組織的・人的セキュリティの問題（20問）

正解：1（アー正、イー正）

ア．正しい

ガイドライン本文が講じなければならないと義務付けている

通則編ガイドライン 10-3 組織的安全管理措置「個人情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない」e-Gov原文

イ．正しい

組織体制の整備は義務として明示

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備「安全管理措置を講ずるための組織体制を整備しなければならない」e-Gov原文

ひっかけ組織体制の整備は努力目標ではなく、組織的安全管理措置として『整備しなければならない』と書かれた義務。アもイも条文どおり。

解説通則編ガイドライン10-3は、個人情報取扱事業者が組織的安全管理措置として所定の措置を講じなければならないと定めており、アはこの義務をそのまま述べていて正しい。イが挙げる『安全管理措置を講ずるための組織体制の整備』は、その10-3が掲げる組織的安全管理措置の一項目として明示されているため、これも正しい。両方とも義務・項目の記載どおりで、正解はアー正、イー正。

補足安全管理措置は組織的（10-3）に続き、人的（10-4）・物理的（10-5）・技術的（10-6）と四つの面から求められ、組織体制の整備はその先頭に置かれた組織的措置の入口にあたる。

正解：1（アー正、イー正）

ア．正しい

規律に従った運用は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(2)個人データの取扱いに係る規律に従った運用「あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならない」e-Gov原文

イ．正しい

記録による検証が運用確認の手段

通則編ガイドライン 10-3 組織的安全管理措置(2)個人データの取扱いに係る規律に従った運用「整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、利用状況等を記録することも重要である」e-Gov原文

ひっかけ『規律を整える』と『その運用状況を記録で確認する』は別の動作で、どちらもガイドラインに書かれている。記録の話を余計と感じて切ると外す。

解説アは、あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならないとする点で、通則編ガイドライン10-3の『規律に従った運用』の義務どおりで正しい。イも、その運用状況を確認するために利用状況等を記録することも重要であるとガイドラインが述べているとおりで、正しい。規律を定めるだけでなく、定めた規律どおりに運用できているかを記録で裏づける構造になっており、正解はアー正、イー正。

補足ここでいう利用状況等の記録は、規律どおり運用されているかを後から検証するための手段であり、システムログのような技術的な記録（10-6）とは別に、組織的安全管理措置として求められている点に位置づけの違いがある。

正解：1（アー正、イー正）

ア．正しい

取扱状況の確認手段は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(3)個人データの取扱状況を確認する手段の整備「個人データの取扱状況を確認するための手段を整備しなければならない」e-Gov原文

イ．正しい

明確化による取扱状況把握が手法の例示

通則編ガイドライン 10-3 組織的安全管理措置(3)（手法の例示）「アクセス権を有する者」e-Gov原文

ひっかけ取扱状況を確認する手段とは、項目・責任者・利用目的・アクセス権者を先に書き出して見えるようにすること。イの列挙はその具体例なので誤りにならない。

解説アは、個人データの取扱状況を確認するための手段を整備しなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イが列挙する、個人データの項目・責任者・取扱部署・利用目的・アクセス権を有する者等をあらかじめ明確化するという内容は、その確認手段を整える手法の例としてガイドラインに示されており、こちらも正しい。何を誰がどの目的で扱うかを台帳的に明確化しておく発想で、正解はアー正、イー正。

補足アクセス権を有する者の明確化は、誰がそのデータに触れてよいかを限定する前提であり、後段の技術的安全管理措置（10-6）でのアクセス制御や権限管理と接続する起点になる。

正解：2（アー正、イー誤）

ア．正しい

発生・兆候把握時の体制整備は義務

通則編ガイドライン 10-3 組織的安全管理措置(4)漏えい等事案に対応する体制の整備「漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない」e-Gov原文

イ．誤り

早急な公表が重要とされており、任意で問題なしとはいえない

通則編ガイドライン 10-3 組織的安全管理措置(4)漏えい等事案に対応する体制の整備「二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である」e-Gov原文

ひっかけガイドラインは漏えい時の早急な公表を『重要』と位置づけている。『公表しなくても問題なし』と断じた時点でイは外れる。

解説アは、漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イは『公表は任意で、公表しなくても法令上問題はない』とするが、ガイドラインは二次被害の防止や類似事案の発生防止等の観点から、事案に応じて事実関係及び再発防止策等を早急に公表することが重要であるとしている。任意・問題なしと言い切るイは誤りで、正解はアー正、イー誤。

補足ここでの公表とは別に、令和2年改正で導入された法26条により、本人の権利利益を害するおそれが大きい漏えい等では、個人情報保護委員会への報告と本人への通知が義務化されている（2022年4月1日施行）点も区別される。

正解：1（アー正、イー正）

ア．正しい

継続的改善は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(5)取扱状況の把握及び安全管理措置の見直し「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない」e-Gov原文

イ．正しい

定期的な監査が取扱状況把握の手法

通則編ガイドライン 10-3 組織的安全管理措置(5)（手法の例示）「個人データの取扱状況について、定期的に自ら行う点検」e-Gov原文

ひっかけ自己点検と他部署監査は、取扱状況の把握・見直しの手法としてガイドラインが並べた具体例。どちらか一方を不要と感じて切ると誤る。

解説アは、個人データの取扱状況を把握し、安全管理措置の評価・見直し・改善に取り組まなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イが挙げる、取扱状況について定期的に自ら行う点検又は他部署等による監査を実施するという内容は、その把握・見直しの手法の例として示されており、これも正しい。措置を入れて終わりにせず、点検・監査で回し続ける建付けで、正解はアー正、イー正。

補足自ら行う点検と他部署等による監査が並記されているのは、当事者の見落としを別部署の目で補う狙いがあり、外部監査人による監査の実施も同じ見直し手法の例として併せて挙げられている。

正解：3（アー誤、イー正）

ア．誤り

各部署ごとの役割分担・責任明確化が例として示されている

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」e-Gov原文

イ．正しい

責任者設置は組織体制整備の例示

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データの取扱いに関する責任者の設置及び責任の明確」e-Gov原文

ひっかけ複数部署で扱うほど、どの部署が何にどこまで責任を負うかを切り分ける必要が出る。『全社一括で足りる』はガイドラインの例と正反対。

解説アは『複数の部署で取り扱う場合、役割分担及び責任の明確化は不要で全社一括で足りる』とするが、通則編ガイドライン10-3の組織体制の整備は、個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化を手法の例として挙げている。部署ごとの明確化が求められるのに不要と述べるアは誤り。イの、個人データの取扱いに関する責任者の設置及び責任の明確化を組織体制整備の例とする点は記載どおりで正しい。正解はアー誤、イー正。

補足全社の責任者を一人置くだけでは、部署をまたぐ受け渡しで責任の所在が抜ける。ガイドラインが責任者の設置と各部署の役割分担を別々の例として挙げているのは、両方そろって初めて取扱いの責任が途切れないという発想による。

正解：2（アー正、イー誤）

ア．正しい

違反兆候の報告体制は組織体制の重要項目

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制」e-Gov原文

イ．誤り

漏えい等事案の報告連絡体制は組織体制整備に含まれている

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制」e-Gov原文

ひっかけ規律違反の兆候だけでなく、漏えい等事案の兆候についても責任者への報告ルートを整えるよう例示されている。漏えい側を例から外すと誤りになる。

解説アは、規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を組織体制整備の例とする点で、通則編ガイドライン10-3の記載どおりで正しい。イは『漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制は組織体制整備の例に含まれていない』とするが、ガイドラインはこの漏えい等事案に関する報告連絡体制も組織体制整備の例として挙げている。含まれないと述べるイは誤りで、正解はアー正、イー誤。

補足兆候の段階で責任者へ上げるこの報告連絡体制は、漏えい等事案に適切かつ迅速に対応するための体制整備（piip-c8-0004のア）の入口にあたり、把握から対応・必要に応じた法26条の報告へとつながる初動を担う。

正解：3（アー誤、イー正）

ア．誤り

アクセスログ等は記録項目の例として明示されている

通則編ガイドライン 10-3 組織的安全管理措置(2)（手法の例示）「担当者の情報システムの利用状況（ログイン実績、アクセスログ等）」e-Gov原文

イ．正しい

持ち運び状況の記録が規律運用確保の手法

通則編ガイドライン 10-3 組織的安全管理措置(2)（手法の例示）「個人データが記載又は記録された書類・媒体等の持ち運び等の状況」e-Gov原文

ひっかけログイン実績・アクセスログは『記録不要』ではなく、ガイドラインが記録項目の例として名指ししている側。

解説通則編ガイドラインは、整備された取扱規律に従った運用を確保する手段として、システムログや業務日誌等による取扱いの検証を挙げ、記録項目の例を列挙している。そこには個人情報データベース等の利用・出力状況、書類・媒体等の持ち運び等の状況、削除・廃棄の状況に加え、情報システムで取り扱う場合の担当者の利用状況（ログイン実績、アクセスログ等）が含まれる。アはこのログイン実績・アクセスログを『記録に残す必要はない』とするが、ガイドラインが記録項目の例として明示している以上、誤り。イは書類・媒体等の持ち運び状況を記録項目の例とする点でガイドラインの列挙どおりであり、正しい。アクセスログは記録不要どころか、規律運用を検証可能にする中心的な項目として挙げられている。

補足同じ(2)の手法例には削除・廃棄の状況も並び、委託した場合はその消去・廃棄を証明する記録まで含めて記録対象とされている。

正解：1（アー正、イー正）

ア．正しい

人的安全管理措置の義務が明示されている

通則編ガイドライン 10-4 人的安全管理措置「個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない」e-Gov原文

イ．正しい

従業者監督は人的安全管理措置に付随する義務

通則編ガイドライン 10-4 人的安全管理措置「従業者に個人データを取り扱わせるに当たっては、法第24条に基づき従業者に対する監督をしなければならない」e-Gov原文

ひっかけ従業者監督は人的安全管理措置の一部ではなく、法第24条を根拠に並記される別建ての義務。どちらも『しなければならない』。

解説アとイはどちらも、人的安全管理措置を定める通則編ガイドライン10-4の冒頭文をそのまま分解したものである。同項は『個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない』と義務として書き起こし、続けて『また、従業者に個人データを取り扱わせるに当たっては、法第24条に基づき従業者に対する監督をしなければならない』と定める。アは前段の措置を講ずる義務、イは後段の法第24条に基づく従業者監督義務にあたり、いずれもガイドラインの文言どおりで正しい。人的安全管理措置の義務と、その隣で別条文（法第24条）を根拠に課される従業者監督義務とが、同じ一文の中に並んで置かれている。

補足法第24条の従業者監督は、委託先を監督する法第25条（委託先の監督）とは別条で、対象が自社の従業者か委託先かで条文が分かれる。

正解：4（アー誤、イー誤）

ア．誤り

教育まで課されていないとする点が誤り

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育「周知徹底するとともに適切な教育を行わなければならない」e-Gov原文

イ．誤り

定期的な研修の実施が手法の例として明示されている

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う」e-Gov原文

ひっかけ『周知徹底』と『教育』はセットの義務。どちらか一方では足りない。

解説通則編ガイドライン10-4『従業者の教育』は、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならない、と義務を定める。『周知徹底』と『教育』はいずれも条文上の義務であり、周知徹底だけで教育義務を免れるわけではない。手法の例としては『個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う』ことが挙げられており、一度実施すれば足りるものではない。

補足同じ10-4の手法例には、秘密保持に関する事項を就業規則等に盛り込むことも並び、研修（行為）と就業規則（規程）の両面から教育を支える形になっている。

正解：3（アー誤、イー正）

ア．誤り

就業規則「等」と明示されており、一つの手段に限定されていない

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データについての秘密保持に関する事項を就業規則等に盛り込む」e-Gov原文

イ．正しい

就業規則等への秘密保持規定は人的安全管理措置の手法例

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データについての秘密保持に関する事項を就業規則等に盛り込む」e-Gov原文

ひっかけ『就業規則等』の『等』を見落とすと、個別誓約書のみ・就業規則のみ、と一本に絞る肢に引っかかる。

解説通則編ガイドライン10-4の従業者の教育では、手法の例として『個人データについての秘密保持に関する事項を就業規則等に盛り込む』ことが挙げられている。文言は『就業規則等』であり、『等』が付いている以上、就業規則のほかにも手段が想定されている。アは秘密保持を『就業規則ではなく個別の誓約書によってのみ』対応しなければならないと、手段を一つに絞り込むが、ガイドラインはそのような限定をしていないため誤り。イは秘密保持事項を就業規則等に盛り込むことが従業者の教育の手法の例である、とする点でガイドラインの記述どおりであり正しい。鍵は『就業規則等』の『等』で、これが手段を一本に縛らせない。

補足就業規則等への秘密保持規定は教育手法の一例にとどまり、ガイドラインは具体的手段を一つに義務づけてはいない。

正解：4（アー誤、イー誤）

ア．誤り

挙げられていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)（手法の例示）「事実関係の調査及び原因の究明」e-Gov原文

イ．誤り

ガイドラインは本人への通知も手法の例として明示している

通則編ガイドライン 10-3 組織的安全管理措置(4)（手法の例示）「影響を受ける可能性のある本人への通知」e-Gov原文

ひっかけ事実関係の調査・本人への通知・委員会報告・再発防止・公表は、いずれも同じ手法例リストに並ぶ。

解説漏えい等事案に対応する体制の整備（通則編ガイドライン10-3(4)）の手法例には、事実関係の調査及び原因の究明、影響を受ける可能性のある本人への通知、個人情報保護委員会等への報告、再発防止策の検討及び決定、事実関係及び再発防止策等の公表が並ぶ。これらはいずれも同じ列挙の中に明記されており、一部だけを取り上げて『これは含まれない』とする誤りが起こりやすい。

補足ここでの本人への通知は安全管理措置上の手法例で、漏えい等が報告対象事態にあたる場合に法第26条2項が課す本人通知の義務とは、根拠も位置づけも別である。

正解：3（アー誤、イー正）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを取り扱う従業者及びその役割の明確化」e-Gov原文

イ．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「上記の従業者が取り扱う個人データの範囲の明確化」e-Gov原文

ひっかけ人だけ決めても範囲が曖昧なら管理にならない。役割と取扱範囲はセットで押さえる。

解説組織的安全管理措置では、誰が個人データを取り扱うのか、その役割は何か、さらにその従業者がどの範囲の個人データを扱うのかを明確にすることが重要である。アは役割の明確化を正しく述べている。イは取扱範囲の明確化を除外するが、原典はこれも例示しているため誤り。

補足アクセス権限設計や部署間の責任分担にもつながるため、組織体制整備の具体例として頻出になる。

正解：4（アー誤、イー誤）

ア．誤り

示されていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」e-Gov原文

イ．誤り

一部措置で足りるとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」e-Gov原文

ひっかけ『示されていない』も『責任者一人で足りる』も、どちらも部署間の役割分担明確化という同じ例示を否定する誤り。

解説複数部署で個人データを扱う場合、責任が部署間で曖昧になりやすい。通則編ガイドラインは、各部署の役割分担及び責任の明確化を組織体制整備の項目例として明記しており、この例示自体を否定することも、責任者を一人置くだけで済ませることも、いずれも誤りとなる。

補足漏えい時の初動、報告、本人通知、再発防止の責任所在にも直結する実務的な論点である。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(2)手法の例示「個人情報データベース等の利用・出力状況」e-Gov原文

イ．誤り

分類を狭くしすぎている

通則編ガイドライン 10-3 組織的安全管理措置(2)手法の例示「個人情報データベース等の削除・廃棄の状況」e-Gov原文

ひっかけ同じ削除・廃棄でも、実作業の方法は物理的措置、運用を検証する記録は組織的措置として出てくる。

解説規律に従った運用を後から検証できるようにするため、利用・出力状況、持ち運び等の状況、削除・廃棄の状況、ログイン実績やアクセスログ等を記録することが例示されている。アは正しく、イは削除・廃棄を物理的措置だけに閉じ込めて組織的な記録対象から外している点で誤りである。

補足安全管理措置は分類ごとに重なり合うため、用語だけで機械的に一分類へ押し込まないことが重要である。

正解：3（アー誤、イー正）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「個人情報データベース等の種類、名称」e-Gov原文

イ．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「利用目的」e-Gov原文

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「アクセス権を有する者」e-Gov原文

ひっかけ取扱状況確認は台帳化の発想。利用目的とアクセス権者を外すと、何のために誰が触れるのかが見えなくなる。

解説取扱状況を確認するには、どのデータベースで、どの項目を、誰が責任を持ち、どの部署が扱い、何の目的で、誰がアクセスできるかを明確化しておく必要がある。アはその例示に沿う。イは利用目的やアクセス権者を除外するが、これらも明確化項目の例に含まれるため誤りである。

補足この論点は、後続のアクセス制御や第三者提供管理とも接続する基礎項目である。

正解：4（アー誤、イー誤）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「報告連絡体制等をあらかじめ確認する」e-Gov原文

イ．誤り

発生後で足りるとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「漏えい等事案の発生時に備え」e-Gov原文

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「報告連絡体制等をあらかじめ確認する」e-Gov原文

ひっかけ『例示にない』も『事後対応で足りる』も、どちらも事前の報告連絡体制確認という同じ手法を否定する誤り。

解説漏えい等事案は発生後に場当たり的に連絡先を決めるのではなく、発生時に備えて従業者から責任ある立場の者への報告連絡体制をあらかじめ確認しておくことが、中小規模事業者における手法の例示として示されている。この例示の存在自体を否定する誤りと、事前確認を不要とする誤りは、いずれも同じ論点への裏表の誤答である。

補足報告連絡体制は、委員会報告、本人通知、公表、再発防止策の検討を遅らせないための入口になる。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「影響を受ける可能性のある本人への通知」e-Gov原文

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「個人情報保護委員会等への報告」e-Gov原文

イ．誤り

含まれないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「事実関係及び再発防止策等の公表」e-Gov原文

ひっかけ漏えい対応は内部調査だけでは終わらない。本人・委員会・社会への説明まで含めて押さえる。

解説漏えい等事案への対応例には、事実関係の調査、本人への通知、委員会等への報告、再発防止策の検討及び決定、事実関係及び再発防止策等の公表が含まれる。アはその一部を正しく述べている。イは公表を除外するが、原典は公表も明示しているため誤りである。

補足個人情報保護法26条の報告・本人通知義務と、ガイドライン上の組織的体制整備の例示を関連づけて理解するとよい。

正解：4（アー誤、イー誤）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(5)中小規模事業者における手法の例示「責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う」e-Gov原文

イ．誤り

示されていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(5)手法の例示「外部の主体による監査活動と合わせて、監査を実施する」e-Gov原文

ひっかけ定期点検も外部監査との連携も、どちらもガイドラインの手法例に明記されている。『示されていない』は誤り。

解説安全管理措置は一度導入して終わりではなく、取扱状況を把握し、評価・見直し・改善する必要がある。その手法として、責任ある立場の者による定期的な点検（中小規模事業者向け手法例示）、他部署等による監査、外部主体による監査活動と合わせた監査が例示されている。これらの例示の存在自体を否定する誤りが起こりやすい。

補足PDCAや内部統制に近い論点で、組織的安全管理措置の中でも継続運用の質を問う部分である。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-4 人的安全管理措置 手法の例示「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う」e-Gov原文

イ．誤り

分類の誤り

通則編ガイドライン 10-4 人的安全管理措置 手法の例示「個人データについての秘密保持に関する事項を就業規則等に盛り込む」e-Gov原文

ひっかけ秘密保持は鍵やキャビネットの話ではなく、人に守らせるルールの話。分類を間違えない。

解説人的安全管理措置では、従業者に対する定期的な研修等と、個人データについての秘密保持事項を就業規則等に盛り込むことが手法例として示されている。アは正しい。イは秘密保持規定を物理的安全管理措置に分類しているが、これは人の教育・規律に関する措置であるため人的安全管理措置に当たる。

補足研修と就業規則等は、従業者に個人データを正しく扱わせるための教育・規律の両輪である。