する支援として，個人情報保護法の基礎知識を解説するドキュメントと，質問形式で案件における法が定義する情報の取扱いと法的要件を導出するアプリケーションを開発した．これらを自社に導入し290件の実例を分析して効果検証した結果，案件担当者が情報の取扱いを誤認識する案件の発生確率が20%pt以上減少したことを確認した．第二にプライバシー保護の観点から，個人情報保護法の範囲を超えるプライバシーリスクが懸念される案件が増加していることを，自社のPIA評価案件や社会的事案等の事例分析を通じて確認した．企業等ではプライバシーリスクに関するPIAの強化が必要であり，案件のアイデアやコンセプトにプライバシーリスクが含まれる場合があるため，案件担当者による案件の企画立案時でのプライバシーリスクの自主確認と合理的な判断が事業影響の最小化の観点から最も効果的であることを明らかにした．さらにプライバシーリスクの自主確認の支援方法を検討した．具体的にはプライバシーリスクの発生に関する問題分析をし，初学者に適したプライバシーに関する学習教材が見当たらないという問題の解決が重要であると指摘した．解決方法として，知識と実践との間のギャップを考慮し，案件担当者に対するプライバシーに関する知識習得とプライバシーリスクの自主確認を連動させた支援方法を提案した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: A privacy impact assessment (PIA) should be conducted to ensure compliance with law and guidelines related to personal information and privacy protection. However, misunderstanding of these rules prevents from conducting PIAs appropriately and business smoothly. To solve this problem, we discuss two approaches. The first approach is to develop tools for understanding the Act on the Protection of Personal Information (APPI) for people in charge of projects processing personal information. We have introduced the tools to our organization and revealed that they reduced the probability of occurrence of projects in which members misjudge legal requirements by more than 20% points. The second approach is the basic study for support of conducting PIAs especially from the perspective of privacy protection beyond the APPI. We identify that projects holding privacy risk beyond the APPI are increasing and organizations processing personal information should strengthen PIAs to prevent and solve privacy risk appropriately. We analyze the structure of occurrence of privacy risk and indicate the lack of compact documents for learning privacy protection should be solved. We propose combined methods for learning privacy protection concisely and conducting self-check of privacy risk for people in charge of projects processing personal information.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 813-820, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会