「3.3.1 個人情報の特定」で特定した個人情報に関する「目的外利用防止手順の確立」及び「リスク対応手順の確立」を要求したものが「3.3.3 リスクなどの認識、分析及び対策」です。
リスク対応手順を確立する
「3.3.1 個人情報の特定」で特定した個人情報に関するリスク対応手順の確立を要求したものが「3.3.3 リスクなどの認識、分析及び対策」です。
ここでは、以下の要件を規定しています。
- 特定した個人情報について目的外利用をさせないための手順を確立し、維持すること
- 特定した個人情報のリスクを認識し、分析し、必要な対策を講じるための手順を確立し、維持すること
目的外利用を防止する手順を確立する
目的外利用を防止する手順として、まずあげられるのは「3.3.1 個人情報の手奥亭」に基づき、策定した「個人情報管理台帳」を用いて、全従業者にすべての個人情報の利用目的を周知することです。
あわせて、利用目的が定められていない個人情報は利用してはいけないことを、前従業者に対して周知することも考えられます。
リスクへの対応
特定した個人情報について以下のステップを踏み、リスクを対応を行うことを規格では要求しています。
●ＳＴＥＰ1：リスクの認識
個人情報の取扱プロセス、つまり特定した個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄にいたるまで、適正な保護措置を講じないと発生が予想されるリスクを明確にすること。
●ＳＴＥＰ2：リスクの分析
洗いだしたリスクについて、定性的な基準などによって評価をおこなうこと。
●ＳＴＥＰ3：リスクの対策
残留リスクの管理も含んだ、それぞれのリスクにはどのような管理策が有効的かについて検討し、事業者の規模や事業内容に応じた、経済的に実行可能な最良の技術を実装すること。
なお、規格では個人情報に関するリスク評価は、取得や利用面での適切な取扱いも必要であるという観点から、単なる重要な情報資産を保護するというリスク評価では不足であると規定していて、代表的なリスクとして以下のものを例としてあげています。
- 個人情報の漏えい、個人情報の滅失や棄損、法規制違反（法令、ガイドラインや指針に対する違反）
- 経済的な不利益（損害賠償など）、社会的な信用の失墜、本人への影響（プライバシーの侵害、名誉棄損など）
