個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第54問: 通則編ガイドライン別添は、安全管理措置の手法を事業の規模及び性質等に起因するリスクに応じて選ぶ考え方をとり、「中小規模事業者」には別の手法の例示を示している。こ

正解: 3. 従業員の数が100人以下の個人情報取扱事業者（一定の者を除く。）

別添は、安全管理措置の具体的な手法は、本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況等に起因するリスクに応じて必要かつ適切な内容とすべきで、例示の全てを講じなければならないわけではないとしています。そのうえで「中小規模事業者」を、従業員の数が100人以下の個人情報取扱事業者と定義しています（肢3）。ただし、事業に用いる個人情報データベース等の本人の数の合計が過去6月以内のいずれかの日において5,000を超える者と、委託を受けて個人データを取り扱う者は除かれます。中小規模事業者も法第23条の義務を負う点は同じです。20人・50人・300人は誤りです（肢1・2・4）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添 冒頭（※2））

関連キーワード: 中小規模事業者・安全管理措置・通則編ガイドライン・従業員の数