Pマーク審査において、個人携帯の「アドレス帳点検の拒否権」を規程から削除しても問題ありませんか？
プライマシーマークサンプル文書集の「PMS-B01 個人情報取扱及び保護規程」について質問があります。
「3.2.3物理的安全管理措置」の「(3)盗難等の防止 4)携帯電話の取り扱い」において、個人所有の携帯電話も登録する方向で進めておりますが、P30の1行目に、以下の文言とあります。
『個人情報保護管理者からアドレス帳の点検を・・・・・・
ただし、所有者個人は拒否する権利があります。』
個人の携帯を「パスワードを解除して提示せよ」と管理者が命令するのはいささか暴力的でそれこそ従業員個人のプライバシー侵害と考えています。
よってこの項目を削除したいのですが、審査上問題ないでしょうか。
ご教示ください。
個人所有携帯電話の管理項目に関するご質問に、実務的な観点から回答申し上げます。
結論から申し上げますと、ご指摘の「アドレス帳の提示要求」に関する記述を削除し、貴社の実態に合わせた運用に変更しても審査上問題ありません。
むしろ、昨今のデジタルフォレンジックやプライバシー意識の高まりを鑑みると、貴社のように「従業員のプライバシー」に配慮した現実的なルールへカスタマイズすることは、PMS（個人情報保護マネジメントシステム）の妥当性を高めるものと評価されます。
社内での合意形成と審査対策を両立させるため、以下の3つのポイントで整理・検討されることを推奨いたします。
1. 規定削除が審査に与える影響
Pマーク審査において重要なのは、形式的な規定の有無ではなく、「自社のリスクをどう把握し、実効性のある対策を講じているか」という点です。
従業員のプライバシー侵害のリスク（法的・倫理的リスク）を考慮し、実効性の乏しい「点検」規定を削除することは、PMS（マネジメントシステム）の改善として合理的な判断です。
- 削除の判断：
管理者が個人の端末を強制的にロック解除・提示させる運用が実務上困難（あるいはハラスメントのリスクがある）と判断される場合、その項目を削除し、別の方法でリスクを低減させる考え方は正当なプロセスです。 - 代替策の明確化：
単に削除するだけでなく、万が一の紛失・盗難時に「どのような報告をさせ、どう対処するか」という代替的なルールが整備されていれば、審査上の不適合になることはありません。
2. 満足度・有用性を高める代替策（BYOD運用の最適化）
「点検」という強制力のある手段の代わりに、以下のような「ルールによる管理」へのシフトを推奨します。
- リモートワイプ（遠隔消去）への同意：
紛失・盗難等の緊急時に、私的データを含め遠隔消去することへの同意をあらかじめ書面で得る。 - 利用範囲の限定：
「業務上の連絡先は私用アドレス帳に登録せず、会社指定のチャットツール等で完結させる」といった運用ルールの徹底。 - 自己申告制の導入：
管理者が中身を見るのではなく、本人が定期的に「セキュリティ設定の維持」を確認し、報告する仕組みにする。
3. 運用のアドバイス
弊社のサンプルに「拒否する権利」を明記しているのは、個人のプライバシー保護との兼ね合いを各社で検討いただくための「判断材料」として用意しているためです。
セキュリティ管理は、リスクを最小化するために「人はミスをしたりルールを逸脱したりする」という前提（性悪説）で設計せざるを得ない側面があります。しかし、過度な制約（無理な点検規定など）は「隠れ利用（シャドーIT）」を誘発し、かえって管理外の漏えいリスクを高めます。
ご質問の場合のように協力できない場合は、会社の「BYODポリシー」（Bring Your Own Device 私物デバイスを業務で活用すること）にもよりますが、登録したデバイスが盗難や紛失した場合、遠隔消去の実行によりプライベートな情報も削除されることを明記した「同意書」等を徴求するといった対策を講じる方法もあるかと思います。
「会社は個人のプライバシーを尊重する。その代わり、従業員は業務データの取り扱いにおいてこのルールを守る」という、双方向の信頼に基づく「BYOD利用規程」として整備し直すことが、結果として最も強固なセキュリティに繋がります。
