Phase4: CP 基本設計
現状把握が出来た時点で、必要工数や人数などを見積もりましょう。
最初に全社的な「個人情報保護基本方針」を作るのは難しいと思いますが、
ラフデザインとして「個人情報保護方針」原案を作成しておきましょう。
必要に応じて、部門毎や事業毎の「個人情報保護個別方針」を立ててもよいでしょう。
この時点で、作業工程やスケジュールを固め、代表者の了承を得るとよいでしょう。
理想と現実のギャップを埋める作業を以下の
Step 5〜6 で行うことになります。
スケジュールを組む場合、CP 構築フェーズであっても、
「継続的改善」を意識し、
スパイラルアップ を
最低２、３回実践(練習)することを念頭に置いておきましょう。
作業の進め方として、全体を一律に進めるのではなく、
一部の部署を 先発隊 として導入し、
ある程度実践ができてから全社的に反映させるなど、
CP 完成までの基本計画を立てましょう。
また、取り組み段階から 社員情報
も JIS 準拠の枠組で行えば、
情報主体の立場を ロールプレイング できるので、
スタッフの意識高揚にも繋がって
教育的効果 も高いと思われます。
フィードバックを反映しつつ、事業の CP を作る上での参考になると思われます。
Phase5: CP 構築
JIS Q 15001
に書かれてある 25 個の要求事項をすべて満たさなければなりません。
CP 作成にあたっては以下の資料を参考にするとよいでしょう。
コンサルや CP の雛型を使用された場合、
そのままでは自社の状況に合ってない場合も多く、
実行可能な状態でないと思われます。
個人的な経験では、審査にならないケースが多かったので、
これらを利用された場合は、
自社の状況にフィットするように、特に念入りに“チェック”する必要があります。
“チェック”といっても、CP をじっと眺めることではなく、
みんなで実践しながら、不具合点を見つけ出し、
修正していくスタイルがいいかと思います。
いわゆる“バグフィクス”になりますが、CP 自身だけでなく、
既存の 関連規程
などの修正もあるかと思います。
CP 構築時点の初期段階では、罰則規程と連動しない
“ガイドライン”の形での実施でもいいかもしれません。
教育、自己評価、アンケートなどのフィードバックを通じて
「Phase6:CP のシェイプアップ」 へつなげていきます。
Phase6: CP のシェイプアップ
JIS Q 15001
はマネジメントシステムの要求事項であり、
スパイラルアップの継続的改善
の体制を求める記述でありますが、
プライバシーマークへの申請にあたっては、
体制 や
規程 の整備だけではなく、
実効性やパフォーマンスも求めています。
よって CP 作成後、試験運用を経て導入時監査を行い、不具合を明確にし、
バグフィックス 作業を行って行きます。
導入時監査にあたっては以下の資料を参考にするとよいでしょう。
この「監査ガイドライン」は、
“導入時監査”を念頭において書かれてある(と思われる)ので、
監査項目自体も PDCA サイクルと共にスパイラルアップ
していく必要があるでしょう。
※監査のチェックリストが「監査ガイドライン」のままの段階で
申請するのはやめておいた方がよいでしょう。
個人情報保護方針
や同意を求める告知文など、
対外的に公開するものも見直しして、適宜修正しましょう。
Phase7: プライバシーマーク申請
プライバシーマークを申請する場合には、
申請にあたって「Phase2: プライバシーマーク制度の理解」を再度確認する。
プライバシーマークを取得した場合は、事業者名が公表され、注目されることとなります。
プライバシーマークを取得するリスク も無視できないので、
申請書を各段階で「