JIPDECセミナー「個人情報保護法規則/ガイドライン改正の実務対応のポイント」
牛島総合法律事務所

弁護士中井杏氏

本資料は、2024年2月27日（火）開催、JIPDECセミナーで配布した資料です。
セミナーお申込み者様限定での配布となりますので、WEB、SNS等への掲載、転載はご遠慮ください。
※本セミナーおよび講演資料は、プライバシーマークの構築運用指針を解説するものではありません。

2024.02.27©2024 JIPDEC All Rights Reserved.

個人情報保護法規則/ガイドライン改正の実務対応のポイント

JIPDECセミナー
2024年2月27日
牛島総合法律事務所
弁護士 中井 杏
ann.nakai@ushijima-law.gr.jp / 03-5511-3214

Ushijima & Partners

お問い合わせ先
牛島総合法律事務所

弁護士中井 杏03-5511-3214
ann.nakai@ushijima-law.gr.jp
東京都千代田区永田町2-11-1 山王パークタワー14階
2018.122021.42023.5

弁護士登録（第71期） 牛島総合法律事務所入所
個人情報保護委員会 出向
牛島総合法律事務所にて執務再開【著作等】

 「『犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について』の解説」(NBL1242号)
 「実務問答 個人情報保護法（第3回）AI開発における学習用データの利用目的と学習済みパラメータの取扱い」 (NBL1254号)
 「外国への個人情報の提供（越境移転）と外的環境の把握の実務」（U&P特集記事）
 「ベトナム個人情報保護政令（PDPD）への実務対応」（U&P特集記事）
 「これから始める個人情報保護法対応４つのポイント」（U&P特集記事）
 「生成AIサービスに関する個人情報保護委員会からの注意喚起と実務への影響」（2023.6.5 ニューズレター）
 「個人情報保護委員会による行政指導の近時の傾向」（2023.8.30ニューズレター）
 「個人情報保護法規則・ガイドラインの改正案の公表（2023年9月13日）」（2023.9.19ニューズレター）
 「個人情報保護法規則・ガイドラインのパブリックコメント結果の公表（2023年12月18日）」（2023.12.18ニューズレター）
 「顧客情報の持ち出しに関する個人情報保護法上の刑事責任と実務対応」（2023.12.15ニューズレター）
 「個人情報保護委員会による行政指導の近時の傾向（2023年9月～2024年1月）」（2024.1.30ニューズレター）
ほか
2

目次

1 改正の全体像と今後のスケジュール
2 安全管理措置の対象明確化
3 漏えい等報告の対象拡大
4 実務対応February 27, 2024

Ushijima & Partners

1. 改正の全体像と今後のスケジュール(1) 改正事項と対応、スケジュールのまとめ●改正対象・施行規則（7条3号など）
・ガイドライン（通則編、第三者提供時の確認・記録義務編、行政機関等編、外国にある第三者への提供編）●改正内容【安全管理措置・漏えい等報告】①安全管理措置の対象であることが明確化②不正行為による漏えい等の場合の報告対象に追加取得しようとしている個
人情報であって、個人データとして取り扱うことを予定しているもの

取得した個人情報であって、個人データとして取り扱うことを予定しているもの(DB化する予定はあるがDB化されていない個人情報)

個人データ(DB化された個人情報)改正の背景：Webスキミングによる個人情報の流出事案【外国制度の調査】

ガバメントアクセスが本人の権利利益に重大な影響を及ぼす可能性があるか否かの判断に当たり、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられることが示された。

●対応事項【安全管理措置・漏えい等報告】①プライバシーポリシーの改正②社内規程（個人情報取扱規程など）の改正③委託契約書の見直し④個人情報を取得するために利用するサービスの契約見直し⑤基準適合体制のための契約書の修正⑥社内への周知【外国制度の調査】→特になし●対応スケジュール・2023年12月27日
・2024年2～3月
・2024年4月1日※

改正規則・ガイドライン公布
パブコメ結果公表
Q&A・分野別ガイドライン改定？
改正規則・ガイドライン施行

安全管理措置、外国制度調査に関する部分は施行済み

1. 改正の全体像と今後のスケジュール(2) 改正の問題意識
 Webスキミングとは？
利用者②個人情報を入力し注文確定ボタン押下

ECサイトのページ<script src=https:///ajax.googlevapis.com/ajax/libs/*******.js></script>③攻撃者のサーバにも送信

攻撃者に流出する情報は、個人情報取扱事業者が取得しようとする個人情報だが個人情報取扱事業者にとっての個人データではない（個人情報取扱事業者）
Webサーバ①サーバに侵入して注文確定ボタンを押下すると攻撃者のサーバにも送信するコードを埋め込む④正常に決済も行われる

攻撃者

決済サービス会社

目次

1 改正の全体像と今後のスケジュール
2 安全管理措置の対象明確化
3 漏えい等報告の対象拡大
4 実務対応February 27, 2024

Ushijima & Partners

2.安全管理措置の対象明確化(1) 改正内容
 個人情報取扱事業者は、個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、技術的安全管理措置及び外的環境の把握等を行わなければならない（法23条）。
 通則ガイドライン3-4-2
改正ガイドライン
現行個人情報取扱事業者は、その取り扱う個人データの漏えい、 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えいじなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
切な内容としなければならない。
なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。

2.安全管理措置の対象明確化(1) 改正内容
 安全管理措置は、「個人情報」ではなく「個人データの安全管理」が目的

法23条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

 「個人情報」と 「個人データ」

個人情報→データベース化されていない散在情報

個人データ→特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの等

データベース化

金融分野ガイドラインQ&A 問Ⅱ-7（抜粋）(問) 顧客から提出された書類と「個人データ」について、契約書等の書類の形で本人から提出され、これからデータベースに登録しようとしている情報は「個人データ」に該当するか。
(答)「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16条第3項）。データベース化
されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。

 改正で「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」は、（個人情報ではあるが）個人データの安全管理措置の一環として安全管理措置が求められることが明らかになった。

2.安全管理措置の対象明確化(2) 取得しようとしている個人情報とは何か●Webスキミングの場合取得した個人情報

取得しようとしている個人情報

利用者

個人情報を入力
ECサイト
・氏名、配送先住所
・クレジットカード情報 のページ

攻撃者のサーバにも送信
・氏名、配送先住所・クレジットカード情報

・氏名、配送先住所・購入商品情報

個人情報取扱事業者
Webサーバ・クレジットカード情報

攻撃者
決済サービス会社

個人データ

個人情報取扱事業者の個人情報データベース等を構成

2.安全管理措置の対象明確化(2) 取得しようとしている個人情報とは何か●顧客から紙の申込書で個人情報を取得する場合取得しようとしている個人情報

取得した個人情報

顧客データベースに登録・氏名、住所・申込商品の情報等

会社に持ち帰ってデータベースに登録するぞ！

個人データ

個人情報取扱事業者の個人情報データベース等を構成

2.安全管理措置の対象明確化(2) 取得しようとしている個人情報とは何か取得しようとしている個人情報

A社

取得した個人情報

個人データ

B社

委託関係にない第三者から個人情報の提供を受ける場合であっても、事業者Bを原因とする漏えい等を防止するために必要かつ適切な措置は行わなければならない（パブコメ31番）

2.安全管理措置の対象明確化(3) その他注意点
 保有個人データに関する事項の公表等

 保有個人データの安全管理のために講じた措置の対象に「個人情報取扱い事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる」と追記（通則ガイドライン3-8-1）

 外国にある第三者への個人データの提供ー基準適合体制

 データ移転契約などで個人情報保護法の趣旨に沿った措置の実施を確保することで本人の同意なく外国にある第三者に個人データを提供することが可能
 安全管理措置に関する事項の対象に「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」も含める必要あり（パブコメ26番参照）

 対応スケジュール

 安全管理措置に関する事項は、改正ガイドラインの施行（2024年4月1日）を待たず、直ちに対応する必要あり
 安全管理の対象範囲について、従前からの解釈を明確化したものであるため（パブコメ27番）

目次

1 改正の全体像と今後のスケジュール
2 安全管理措置の対象明確化
3 漏えい等報告の対象拡大
4 実務対応February 27, 2024

Ushijima & Partners

3.漏えい等報告の対象拡大(1) 改正内容
 現行法では、個人データの漏えい、滅失、毀損が発生し、①～④に該当する場合は、個人情報保護委員会に報告をしなければならない（法26条）。
①要配慮個人情報、②財産的被害が生じるおそれのある情報、③不正目的、④本人が1000人を超える場合
 規則改正により③の場合の報告対象が追加された（※③以外の対象は追加されていない）
改正規則

現行

（個人の権利利益を害するおそれが大きいもの）（個人の権利利益を害するおそれが大きいもの）第7条 法第26条第1項本文の個人の権利利益を害す 第7条 法第26条第1項本文の個人の権利利益を害す
るおそれが大きいものとして個人情報保護委員会
るおそれが大きいものとして個人情報保護委員会
規則で定めるものは、次の各号のいずれかに該当規則で定めるものは、次の各号のいずれかに該当するものとする。
するものとする。
三 不正の目的をもって行われたおそれがある個
三 不正の目的をもって行われたおそれがある当
人データの漏えい等が発生し、又は発生したお該個人情報取扱事業者に対する行為による個人それがある事態
データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態

 本人通知の対象も拡大

2. 漏えい等報告の対象拡大
 漏えい等報告が必要となった具体的な例（通則ガイドライン3-5-3-1）

 個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき（事例6）→Webスキミング
 個人情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報取扱事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき（事例7）→フィッシングサイト
 個人情報取扱事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき（事例8）2. 漏えい等報告の対象拡大(i)「当該個人情報取扱事業者に対する行為による個人データ…の漏えい等」(i)-1「当該個人情報取扱事業者」

 不正の目的をもって行われた行為を受ける者としては、個人情報取扱事業者のみならず、委託先や、個人情報取扱事業者が個人データ又は個人情報を取り扱うにあたって第三者の提供するサービスを利用している場合における当該第三者を含むとされている（通則ガイドライン3-5-3-1(3)）。
第三者として想定される事例
 個人情報取扱事業者が、個人情報の取得手段として外部の事業者のサービスを活用している場合における、当該外部の事業者（パブコメ47番）→個人情報の入力フォームを設置したウェブサイトの運用管理を業務委託している際の業務委託先が含まれると考えられる
 個人情報取扱事業者が個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合で、当該第三者が当該個人情報を個人データとして取り扱う予定はない場合の第三者（通則ガイドライン3-5-3-1(3)※3）→個人情報であるアンケート回答の回収を第三者に業務委託するものの、当該第三者においてアンケート回答の整理等は行わせず、体系的に構成しないまま、業務委託元に提供させ、業務委託元において、個人情報データベース等として整理する場合（パブコメ30番）

2. 漏えい等報告の対象拡大(i)「当該個人情報取扱事業者に対する行為による個人データ…の漏えい等」(i)-2「当該個人情報取扱事業者に対する行為」

 改正規則案で漏えい等報告の対象となっているのは「当該個人情報取扱事業者に対する行為」による漏えい等であり、個人情報取扱事業者のウェブサイトが改ざんされた場合や、顧客が事業者に申込書を送付したときに配送過程で窃盗にあい申込書が所在不明になった場合が想定されている
漏えい等報告の対象になる例

漏えい等報告の対象にならない例

 個人情報取扱事業者のウェブサイトが改ざんされたことにより、顧客がフィッシングサイトに遷移させられた場合

 検索エンジンで検索をした結果として表示された、個人情報取扱事業者のウェブサイトと類似したフィッシングサイトに、顧客がアクセスし個人情報を入力してしまった場合
 SMSでフィッシングサイトが送られ、顧客が当該フィッシングサイトにアクセスして、個人情報を入力してしまった場合

2. 漏えい等報告の対象拡大(ii)「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報」

 「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報」が含まれたことにより、取得しようとしている個人情報と、取得したものの未だデータベース化されていない個人情報も、漏えい等した場合には報告の対象となる。
 「取得しようとしている個人情報」とは、「当該個人情報取扱事業者が用いている個人情報の取得手段等を考慮して客観的に判断する」とされている。

 ウェブサーバへ送信させる入力ページに個人情報を入力させる場合など、現に個人情報を取得しようとしている場合は含まれる 他方、ウェブサーバへは送信されないクレジットカード決済の情報だけが攻撃者に送信される場合、クレジットカード決済情報は個人情報取扱事業者が「取得しようとしている」とはいえないのでは？

2. 漏えい等報告の対象拡大
 「個人データとして取り扱われることが予定されているもの」

 個人情報取扱事業者が取得し、又は取得しようとしている個人情報のうち、個人情報データベース等へ入力することが予定されている個人情報が漏えい等報告の対象
 個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等も該当する。
 「個人データとして取り扱われることが予定されているもの」の判断の基準時は、漏えい等又はそのおそれが発生した時点（パブコメ17番）
 当初は個人データとして取り扱われることが予定されていたが、その予定がなくなった後に漏えい等し又はそのおそれが生じた個人情報は、漏えい等報告の対象ではない（パブコメ50番）
漏えい発生
→報告対象
データベースに入力しよう

漏えい発生→報告対象ではない

散在情報にしておこう目次

1 改正の全体像と今後のスケジュール
2 安全管理措置の対象明確化
3 漏えい等報告の対象拡大
4 実務対応February 27, 2024

Ushijima & Partners

4. 実務対応
 全体像
１

対応事項

根拠対応時期

プライバシーポリシーの改正

通則GL3-8-1

直ちに(1)安全管理措置の対象

通則GL3-4-2

直ちに(2)漏えい等報告

施行規則7条3号

2024/4/1まで(1)安全管理措置の対象

通則GL3-4-4、3-4-2

直ちに(2)漏えい等報告

施行規則7条3号

2024/4/1まで

第三者との覚書締結

施行規則7条3号

2024/4/1まで(1)安全管理措置の対象

外国第三者GL4-2、通則GL3-4-2

直ちに(2)漏えい等報告

施行規則7条3号

2024/4/1まで

社内規程の改正２

委託契約書の修正
３４

基準適合体制のための契約書等の修正
５

4. 実務対応(1) プライバシーポリシーの改定
 プライバシーポリシーの改定（通則GL3-8-1、直ちに要対応）（現行の規程例）（個人データの安全管理）第○条 当社は、個人データについて、以下のとおり漏えい、滅失又は毀損の防止その他の個人データの適切な管理のための措置を講じています。
第○条 当社は、個人情報について、以下のとおり漏えい、滅失又は毀損の防止その他の個人データの適切な管理のための措置を講じています。

（改正後の規程例）（個人データの安全管理）
第○条 当社は、個人データ（当社が取得し、又は取得しようとしている個人情報であって、当社が個人データとして取り扱うことを予定しているものを含む）について、以下のとおり漏えい、滅失又は毀損の防止その他の個人データの適切な管理のための措置を講じています。
第○条 当社は、個人情報（当社が取得し、又は取得しようとしている個人情報を含む）について、以下のとおり漏えい、滅失又は毀損の防止その他の個人データの適切な管理のための措置を講じています。

4. 実務対応(2) 社内規程の改定
 安全管理措置（通則GL3-4-2、直ちに要対応）（現行の規程例）（個人データの安全管理）
第○条 当社は、個人データの漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、第2節ないし第5節に定める措置を講ずるものとする。
第○条 当社は、個人情報の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、第2節ないし第5節に定める措置を講ずるものとする。

（改正後の規程例）（個人データの安全管理）
第○条 当社は、個人データ（当社が取得し、又は取得しようとしている個人情報であって、当社が個人データとして取り扱うことを予定しているものを含む）の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、第2節ないし第5節に定める措置を講ずるものとする。
第○条 当社は、個人情報（当社が取得し、又は取得しようとしている個人情報を含む）の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、第2節ないし第5節に定める措置を講ずるものとする。
※従業員の監督、委託先の監督にかかる事項も改定が必要

4. 実務対応(2) 社内規程の改定
 漏えい等報告の対象（施行規則7条3号、4月1日までに対応）（現行の規程例 2024年4月1日以降の規程例）（個人情報保護委員会への報告及び本人への通知）
第○条 以下のいずれかの事態が生じた場合は、個人情報保護法に従い、個人情報保護委員会に通知するとともに、本人に通知する。
1. 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
2. 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
3. 不正の目的をもって行われたおそれがある当社及び当社委託先等に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事
態
4. 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

4. 実務対応(2) 社内規程の改定
 社内対応の案

1. 社内の漏えい等対応部署への報告対象に以下が追加されたと周知する① 自社、委託先、自社が利用するサービスへの不正行為により、取得した個人情報（データベースに入力する前のものを含む）が漏えい等した場合② 自社、委託先、自社が利用するサービスへの不正行為により、自社が取得しようとしていた個人情報が第三者に取得されてしまった場合

2. 漏えい等対応部署にて以下の観点から漏えい等報告対象事案かどうかを判断する① 当該個人情報は個人データとして取り扱われる予定があったか② 漏えい等に当たるか

i. 漏えい、滅失、毀損のいずれが発生又は発生しているおそれがあるか
ii. 漏えいの場合、第三者が閲覧している又はおそれがあるか
iii. 「おそれ」の程度は「漏えい等が疑われるものの漏えい等が生じた確証がない」程度であるといえるか。
（抽象的な可能性があるだけでは足りない）

4. 実務対応(3) 委託契約の修正
 修正が必要な事項

 委託契約で定める安全管理措置の対象の修正（通則GL3-4-4、3-4-2、直ちに要対応）
 漏えい等報告の対象の修正（施行規則7条3号、4月1日までに対応）（現行の条項例）（本契約の目的）
第1条 本契約は〇〇契約（以下、「原契約」という。）に基づき委託者が受託者に委託する業務における個人情報の取扱いについての、乙における安全管理措置を遵守するための義務等を定めることを目的とする。

（条項の修正例）（本契約の目的）
第1条 本契約は〇〇契約（以下、「原契約」という。）に基づき委託者が受託者に委託する業務における個人情報（乙が取得し、又は取得しようとしている個人情報を含む。）の取扱いについての、乙における安全管理措置を遵守するための義務等を定めることを目的とする。

4. 実務対応(4) 第三者との覚書の締結
 個人データの取扱いを委託していない運用委託先や、サービス提供元との契約漏えい等発生時の報告義務を追加する必要があるか、要検討（運用委託契約やサービス提供契約などの新条項案）（インシデント報告）
第○条 乙は、本件ウェブサイトにおいて改ざん、情報漏えい、不正アクセス、その他のセキュリティインシデント（以下「本件インシデント等」という。）が発生し又は発生したおそれがある場合には、直ちに次の各号に定める事項を甲に報告するものとする。
なお、報告時において不明な事項がある場合、乙は明らかになり次第速やかに、遅くとも本件インシデント等の発生から50日以内に、甲に報告するものとする。
(1) 本件インシデント等の概要(2) 本件インシデント等の原因(3) 再発防止のための措置(4) その他参考となる事項
２ 乙は、甲が本件インシデント等の調査その他の対応のために必要な協力を行うものとし、甲から指示された再発防止のための措置に従うものとする。

※当該サービスを多数の者が利用する場合、クラウドサービス事業者による代行報告もあり得る。

4. 実務対応(5) 基準適合体制のための契約書等の修正
 修正が必要な事項

 安全管理措置の対象の修正（外国第三者GL4-2、通則GL3-4-2、直ちに要対応）
 漏えい等報告の対象の修正（外国第三者GL4-2、施行規則7条3号、4月1日までに対応）（現行の規程例）（個人データの安全管理）
第○条 提供先は、個人データの漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、別紙に定める措置を講ずるものとする。
第○条 提供先は、個人情報の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、別紙に定める措置を講ずるものとする。

（改正後の規程例）（個人データの安全管理）
第○条 提供先は、個人データ（当社が取得し、又は取得しようとしている個人情報であって、当社が個人データとして取り扱うことを予定しているものを含む）の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、別紙に定める措置を講ずるものとする。
第○条 提供先は、個人情報（当社が取得し、又は取得しようとしている個人情報を含む）の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、別紙に定める措置を講ずるものとする。
※従業員の監督、委託先の監督、漏えい等報告にかかる条項も改定が必要4. 実務対応
(6) その他
 個人情報取扱台帳

 法令上、対応の変更は必須ではない 組織的安全管理措置としての「個人データの取扱状況を確認する手段の整備」で把握することが考えられるとされている項目は、①個人情報データベース等の種類、名称、②個人データの項目、③責任者・取扱部署、④利用目的、⑤アクセス権を有する者→個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」についても既にカバーされている。
 もっとも上記以上に詳細な個人情報取扱台帳を作成し、取扱状況の把握を行っている場合、「個人情報を取得する際に利用しているサービス」を調査項目に追加することが考えられる。
①個人情報を取得する際に利用しているサービス②サービス提供事業者名③取得しようとしている個人情報が第三者に漏えいした場合にサービス提供事業者が報告することの義
務付けの有無 など

※本セミナーおよび講演資料は、プライバシーマークの構築運用指針を解説するものではありません。
©2024 JIPDEC All Rights Reserved.