2022 年 4 月 28 日改訂
一般財団法人日本情報経済社会推進協会(JIPDEC)
プライバシーマーク推進センター
プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針
本指針の位置づけ
本指針は、「プライバシーマーク制度基本綱領」第 7 条 4 項に規定する「指針」であり、事業者がプライバ
シーマーク制度において個人情報保護マネジメントシステムを構築、実施、改善、維持するために必要な事項を定めるものである。
本指針は、従来からあるマネジメントシステム部分を要求事項として、より明確にし、JIS Q 15001 や法令、国が定める指針その他の規範を踏まえ、付与機関が定める事業者向けの指針としてより解り易くすることを目的として作成した。
本指針の見方· 各要求事項は、項番（J から始まる番号）と表題（タイトル）で構成される。
 表題の末尾のカッコ書きに示された記号は、JIS Q 15001:2017 の要求事項（本文、及び附属書 A）との対応を示すものである。
· 各要求事項は表形式で示されており、「No.」、「項目」、「参照項番」、「留意事項」から構成される。
 「項目」とは、当該項番の要求事項（実施すべき内容）を示すものである。
 「参照項番」とは、当該項目の要求事項に対し、他の項目を踏まえて対応する必要があるものについて、その項番を示すものである。
 「留意事項」とは、当該項目の要求事項について、必要に応じて補足説明するものである。
適用範囲
本指針は、事業者が、自らの事業の用に供している個人情報に関して、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善するための要求事項について定める。本指針で定める要求事項は、事業の種類又は事業者の規模を問わず、全ての事業者に適用できることを意図している。この事業者は、個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下、「個人情報保護法」という。）に定める個人情報取扱
事業者を意味する。
（「事業の用に供している」の「事業」とは、一般社会通念上事業と認められるものをいい、営利事業だけを対象とするものではない。このため、例えば従業者の個人情報は、事業の用に供している個人情報である。
）
準拠する規格
本指針は JIS Q 15001:2017 に準拠している。
用語及び定義（表題）
本指針で用いる主な用語及び定義は、JIS Q 15001:2017、及び個人情報保護法で用いられている表現に基づいている。

1 / 63

改訂履歴
版
0.9

制定・改定日2021 年 8 月 30 日

項番
－

1.0

2022 年 1 月 19 日

1.0.1

2022 年 2 月 1 日

J.8.3
J.8.6
J.8.8
J.8.8.1
J.8.8.2
J.8.8.3
J.8.8.4
J.8.10J.9.2
J.10.1
J.10.2
J.10.3J.10.5J.8.8.4

No.4、留意事項

1.0.2

2022 年 2 月 14 日

J.8.8

No.2 b)J.8.8.2
J.8.8.3

No.2、留意事項

J.3.1.1

No.4

J.3.1.4

留意事項

J.4.4.2

留意事項

J.4.5.3

-

J.8.5

留意事項

1.0.3

2022 年 4 月 28 日

位置
－

－

2 / 63

改定箇所・理由「プライバシーマーク付与適格性審査基準」の刷新に伴い、「プライバシーマークにおける個人情報保護マネジメント
システム構築・運用指針」を新設する。
2022 年 4 月 1 日施行 改正個
人情報保護法に伴う項目の追加（J.8.8.4、J.8.10）及び一部
項目への追記・修正。

施行日2022 年 4 月 1 日

2022 年 4 月 1 日

2022 年 4 月 1 日施行 改正個 2022 年 4 月 1 日
人情報保護法と整合させるための修正、追加及び削除。
2022 年 4 月 1 日施行 改正個 2022 年 4 月 1 日
人情報保護法により、オプトア
ウト時にあらかじめ本人に通知等を行う事項が追加された
ことに伴い、当該箇所へ 8)を追記。
留意事項へ記載していた内容
を、より事業者へわかりやすい形とするため当該箇所へ h)～j)を追記し、留意事項を一部削除。
記載を「～年一回適宜に～」か 2022 年 4 月 28 日
ら「～年一回、及び必要に応じて適宜に～」へ修正。
「（放置していてよい～）」から「（放置しておいてよい～）」へ修正。
「インシデント（事故）の～）」から「インシデント（事故等の～）」へ修正。
「（記録を除く）」を「（記録を除く。）」へ修正。
「J.8.4 の措置（あらかじめその利用目的を公表すること）」
を「J.8.4（個人情報を取得した
場合の措置）」へ修正。

J.8.7

留意事項

J.8.7

留意事項

J.8.8
J.8.8

No.2
No.2

J.8.8.3
J.8.10No.4
No.5

J.8.10No.5 g)J.10.5

No.3

J.11.1

No.4

J.3.1.2
J.3.1.4
J.4.5.2
J.6.3
J.8.8
J.3.1.3
J.3.3
J.4.3
J.6.2
J.6.3

No.1、No.2
No.1 a)
No.2
No.3
No.3
No.1
No.1
No.1
No.2
No.2

「何れか」を「いずれか」へ修正。
「～6 次に示す事項～」の「次」を削除。
「または」を「又は」へ修正。
「法人あっては」を「法人にあっては」へ修正。
「保存」を「保管」へ修正。
「～講じたうえで～」を「～講じた上で～」へ修正。
「事業の継承」を「事業の承継」
へ修正。
「～もしくは～」を「～若しくは～」へ修正。
「～申し出先～」を「～申出先～」へ修正。
「あたって」を「当たって」へ修正。

「～年一回及び～」から「～年一回、及び～」へ修正。

3 / 63

目次
J.1 組織の状況（表題）…………………………………………………………………………………………………………………P.4～8
J.1.1 組織及びその状況の理解
J.1.2 利害関係者のニーズ及び期待の理解
J.1.3 法令、国が定める指針その他の規範
J.1.4 個人情報保護マネジメントシステムの適用範囲の決定
J.1.5 個人情報保護マネジメントシステム
J.2 リーダーシップ（表題）……………………………………………………………………………………………………………P.9～13
J.2.1 リーダーシップ及びコミットメント
J.2.2 個人情報保護方針
J.2.3.1 組織の役割、責任及び権限
J.2.3.2 個人情報保護管理者と個人情報保護監査責任者
J.2.4 管理目的及び管理策（一般）
J.3 計画（表題）…………………………………………………………………………………………………………………………P.14～19
J.3.1.1 個人情報の特定
J.3.1.2 リスク及び機会に対処する活動
J.3.1.3 個人情報保護リスクアセスメント
J.3.1.4 個人情報保護リスク対応
J.3.2 個人情報保護目的及びそれを達成するための計画策定
J.3.3 計画策定
J.4 支援（表題）…………………………………………………………………………………………………………………………P20～29
J.4.1 資源J.4.2 力量
J.4.3 認識J.4.4.1 コミュニケーション
J.4.4.2 緊急事態への準備
J.4.5.1 文書化した情報（一般）
J.4.5.2 文書化した情報の管理
J.4.5.3 文書化した情報（記録を除く）の管理
J.4.5.4 内部規程
J.4.5.5 文書化した情報のうち、記録の管理
J.5 運用（表題）………………………………………………………………………………………………………………………………P30
J.5.1 運用
J.6 パフォーマンス評価（表題）………………………………………………………………………………………………………P31～33
J.6.1 監視、測定、分析及び評価
J.6.2 内部監査
J.6.3 マネジメントレビュー
J.7 改善（表題）…………………………………………………………………………………………………………………………P34～35
J.7.1 不適合及び是正処置
J.7.2 継続的改善
J.8 取得、利用及び提供に関する原則（表題）………………………………………………………………………………………P36～50
J.8.1 利用目的の特定
J.8.2 適正な取得
J.8.3 要配慮個人情報
J.8.4 個人情報を取得した場合の措置
J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置
J.8.6 利用に関する措置
J.8.7 本人に連絡又は接触する場合の措置
J.8.8 個人データの提供に関する措置
J.8.8.1 外国にある第三者への提供の制限
J.8.8.2 第三者提供に係る記録の作成など
J.8.8.3 第三者提供を受ける際の確認など
J.8.8.4 個人関連情報の第三者提供の制限など
J.8.9 匿名加工情報
J.8.10 仮名加工情報
J.9 適正管理（表題）……………………………………………………………………………………………………………………P51～54
J.9.1 正確性の確保
J.9.2 安全管理措置
J.9.3 従業者の監督
J.9.4 委託先の監督
J.10 個人情報に関する本人の権利（表題）…………………………………………………………………………………………P55～61
J.10.1 個人情報に関する権利
J.10.2 開示等の請求等に応じる手続
J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など
J.10.4 保有個人データの利用目的の通知
J.10.5 保有個人データ又は第三者提供記録の開示
J.10.6 保有個人データの訂正、追加又は削除
J.10.7 保有個人データの利用又は提供の拒否
J.11 苦情及び相談への対応（表題）…………………………………………………………………………………………………………P62
J.11.1 苦情及び相談への対応

4 / 63

J.1 組織の状況（表題）J.1.1 組織及びその状況の理解（4.1）
項目No.
1
事業者は、個人情報を取り扱う事業に関して、個人情報保護マネジメントシス
テムに影響を与えるような外部及び内部の課題を特定すること。

参照項番
J.1.2（4.2）
J.1.3（A.3.3.2）
J.4.1（7.1）<<留意事項>>※ 「個人情報保護マネジメントシステムに影響を与えるような課題の把握」とは、個人情報の取扱いに関する法令、国が定める指針その他の規範、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源（人員・組織基盤・資金）、セキュリティ対策等の観点から、現状のみならず、将来実施するであろう事業を踏まえて洗い出すことを求めている。

5 / 63

J.1.2 利害関係者のニーズ及び期待の理解（4.2）
項目
参照項番
No.
1
事業者は、次の事項を特定すること。
J.1.3（A.3.3.2）
a)個人情報保護マネジメントシステムに関連する利害関係者
b)その利害関係者の、個人情報保護に関連する要求事項<<留意事項>>※ 利害関係者とは、本人及び個人情報保護マネジメントシステムに関連する個人、事業者及び団体（委託元（及び委託元の顧客）、委託先）、等を指す。
※ 利害関係者の要求事項には、法令、官公庁等のガイドライン、事業者の所属団体による自主規制、商慣習に基づき遵守が求められる事項、取引先等との間の契約上の義務等を含めてもよい。

6 / 63

J.1.3 法令、国が定める指針その他の規範（A.3.3.2）
項目
参照項番
No.
1
事業者は、個人情報の取扱いに関する法令、国が定める指針その他の規範（以下、 J.2.4（A.3.1.1）「法令等」という。）を特定し参照する手順を内部規程として文書化すること。 J.4.5.4（A.3.3.5）
2
法令等を特定し参照すること。
<<留意事項>>※ 参照とは、特定した法令等の内容を事業者が遵守することを含む。

7 / 63

J.1.4 個人情報保護マネジメントシステムの適用範囲の決定（4.3）
項目No.
1
事業者は、自らの事業の用に供している全ての個人情報の取扱いを個人情報保護
マネジメントシステムの適用範囲として定め、その旨を文書化すること。
<<留意事項>>8 / 63参照項番

J.1.5 個人情報保護マネジメントシステム（4.4）
項目No.
1
事業者は、本指針に従って、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、継続的に改善すること。
<<留意事項>>9 / 63

参照項番
J.1~J.11

J.2 リーダーシップ（表題）
J.2.1 リーダーシップ及びコミットメント（5.1）
項目
参照項番
No.
1
トップマネジメントは、次の事項について統率し、その結果について責任を持つ J.1.2（4.2）
こと。
J.1.5（4.4）a)事業者の戦略的な方向性と両立した、個人情報保護方針及び個人情報保護目的 J.2.2（5.2.1、5.2.2、を確立する。
A.3.2.1、A.3.2.2）b)個人情報保護マネジメントシステムの要求事項を事業者の業務手順に適切に組 J.2.3.1（5.3）
み入れる。
J.3.2（6.2）c)個人情報保護マネジメントシステムに必要な資源を確保する。
J.4.1（7.1）d)有効な個人情報保護マネジメント及び個人情報保護マネジメントシステム要求 J.4.3（7.3、A.3.4.5）
事項への適合の重要性を利害関係者に周知する。
J.5.1（8.1、8.2、8.3、
e)個人情報保護マネジメントシステムを適切に運用できるようにする。
A.3.4.1）
f)個人情報保護マネジメントシステムが計画通りに実施できるように、従業者を J.7.2（10.2）
指揮･支援する。
g)継続的改善を促進する。
h)その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポートする。
<<留意事項>>※ トップマネジメントとは、最高位で事業者を指揮し、管理する個人又は人々の集まりのことで、事業者内で権限を委譲し、資源を提供する力を持つ者である。典型的には、代表者や、事業者内において権限を有する
取締役以上の役職を指す。
※ 個人情報保護目的とは、個人情報保護方針を達成するための目的ないし目標として、全社的若しくは部門毎等に定めるものである。
※ 利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。
※ 従業者とは、個人情報取扱事業者の組織内にあって、直接若しくは間接に、組織の指揮監督を受けて組織の業務に従事している者などをいう。これには、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員など）だけでなく、雇用関係にない従事者（取締役、執行役、理事、監査役、監事、派遣社員など）も含まれる。

10 / 63

J.2.2 個人情報保護方針（5.2.1、5.2.2、A.3.2.1、A.3.2.2）
項目
参照項番
No.
1
トップマネジメントは、次の事項を考慮して、個人情報保護方針を策定すること。 J.1.3（A.3.3.2）a)事業の目的に対して適切であること。
J.2.4（A.3.1.1）b)J.3.2 で定めた個人情報保護目的を含むか、又は個人情報保護目的の設定のため J.3.2（6.2）の枠組みを示すこと。
J.7.1（10.1、A.3.8）c)個人情報保護に関連して適用される要求事項を実施すること。
J.7.2（10.2）d)個人情報保護マネジメントシステムの継続的改善を実施すること。
J.9.2（A.3.4.3.2）
J.11.1（A.3.6）
2
個人情報保護方針を文書化した情報には、次の事項を含むこと。
a)事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること［特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、「目的外利用」という。）を行わないこと及びそのための措置を講じることを含む。］
b)個人情報の取扱いに関する法令その他の規範の遵守
c)個人情報の漏えい、滅失又はき損の防止及び是正に関する事項
d)苦情及び相談への対応に関する事項
e)個人情報保護マネジメントシステムの継続的改善に関する事項
f)トップマネジメントの氏名g)制定年月日及び最終改正年月日h)個人情報保護方針の内容についての問合せ先
3
トップマネジメントは、個人情報保護方針を文書化した情報を、事業者内に周知するとともに、一般の人が入手可能な措置を講じること。
<<留意事項>>11 / 63

J.2.3.1 組織の役割、責任及び権限（5.3）
項目No.
1
トップマネジメントは、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果を利害関係者に周知すること。
2
責任及び権限を、次の事項を実施するために割り当てること。
a)個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。
b)個人情報保護マネジメントシステムの運用の成果をトップマネジメントに報告させる。
3
役割及び役割に対する責任及び権限を、内部規程として文書化すること。
<<留意事項>>※ 利害関係者とは、従業者を指す。

12 / 63

参照項番
J.2.3.2（A.3.3.4）
J.4.1（7.1）
J.4.2（7.2）
J.4.5.4（A.3.3.5）

J.2.3.2 個人情報保護管理者と個人情報保護監査責任者（A.3.3.4）
項目No.
1
トップマネジメントは、本指針の内容を理解し実践する能力のある個人情報保護
管理者を事業者内部に属する者の中から指名し、個人情報保護マネジメントシス
テムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせること。
2
個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、トップマネジメントに個人情報保護マネジメントシステムの運用状
況を報告すること。
3
トップマネジメントは、公平、かつ、客観的な立場にある個人情報保護監査責任者を事業者内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせること。
4
個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、トップマネジ
メントに報告すること。
5
監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保すること。
<<留意事項>>※ 個人情報保護管理者と個人情報保護監査責任者とは異なる者であること。

13 / 63

参照項番
J.2.3.1（5.3）
J.2.4（A.3.1.1）
J.4.1（7.1）
J.4.2（7.2）
J.6.2（9.2、A.3.7.2）

J.2.4 管理目的及び管理策（一般）（A.3.1.1）
項目No.
1
管理策について、トップマネジメント又はトップマネジメントによって権限が与えられた者によって、事業者が定めた手段に従って承認すること。

参照項番<<留意事項>>※ 管理策とは、本指針に定める事項のうち、個人情報保護リスク対策に関する事項及び事業者が必要であると決定した事項が対象となり、リスクを修正するためのあらゆるプロセス、方針、実務、その他の処置を含む。

14 / 63

J.3 計画（表題）
J.3.1.1 個人情報の特定（A.3.3.1）
項目
参照項番
No.
1
自らの事業の用に供している全ての個人情報を特定するための手順を内部規程 J.1.4（4.3）
として文書化すること。
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）
2
個人情報を管理するための台帳を整備すること。
3
台帳には、少なくとも次の項目を含むこと。
・個人情報の項目
・利用目的
・保管場所
・保管方法
・アクセス権を有する者
・利用期限
・保管期限
4
台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認し、最新の状態で維持すること。
<<留意事項>>※ 本項の目的は、事業の用に供する全ての個人情報を特定し、その取扱い状況を把握することにある。台帳の整備はそのための手段であって、目的ではない。

15 / 63

J.3.1.2 リスク及び機会に対処する活動（一般）（6.1.1）
項目No.
1
事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクアセスメント及び個人情報保護リスク対応を行うこと。
a)事業者が意図した成果を達成できるようなマネジメントシステムの策定b)望ましくない影響の防止
c)個人情報保護マネジメントシステムの継続的な改善
2
事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、次の事
項を含むこと。
d)リスクに対する対策の内容
e)d)の対策を個人情報保護マネジメントシステムの手順に含めて実施する方法
f)d)の対策の評価<<留意事項>>16 / 63

参照項番
J.1.1（4.1）
J.1.2（4.2）

J.3.1.3 個人情報保護リスクアセスメント（6.1.2、A.3.3.3）
項目
参照項番
No.
1
事業者は、個人情報に関するリスクについて、次の事項を踏まえて、個人情報保 J.2.4（A.3.1.1）
護リスクアセスメント（リスクを特定、分析及び評価）をするための手順を定め、 J.3.1.1（A.3.3.1）
かつ実施すること。手順及び実施した内容については、少なくとも年一回、及び J.3.1.2（6.1.1）
必要に応じて適宜に見直すこと。
J.4.5.4（A.3.3.5）
a)次の観点を、個人情報保護のリスク基準とする。
1)本指針に定める事項
2)法令及び国が定める指針その他の規範に関する事項
3)個人情報の漏えい、滅失又はき損等に関する事項
b)繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にする。
c)個人情報保護リスクを特定する。
1)事業者において、事業毎に、個人情報の取扱いを特定する。
2)個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する。
3)上記で特定したリスクのリスク所有者を特定する。
d)個人情報保護リスクを分析・評価する。
1)c)で特定したリスクと、a)のリスク基準とを比較する。
2)リスク対応の優先順位を明らかにする。
2
事業者は、個人情報保護のリスクを特定、分析及び評価をするための手順を内部規程として文書化すること。
<<留意事項>>※ 個人情報保護リスクとは、個人情報の取扱いの各局面（個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄等に至る個人情報の取扱いの一連の流れ）において、適正な保護措置を講じない場合に想定されるリスクを指す。
※ リスク所有者とは、当該リスクに関して対応を行う責任及び権限を有する者を指す。

17 / 63

J.3.1.4 個人情報保護リスク対応（6.1.3、A.3.3.3）
項目
参照項番
No.
1
事業者は、次の事項について、個人情報保護リスクへの対応手順を内部規程とし J.2.4（A.3.1.1）て文書化し、かつ実施すること。手順及び実施した内容については、適宜見直す J.3.1.1（A.3.3.1）
こと。
J.3.1.2（6.1.1）
a)個人情報保護リスクへの対応に当たっては、個人情報保護リスクアセスメント J.3.1.3 （ 6.1.2 、の結果を考慮して、必要な対応策（本指針及び事業者が必要であると決定した、 A.3.3.3）
個人情報保護に関するリスクを修正する対策を含む。）を策定すること。
J.4.5.4（A.3.3.5）b)a)を踏まえて、個人情報保護リスクへの対応計画を策定し、実施すること。
c)個人情報保護リスクへの対応計画及び実施した内容（現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理することを含む。）について、原則として、トップマネジメントの承認を得ること。
2
事業者は、a)～c)を実施した記録を保持すること。
<<留意事項>>※ 残留リスクとは、リスク対応後に残っているリスクのことであり、受容するリスク（放置しておいてよいリスク）ではなく、現時点では困難であるが、短期的若しくは中長期的に対応していくリスクのことである。
なお、個人情報の不適切な取扱い（不正な取得・利用など）に関するリスクについては、法令遵守の観点から、全て対応する必要があるため、残留リスクとすることは認められない。

18 / 63

J.3.2 個人情報保護目的及びそれを達成するための計画策定（6.2）
項目
参照項番
No.
1
事業者は、次の事項を含めて、個人情報保護目的を達成するために計画すること。 J.4.1（7.1）a)実施事項b)必要な資源c)責任者d)達成期限e)結果の評価方法<<留意事項>>※ 個人情報保護目的を達成するために必要となる計画は、J.3.3（計画策定）において、J.2.2（個人情報保護方針）、及び J.3.1.3（個人情報保護リスクアセスメント）の結果を踏まえて、本項の a)～e)を含めて策定すること。

19 / 63

J.3.3 計画策定（A.3.3.6）
項目No.
1
事業者は、個人情報保護マネジメントシステムを確実に実施するために、次の事
項を含めて、少なくとも年一回、及び必要に応じて適宜に必要な計画を立案し、文書化すること。
a)教育実施計画b)内部監査実施計画<<留意事項>>20 / 63

参照項番
J.2.4（A.3.1.1）
J.3.2（6.2）
J.4.3（7.3、A.3.4.5）
J.6.2（9.2、A.3.7.2）

J.4 支援（表題）J.4.1 資源（7.1）
項目No.
1
事業者は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供すること。

参照項番
J.1.2（4.2）
J.2.3.1（5.3）<<留意事項>>※ 資源とは、人員、組織基盤（規程、体制、施設・設備など）、資金などを指す。
※ 利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。

21 / 63

J.4.2 力量（7.2）
項目
参照項番
No.
1
事業者は、次の事項を行うこと。
J.2.3.1（5.3）a)事業者の個人情報保護に影響を与える業務をその管理下で遂行する者に対し J.4.3（7.3、A.3.4.5）て、個人情報保護の観点から、従業者に必要とされる能力を決定する。
J.4.5.5（A.3.5.3）b)a)の者に対して、a)で決定した能力及び J.4.3 を充足するための処置を行い、必要な能力を備えることを確実にする。
c)b)を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価する。
d)a)～c)を実施した記録を保持する。
<<留意事項>>※ a)で決定した能力及び J.4.3 を充足するための処置とは、例えば、現在雇用している者に対する、教育訓練の機会提供、指導の実施、配置転換の実施などがあり、また、力量を備えた者の雇用、そうした者との契約締結などもある。

22 / 63

J.4.3 認識（7.3、A.3.4.5）
項目No.
1
事業者は、従業者に対して、少なくとも年一回、及び必要に応じて適宜に教育を実施する手順（教育の理解度を確認する手順を含む。）を内部規程として文書化すること。
2
事業者は、従業者に対して、次の事項を認識させること。
a)個人情報保護方針b)個人情報保護マネジメントシステムに適合することの重要性及び利点
c)個人情報保護マネジメントシステムに適合するための役割及び責任d)個人情報保護マネジメントシステムに違反した際に予想される結果<<留意事項>>※ 本項は、J.4.2（力量）と一体として捉えること。

23 / 63

参照項番
J.2.2（5.2.1、5.2.2、A.3.2.1、A.3.2.2）
J.2.4（A.3.1.1）
J.4.2（7.2）
J.4.5.4（A.3.3.5）

J.4.4.1 コミュニケーション（7.4）
項目
参照項番
No.
1
事業者は、個人情報保護マネジメントシステムを構築・運用するにあたり、次の J.1.2（4.2）
事項を考慮して、内外の利害関係者と意思疎通や情報共有を行うこと。
a)コミュニケーションの内容（何を伝達するか。）
b)コミュニケーションの実施時期
c)コミュニケーションの対象者
d)コミュニケーションの実施者
e)コミュニケーションの実施手順
f)コミュニケーションの実施方法<<留意事項>>※ コミュニケーションとは、平常時における、本人を含む外部とのコミュニケーション（個人情報保護方針の公表、個人情報の開示・訂正・利用停止、苦情及び相談への対応等）及び内部とのコミュニケーション（報告・連絡・相談・承認等）や、緊急時における、個人データの漏えい、滅失、き損その他の個人データの安全確保にかかる場面（主に、緊急事態への準備（J.4.4.2））がある。

24 / 63

J.4.4.2 緊急事態への準備（A.3.3.7）
項目
参照項番
No.
1
緊急事態を特定するための手順及び特定した緊急事態にどのように対応するか J.2.4（A.3.1.1）
J.4.4.1（7.4）の手順を内部規程として文書化すること。
2
緊急事態への準備及び対応に関する規定には、個人情報保護リスクを考慮し、そ J.4.5.4（A.3.3.5）の影響を最小限とするための手順を含むこと。
3
緊急事態への準備及び対応に関する規定には、緊急事態が発生した場合に備え、次の事項を対応手順に含むこと。
a)漏えい、滅失又はき損等が発生した個人情報の内容を本人に速やかに通知す
るか、又は本人が容易に知り得る状態に置くこと。
b)二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、
発生原因及び対応策を、遅滞なく公表すること。
c)事実関係、発生原因及び対応策を関係機関に直ちに報告すること。
4
緊急事態が発生した場合、定めた手順に従って緊急事態への対応を実施すること。
<<留意事項>>※ 緊急事態へ対応する際は、事態の把握と調査が重要となる。十分な調査を行うことを前提に、調査後の対応手順を定めることを本項は求めている。
※ 緊急事態とは、個人情報保護リスク（J.3.1.3 の留意事項を参照）の脅威（事業者や本人等に損害を与える可能性がある、望ましくないインシデント（事故等の潜在的な要因）が顕在化した状況を指す。
※ 関係機関とは、報告すべき利害関係を有している機関（本人、委託元/委託先、企業グループ各社、プライ
バシーマークの審査を受けた機関（プライバシーマーク付与事業者の場合）、個人情報保護委員会、認定個
人情報保護団体（所属している場合）など）を指す。

25 / 63

J.4.5.1 文書化した情報（一般）（7.5.1、A.3.5.1）
項目No.
1
個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成すること。
a)個人情報保護方針b)内部規程c)内部規程に定める手順上で使用する様式
d)計画書
e)本指針が要求する記録f)その他、事業者が個人情報保護マネジメントシステムを実施する上で必要と判断した文書（記録を含む。）<<留意事項>>26 / 63

参照項番
J.2.2（5.2.1、5.2.2、A.3.2.1、A.3.2.2）
J.2.4（A.3.1.1）
J.3.2（6.2）
J.3.3（A.3.3.6）
J.4.5.4（A.3.3.5）
J.4.5.5（A.3.5.3）

J.4.5.2 文書化した情報の管理（7.5.3）
項目No.
1
個人情報保護マネジメントシステム及び本指針で要求されている文書化した情報は、次の事項を確実にするために管理すること。
a)必要な時に、必要な所で、入手可能かつ利用に適した状態である。
b)十分に保護されている（例えば、機密性の喪失、不適切な使用及び完全性の喪失からの保護）。
2
文書化した情報の管理に当たっては、次の事項を実施すること。
c)配付、アクセス、検索及び利用
d)読みやすさが保たれることを含む、保管及び保存e)変更の管理（例えば、版の管理）f)保持及び廃棄3
個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理すること。

参照項番
J.4.5.1 （ 7.5.1 、A.3.5.1）
J.4.5.5（A.3.5.3）<<留意事項>>※ アクセスとは、文書化した情報の閲覧だけの許可に関する決定、文書化した情報の閲覧、変更の許可及び権限に関する決定などを意味する。

27 / 63

J.4.5.3 文書化した情報（記録を除く。）の管理（7.5.2、A.3.5.2）
項目
参照項番
No.
1
本指針が要求する全ての文書化した情報（記録を除く。）を管理する手順を、次の J.2.4（A.3.1.1）
J.4.5.1 （ 7.5.1 、事項を含む内部規程として文書化すること。
A.3.5.1）a)文書化した情報（記録を除く。）の発行及び改正に関すること。
b)文書化した情報（記録を除く。）の改正の内容と版数との関連付けを明確にする J.4.5.4（A.3.3.5）
こと。
c)必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること。
d)適切性及び妥当性に関する、適切なレビュー及び承認を行うこと。
2
文書化した情報（記録を除く。）の管理を実施すること。
<<留意事項>>※ c)の「必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること。
」とは、適切な形式（例
えば、言語、ソフトウェアの版、図表）及び媒体（例えば、紙、電子媒体）に関することを含む。

28 / 63

J.4.5.4 内部規程（A.3.3.5）
項目No.
1
次の事項を含む内部規程を文書化すること。
a)個人情報を特定する手順に関する規定b)法令、国が定める指針その他の規範の特定、参照及び維持に関する規定
c)個人情報保護リスクアセスメント及びリスク対策の手順に関する規定
d)事業者の各部門及び階層における個人情報を保護するための権限及び責任に関する規定e)緊急事態への準備及び対応に関する規定
f)個人情報の取得、利用及び提供に関する規定
g)個人情報の適正管理に関する規定h)本人からの開示等の請求等への対応に関する規定
i)教育などに関する規定j)文書化した情報の管理に関する規定k)苦情及び相談への対応に関する規定l)点検に関する規定m)是正処置に関する規定n)マネジメントレビューに関する規定o)内部規程の違反に関する罰則の規定
2
事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用される
ように内部規程を改正すること。
<<留意事項>>29 / 63

参照項番

J.4.5.5 文書化した情報のうち、記録の管理（A.3.5.3）
項目No.
1
個人情報保護マネジメントシステム及び本指針で要求されている記録の管理についての手順を内部規程として文書化すること。
2

次の事項を含む必要な記録を作成すること。
a)個人情報の特定に関する記録b)法令、国が定める指針及びその他の規範の特定に関する記録
c)個人情報保護リスクの認識、分析及び対策に関する記録
d)計画書e)利用目的の特定に関する記録f)保有個人データに関する開示等（利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録g)教育などの実施記録h)苦情及び相談への対応記録i)運用の確認の記録
j)内部監査報告書k)是正処置の記録l)マネジメントレビューの記録<<留意事項>>30 / 63

参照項番
J.2.4（A.3.1.1）
J.4.5.1 （ 7.5.1 、A.3.5.1）
J.4.5.4（A.3.3.5）

J.5 運用（表題）J.5.1 運用（8.1、8.2、8.3、A.3.4.1）
項目No.
1
個人情報保護マネジメントシステムを確実に実施するために、運用の手順を内部規程として文書化すること。
2

事業者は、本指針の要求事項を満たすため及び J.3 で決定した活動について、計
画し、実施し、管理すること。

3

事業者は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとること。

4

事業者は、外部委託した業務がある場合は、管理の対象とすること。

5

事業者は本項 2～4 についての記録を保持すること。

<<留意事項>>

31 / 63

参照項番
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）

J.6 パフォーマンス評価（表題）J.6.1 監視、測定、分析及び評価（9.1、A.3.7.1）
項目No.
1
各部門及び階層の管理者が定期的に、及び適宜にマネジメントシステムが適切に運用されていることを確認する手順を内部規程として文書化すること。
2

3

4
5

事業者は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定すること。
a)対象とする個人情報保護マネジメントシステムの運用状況b)a)で対象とした運用状況の監視、測定、分析及び評価の方法c)a)で対象とした運用状況の監視及び測定の実施時期d)a)で対象とした運用状況の監視及び測定の実施者e)a)で対象とした運用状況の分析及び評価の時期f)a)で対象とした運用状況の分析及び評価の実施者
各部門及び各階層の管理者は、定期的に、及び適宜にマネジメントシステムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行うこと。
事業者は、監視及び測定の結果の証拠として、文書化した情報を保持すること。
個人情報保護管理者は、定期的に、及び適宜にトップマネジメントに運用の確認の状況を報告すること。

<<留意事項>>32 / 63

参照項番
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）

J.6.2 内部監査（9.2、A.3.7.2）
項目
参照項番
No.
1
監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関する責任及び J.2.4（A.3.1.1）
権限を定める手順を内部規程として文書化すること。
J.3.2（6.2）
2
事業者は、個人情報保護マネジメントシステムが次の事項の状況にあるか否かに J.3.3（A.3.3.6）
ついて、少なくとも年一回、及び必要に応じて適宜に内部監査を実施すること。 J.4.5.4（A.3.3.5）a)事業者が規定した要求事項及び本指針の要求事項に適合している。
b)個人情報保護マネジメントシステムが有効に実施され、維持されている。
3
個人情報保護監査責任者は、次の事項を行うこと。
c)内部監査実施計画を策定、確立、実施及び維持する。その内部監査実施計画は、関連するプロセスの重要性及び前回までの監査の結果を考慮する。
d)各監査について、監査基準及び監査範囲を明確にする。
e)監査プロセスの客観性及び公平性を確保する監査員を選定し、内部監査実施計
画に従って、監査を実施する。
f)監査の結果を監査報告書としてまとめ、管理層及びトップマネジメントに報告する。
g)内部監査実施計画及び監査結果の証拠として、文書化した情報を保持する。
<<留意事項>>※ 個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。

33 / 63

J.6.3 マネジメントレビュー（9.3、A.3.7.3）
項目No.
1
マネジメントレビューを実施する手順を内部規程として文書化すること。
2
トップマネジメントは、事業者の個人情報保護マネジメントシステムが、引き続き、適切、妥当かつ有効であることを確実にするために、少なくとも年一回、及び必要に応じて適宜にマネジメントレビューを実施すること。
3
マネジメントレビューの実施に当たっては、次の事項を考慮すること。
a)前回までのマネジメントレビューの結果を踏まえた見直しの状況
b)個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
c)以下の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評価
1)不適合及び是正処置
2)確認及び点検の結果
3)監査結果4)個人情報保護目的の達成
d)利害関係者からのフィードバックe)リスクアセスメントの結果及びリスク対応計画の状況
f)継続的改善の機会
4
マネジメントレビューからのアウトプットには、継続的改善の機会及び個人情報
保護マネジメントシステムのあらゆる変更の必要性に関する決定を含めること。
5
事業者は、マネジメントレビューの結果の証拠として、文書化した情報を保持すること。
<<留意事項>>34 / 63

参照項番
J.1.1（4.1）
J.1.2（4.2）
J.1.4（4.3）
J.1.5（4.4）
J.2.1（5.1）
J.2.4（A.3.1.1）
J.3.1.3 （ 6.1.2 、A.3.3.3）
J.3.1.4 （ 6.1.3 、A.3.3.3）
J.3.2（6.2）
J.4.5.4（A.3.3.5）
J.6.1（9.1、A.3.7.1）
J.6.2（9.2、A.3.7.2）
J.7.1（10.1、A.3.8）
J.7.2（10.2）
J.11.1（A.3.6）

J.7 改善（表題）
J.7.1 不適合及び是正処置（10.1、A.3.8）
項目
参照項番
No.
1
事業者は、次の事項を含めて、不適合に対する是正処置を実施するための責任及 J.2.4（A.3.1.1）
び権限を定める手順を内部規程として文書化すること。
J.3.1.3 （ 6.1.2 、
a)その不適合に対処し、該当する場合には、必ず、次の事項を行う。
A.3.3.3）
1)その不適合を管理し、修正するための処置をとる。
J.3.1.4 （ 6.1.3 、
2)その不適合によって起こった結果に対処する。
A.3.3.3）b)次の事項によって、その不適合の原因を除去するための処置を検討する。
J.4.4.2（A.3.3.7）
1)その不適合を調査及び分析する。
J.4.5.4（A.3.3.5）
2)その不適合の原因を特定する。
J.6.1（9.1、A.3.7.1）
3)類似の不適合の有無、又はそれが発生する可能性を検討する。
J.6.2（9.2、A.3.7.2）c)是正処置を計画し、計画された処置を実施する。
J.6.3（9.3，A.3.7.3）d)実施された全ての是正処置の有効性を調査、分析及び評価する。
J.11.1（A.3.6）e)必要な場合には、個人情報保護マネジメントシステムの改善を行う。
2
不適合が明らかとなった場合、a)～e)の事項を実施すること。
3a)～e)の実施結果について、文書化した情報を保持するとともに、原則として、トップマネジメントが承認すること。
<<留意事項>>※ 不適合が明らかとなった場合とは、J.6（パフォーマンス評価）のほか、個人情報に関わる事故や苦情の発生等が契機となる。

35 / 63

J.7.2 継続的改善（10.2）
項目No.
1
事業者は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善すること。
<<留意事項>>36 / 63

参照項番
J.7.1（10.1、A.3.8）

J.8 取得、利用及び提供に関する原則（表題）
J.8.1 利用目的の特定（A.3.4.2.1）
項目No.
1
個人情報の利用目的をできる限り特定し、その目的の達成に必要な範囲内において取扱いを行うこと。
2
利用目的は、取得した情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにすること。
<<留意事項>>37 / 63

参照項番
J.2.4（A.3.1.1）
J.3.1.1（A.3.3.1）
J.4.5.4（A.3.3.5）

J.8.2 適正な取得（A.3.4.2.2）
項目No.
1
事業者は、適法かつ公正な手段によって個人情報を取得すること。
<<留意事項>>38 / 63

参照項番
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）

J.8.3 要配慮個人情報（A.3.4.2.3）
項目
参照項番
No.
1
新たに要配慮個人情報を取得、利用又は提供並びに要配慮個人情報のデータを J.2.4（A.3.1.1）
提供する場合、あらかじめ書面による本人の同意を得ること。
J.4.5.4（A.3.3.5）
2
要配慮個人情報を取得、利用する際、書面による本人の同意を得ることを要しな
いときとは、以下の場合に限定すること。
a)法令に基づく場合
b)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときe)当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者及び個人情報保護委員会規則で定めた者によって公開された要配慮個人情報であるとき
f) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得又は利用する場合
g)個人情報保護法二十七条第五項各号に掲げる場合において、個人データである
要配慮個人情報の提供を受けるとき
h)個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)学術研究機関等から当該要配慮個人情報を取得し、利用する場合であって、当該要配慮個人情報を学術研究目的で取得し、利用する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。） （当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）
3
要配慮個人情報を提供する際、書面による本人の同意を得ることを要しないと
きとは、J.8.3 の a)～d)、又は、以下の場合に限定すること。
j)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
k)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場
合に限る。）l)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）<<留意事項>>※ 学術研究機関とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者を指す。
※ 学術研究目的とは、学術研究の用に供する目的を指す。

39 / 63

J.8.4 個人情報を取得した場合の措置（A.3.4.2.4）
項目
参照項番
No.
1
個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除 J.2.4（A.3.1.1）
き、速やかにその利用目的を本人に通知し、又は公表すること。
J.4.5.4（A.3.3.5）
2
本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限定すること。
a)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)利用目的を本人に通知し、又は公表することによって当該組織の権利又は正当な利益を害するおそれがある場合
c)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合d)取得の状況からみて利用目的が明らかであると認められる場合<<留意事項>>40 / 63

J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置（A.3.4.2.5）
項目
参照項番
No.
1
本人から、書面に記載された個人情報を直接取得する場合には、少なくとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得ること。
a)組織の名称又は氏名b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先c)利用目的d)個人情報を第三者に提供することが予定される場合の事項－第三者に提供する目的－提供する個人情報の項目－提供の手段又は方法－当該情報の提供を受ける者又は提供を受ける者の組織の種類、及び属性－個人情報の取扱いに関する契約がある場合はその旨
e)個人情報の取扱いの委託を行うことが予定される場合には、その旨
f)J.10.4～J.10.7 に該当する場合には、その請求等に応じる旨及び問合せ窓口
g)本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果h)本人が容易に知覚できない方法によって個人情報を取得する場合には、その旨
2
あらかじめ書面によって本人に明示し、書面によって本人の同意を得ないのは、以下の場合に限定すること。
・人の生命、身体若しくは財産の保護のために緊急に必要がある場合
・以下のいずれかに該当し、J.8.4 の措置を要しない場合
1)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2)利用目的を本人に通知し、又は公表することによって当該組織の権利又は正当な利益を害するおそれがある場合
3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合
4)取得の状況からみて利用目的が明らかであると認められる場合<<留意事項>>※ 本人から直接書面によって取得する場合、J.8.4（個人情報を取得した場合の措置）の措置が必要となる。

41 / 63

J.8.6 利用に関する措置（A.3.4.2.6）
項目No.
1
個人情報を利用する場合には、本人の同意の有無に関わらず、違法又は不当な行為を助長し、又は誘発するおそれのあるものを除くこと。
2
特定した利用目的の達成に必要な範囲内で個人情報を利用すること。
3

参照項番
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少なくとも、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ること。
4
特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に、本人の同意を得ることを要しないのは、以下のいずれかに該当する場合に限定すること。
a)法令に基づく場合
b)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
e)当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
f)学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）<<留意事項>>※ 違法又は不当な行為とは、個人情報保護法その他の法令に違反する行為や、直ちに違法とは言えないものの、
個人情報保護法その他の法令の制度趣旨や公序良俗に反している等、社会通念上、適正とは認められない行為を指す。
※ 違法又は不当な行為を助長し、又は誘発する「おそれ」の有無は、社会通念上、蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法などの客観的な事情に加えて、個人情報の利用時点における事業者の認識及び予見可能性も踏まえる必要がある。

42 / 63

J.8.7 本人に連絡又は接触する場合の措置（A.3.4.2.7）
項目
参照項番
No.
1
個人情報を利用して本人に連絡又は接触する場合には、本人に対して、J.8.5 の J.2.4（A.3.1.1）a)～f)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本 J.4.5.4（A.3.3.5）
人の同意を得ること。
2
個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知し、本人の同意を得ることを要しない場合を、利用する個人情報が以下の場合に限定すること。
a)J.8.5 の措置において、あらかじめ、利用目的として個人情報を利用して本人に連絡又は接触することを含め、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているときb)個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うときc)合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する組織が、既に J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うときd)個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用することに関して、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、以下の 1)～6)に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき(以下、「共同利用」という。)
1)共同して利用すること
2)共同して利用される個人情報の項目
3)共同して利用する者の範囲
4)共同して利用する者の利用目的
5)共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
6)取得方法e) J.8.4 の d)に該当し利用目的などを本人に明示、通知又は公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき
f)J.8.3 の a)～d)のいずれかに該当する場合<<留意事項>>※ d)の「個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用することに関して、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合」とは、共同利用する事業者のうち、いずれかの事業者が実施することが求められる事項である。
※ d)の「以下の 1)～6)に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき」とは、共同利用する全ての事業者に対して求められる事項である。
※ 共同して利用する者の利用目的の変更を行う場合には、共同利用する事業者のうち、いずれかの事業者がJ.8.6 で定める利用目的の変更の措置を行うとともに、変更した内容については、共同利用する全ての事業者が、本人に通知し、又は本人が容易に知り得る状態に置くこと。
※ 共同利用の実施においては、共同して利用する者の間で、共同して利用する者の要件、各共同して利用する
者の個人情報取扱責任者・問合せ担当者及び連絡先、共同利用する個人情報の取扱いに関する事項、共同利用する個人情報の取扱いに関する取決めが遵守されなかった場合の措置、共同利用する個人情報に関する事
件・事故が発生した場合の報告・連絡に関する事項、共同利用を終了する際の手続等をあらかじめ取り決めておくことが望ましい。

43 / 63

J.8.8 個人データの提供に関する措置（A.3.4.2.8）
項目
参照項番
No.
1
個人データを第三者に提供する場合には、あらかじめ、本人に対して、当該個人 J.2.4（A.3.1.1）
データを第三者に提供することに関して、J.8.5 の a)～d)に示す事項又はそれと J.4.5.4（A.3.3.5）
同等以上の内容の事項、及び取得方法を通知し、本人の同意を得ること。
2
個人データを第三者に提供する場合に、本人に通知し、本人の同意を得ることを要しない場合は、以下の場合に限定すること。
a)J.8.5 の規定によって、個人データを第三者に提供することに関して、既にJ.8.5 の a)～d)の事項又はそれと同等以上の内容の事項を本人に明示し、本人の同意を得ているとき、又は J.8.7 の規定によって、既に J.8.5 の a)～d)の事
項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ているときb)本人の同意を得ることが困難な場合であって、法令等が定める手続に基づいた
上で、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又はそれに代わる同等の措置を講じているとき
1)事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
2)第三者への提供を利用目的とすること
3)第三者に提供される個人データの項目
4)第三者への提供の手段又は方法
5)本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止すること
6)取得方法7)本人からの請求などを受け付ける方法
8)その他個人の権利利益を保護するために必要なものとして個人情報保護委
員会規則で定める事項
c)法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、法令等が定める手続に基づいた上で、b)の 1)～8)で示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
d)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託するときe)合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときf)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているときg)J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合
3
2 項 b)の適用に当たっては、以下の 1)～3)を除くこと。
1)要配慮個人情報
2)偽りその他不正の手段により取得された個人データ
3)個人情報保護法二十七条第二項、又は J.8.8 の 2 項 b)により提供された個人データ（提供されたデータに対して、その全部又は一部を複製し、又は加工したものを含む）<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。
※ f)は、共同利用の実施に関する取決め（J.8.7 の留意事項）を持って代替してもよい。

44 / 63

J.8.8.1 外国にある第三者への提供の制限（A.3.4.2.8.1）
項目
参照項番
No.
1
外国にある第三者に個人データを提供する場合、以下のいずれかを満たすこと。 J.4.5.4（A.3.3.5）
ただし、J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合はこれ J.8.8（A.3.4.2.8）に限らない。
a)あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合
b)個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保
護委員会規則で定める基準に適合する体制を整備している者への提供をする
場合c)個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第三者への提供をする場合
2
1 項の a)によって外国にある第三者に個人データを提供する場合は、あらかじめ、法令等の定めるところによって、次に掲げる事項について、当該本人に必要な情報を提供すること。
d)当該外国の名称e)当該外国における個人情報の保護に関する制度に関する情報
f)当該第三者が講ずる個人情報の保護のための措置に関する情報
g)d)～f)に定める事項が特定できない場合、その旨及びその理由h)g)に該当する場合であって、d)～f)の事項に代わる本人に参考となるべき情報がある場合には、当該情報
i)g)及び h)に該当する場合について情報提供できない場合には、g)及び h)に定める事項に代えて、その旨及びその理由
3
1 項の b)によって外国にある第三者に個人データを提供する場合には、あらか
じめ、法令等の定めるところによって、次に掲げる事項について、必要な措置を講じること。
j)当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による定期的な確認k)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止l)本人の求めを受けた場合には、情報提供することにより当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、遅滞なく、以下の情報の提供
1)当該第三者による体制の整備の方法
2)当該第三者が実施する相当措置の概要
3)j)による確認の頻度及び方法
4)当該外国の名称
5)当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
6)当該第三者による相当措置の実施に関する支障の有無及びその概要
7)前号の支障に関して、k)により講ずる措置の概要
4
3 項の l)で、本人の求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知するとともに、その理由を説明すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

45 / 63

J.8.8.2 第三者提供に係る記録の作成など（A.3.4.2.8.2）
項目
参照項番
No.
1
個人データを第三者に提供したときは、当該個人データの提供について必要な記 J.4.5.2（7.5.3）
録を作成すること。
J.4.5.3 （ 7.5.2 、2
個人データを第三者に提供したときに、当該個人データの提供に関する記録の作 A.3.5.2）
J.4.5.4（A.3.3.5）
成を要しない場合を、以下の場合に限定すること。
a)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部 J.4.5.5（A.3.5.3）
J.8.8（A.3.4.2.8）
又は一部を委託するとき
b)合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときc)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき
d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
3
個人データを第三者に提供したことに関する記録を作成した場合、当該記録を必要な期間保管すること。
4
個人データを提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

46 / 63

J.8.8.3 第三者提供を受ける際の確認など（A.3.4.2.8.3）
項目
参照項番
No.
1
第三者から個人データの提供を受けるに際しては、必要な確認を行うこと。
J.4.5.2（7.5.3）
2
第三者から個人データの提供を受けるに際して、確認を要しないのは、以下の場 J.4.5.3 （ 7.5.2 、A.3.5.2）
合に限定すること。
a)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部 J.4.5.4（A.3.3.5）
J.4.5.5（A.3.5.3）
又は一部を委託されたとき
b)合併その他の事由による事業の承継に伴って個人データを提供される場合で J.8.4（A.3.4.2.4）
あって、承継前の利用目的の範囲内で当該個人データを取り扱うときc)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき
d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
3
第三者から個人データの提供を受けるに際して確認を行ったときは、必要な記録を作成すること。
4
第三者から個人データの提供を受けるに際して確認を行った記録は、必要な期間
保管すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

47 / 63

J.8.8.4 個人関連情報の第三者提供の制限など
項目
No.
個人関連情報を取り扱う場合には、法令等の定めるところによって、適切な取1扱いを行う手順を内部規程として文書化すること。
第三者が個人関連情報を個人データとして取得することが想定される場合、当2
該個人関連情報を当該第三者に提供するに際しては、J.8.3 の a)～d)、又は、
J.8.3 の j)～l)のいずれかに該当する場合を除き、あらかじめ、次に掲げる事項
又はそれと同等以上の内容の事項について、法令等の定めるところによって、確認を行うこと。
a)当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
b)外国にある第三者への提供にあっては、a)の本人の同意を得ようとする場合
において、法令等で定めるところによって、以下の 1)～3)に示す事項について、あらかじめ、当該本人に提供されていること。
1)当該外国における個人情報の保護に関する制度
2)当該第三者が講ずる個人情報の保護のための措置
3)その他当該本人に参考となるべき情報
個人関連情報を外国にある第三者に提供した場合には、J.8.8.1 で定めるところ
3
によって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じること。
4
法令等の定めるところによって、以下の事項について、確認の記録を作成、保管すること。
《個人関連情報の提供元の確認の記録事項》
c)a)で本人の同意が得られていることを確認した旨及び外国にある個人情報取扱事業者にあっては、b)で本人に情報の提供が行われていることを確認した旨
d)個人関連情報を提供した年月日e)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
f)当該個人関連情報の項目

参照項番
J.4.5.2（7.5.3）
J.4.5.3 （ 7.5.2 、A.3.5.2）
J.4.5.4（A.3.3.5）
J.4.5.5（A.3.5.3）
J.8.8.1（A.3.4.2.8.1）
J.8.8.2（A.3.4.2.8.2）
J.8.8.3（A.3.4.2.8.3）《個人関連情報の提供先の確認の記録事項》
g)a)で本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、b)で本人に情報の提供が行われている旨h)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
i)当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本人を特定するに足りる事項j)当該個人関連情報の項目<<留意事項>>※ 個人関連情報とは、生存する個人に関連する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものを指す。
※ 2 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合を指す。
（提供先の第三者が、個人関連情報を直接個人デー
タに紐付けて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人データとして取得する」に該当しない）※ 2 項の「想定される」とは、個人データとして取得することを現に想定している場合、又は一般人の認識（同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識）を基準として通常想定できる場合を指す。
※ a)で同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先であるが、同等の本人の権利利益の保護が図られることを前提に、提供元が代行してもよい。
※ 2 項は、個人関連情報の提供元が、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになるが、提供先の第三者から申告を受ける場合、提供元は、その申告内容を一般的な注意力をもって確認することで足りる。

48 / 63

J.8.9 匿名加工情報（A.3.4.2.9）
項目
参照項番
No.
1
匿名加工情報の取扱いを行うか否かの方針を定めること。
J.2.4（A.3.1.1）
2
匿名加工情報を取り扱う場合には、法令等の定めるところによって、以下の事項 J.4.5.4（A.3.3.5）
に関する適切な取扱いを行う手順を内部規程として文書化すること。
a)適切な加工方法の決定、及び加工の実施b)加工方法等情報の安全管理措置
c)匿名加工情報を作成、及び提供することに関する公表
d)匿名加工情報の取扱いにおいて識別行為を防止する措置e)匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置、及び当該措置の公表
3
匿名加工情報を取り扱う場合には、定めた手順に従うこと。
<<留意事項>>※ 匿名加工情報とは、各区分ごとに定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものを指す。
一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
※ 匿名加工情報、及び加工方法等情報は、リスクアセスメントを実施した上で適切な取扱いを行うこと。
※ e)については、取扱いのリスクを踏まえ実施すべきかを判断すること。

49 / 63

J.8.10 仮名加工情報
項目
参照項番
No.
1
仮名加工情報を取り扱う場合には、法令等の定めるところによって、適切な取扱 J.2.4（A.3.1.1）
いを行う手順を内部規程として文書化すること。
J.4.4.2（A.3.3.7）
2
仮名加工情報を作成する場合には、他の情報と照合しない限り特定の個人を識 J.4.5.4（A.3.3.5）
別することができないようにするために必要なものとして、個人情報保護委員 J.8.5（A.3.4.2.5）
J.9.4（A.3.4.3.4）
会規則で定める基準に従い、個人情報を加工すること。
3
仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じること。
4
仮名加工情報を利用する場合には、以下を実施すること。
a)利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行うことb)あらかじめその利用目的を公表している場合及び法令に基づく場合を除き、速やかに、その利用目的を公表すること
c)仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた
個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないこと
d)電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ
装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないこと
5
仮名加工情報を提供する場合には、以下の場合を除き、仮名加工情報である個人
データを第三者に提供しないこと。
e)仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措置を講じた上で委託する場合
f)仮名加工情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用する場合（J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、以下の 1)～6)に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く場合）
1)共同して利用すること
2)共同して利用される仮名加工情報の項目
3)共同して利用する者の範囲
4)共同して利用する者の利用目的
5)共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
6)取得方法g)合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合
h)法令に基づく場合
6
仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行うこと。
7
仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去すること。
<<留意事項>>※ 仮名加工情報とは、各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報を指す。
一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
※ a)は、本人を識別しない、内部での分析・利用であることを条件とすることを含む。
※ b)は、作成に用いた個人情報の利用目的とは異なる目的で利用する場合に、利用目的の公表を行うこと。
※ 7 項は、取扱いのリスクを踏まえ実施すべきかどうかを判断すること。
※ 漏えい等の報告等については、J.4.4.2（緊急事態への準備）を踏まえて対応すること。
50 / 63※

なお、以下は適用除外される。
・ 利用目的の変更（本人を識別しない、内部での分析・利用であることを前提に、新たな利用目的で利用可能）・ 開示・利用停止の請求対応

51 / 63

J.9 適正管理（表題）J.9.1 正確性の確保（A.3.4.3.1）
項目No.
1
利用目的の達成に必要な範囲内において、個人データを、正確、かつ、最新の状態で管理すること。
2
個人データの管理（利用する必要がなくなった場合の消去を含む。）は、定めた手順に基づいて適切に行うこと。

参照項番
J.2.4（A.3.1.1）
J.3.1.1 （ A.3.3.1 ）J.4.5.4（A.3.3.5）
J.8.1（A.3.4.2.1）
J.8.6（A.3.4.2.6）<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

52 / 63

J.9.2 安全管理措置（A.3.4.3.2）
項目No.
1
取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失又はき損の防止
その他の個人情報の安全管理のために、法令に基づき必要かつ適切な措置を講
じること。

参照項番
J.2.4（A.3.1.1）
J.3.1.3 （ 6.1.2 、A.3.3.3）
J.3.1.4 （ 6.1.3 、A.3.3.3）
J.4.5.4（A.3.3.5）<<留意事項>>※ 必要かつ適切な安全管理措置とは、個人情報が漏えい等の緊急事態が発生した場合に被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況、個人情報の性質及び量、記録した媒体の性質等に起因するリスクに応じた必要かつ適切な措置を講じることをいう。なお、この定義は個人情報保護法で定められている事項であり、必要かつ適切な安全管理措置を講じていないことで法令に違反することがあることに留意する必要がある。
※ 学術研究目的で行う個人データの取扱いについても、当該要求事項の対象となる。

53 / 63

J.9.3 従業者の監督（A.3.4.3.3）
項目No.
1
個人データを取り扱う従業者に対して必要かつ適切な監督を行うこと。

<<留意事項>>54 / 63

参照項番
J.2.4（A.3.1.1）
J.4.2（7.2）
J.4.5.4（A.3.3.5）

J.9.4 委託先の監督（A.3.4.3.4）
項目
参照項番
No.
1
個人データの取扱いの全部又は一部を委託する場合、十分な個人データの保護 J.2.4（A.3.1.1）
水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選 J.3.1.3 （ 6.1.2 、定すること。
A.3.3.3）
2
個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲 J.3.1.4 （ 6.1.3 、A.3.3.3）
内で委託契約を締結すること。
J.4.5.4（A.3.3.5）
3
次に示す事項が盛り込まれた契約を締結すること。
a)委託者及び受託者の責任の明確化
b)個人データの安全管理に関する事項
c)再委託に関する事項
d)個人データの取扱状況に関する委託者への報告の内容及び頻度e)契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項f)契約内容が遵守されなかった場合の措置g)事件・事故が発生した場合の報告・連絡に関する事項
h)契約終了後の措置
4
全ての委託先を漏れなく特定すること。
5
委託契約書は当該個人データの保有期間にわたって保存すること。
6
委託契約に基づき、委託先を適切に監督すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。
※ 委託先選定基準には、次の内容を含むこと。
·
少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあること。
· 契約に規定する事項に対応可能なことを客観的に確認できること。

55 / 63

J.10 個人情報に関する本人の権利（表題）J.10.1 個人情報に関する権利（A.3.4.4.1）
項目No.
1
保有個人データに関して、本人から開示等の請求等を受けた場合、J.10.4～J.10.7の規定によって、遅滞なくこれに応じること。
2
J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本人から開示等の請求等を受けた場合、J.10.5 の規定によって、遅滞なくこれに応じること。
3
保有個人データ又は第三者提供記録に当たらないものとして、次に掲げるいずれかに限定すること。
a)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの
b)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長する、又は誘発するおそれのあるもの
c)当該個人データ又は当該第三者提供記録の存否が明らかになることによって，国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれる
おそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
d)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあるもの<<留意事項>>56 / 63

参照項番
J.2.4（A.3.1.1）
J.4.5.4（A.3.3.5）
J.10.2（A.3.4.4.2）
J.10.3（A.3.4.4.3）
J.10.4（A.3.4.4.4）
J.10.5（A.3.4.4.5）
J.10.6（A.3.4.4.6）
J.10.7（A.3.4.4.7）

J.10.2 開示等の請求等に応じる手続（A.3.4.4.2）
項目No.
1
保有個人データ又は第三者提供記録の開示等の請求等に応じる手続として、次の事項を文書化すること。
a)開示等の請求等の申出先b)開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方
式c)開示等の請求等をする者が、本人又は代理人であることの確認の方法
d)J.10.4 又は J.10.5 による手数料（定めた場合に限る。）の徴収方法
2
保有個人データ又は第三者提供記録の開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮すること。
3
本人からの請求などに応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めること。
<<留意事項>>57 / 63

参照項番
J.2.4（A.3.1.1）

J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など（A.3.4.4.3）
項目No.
1
保有個人データ又は第三者提供記録に関して、次の事項を本人の知り得る状態（本人の請求などに応じて遅滞なく回答する場合を含む。
）に置くこと。
a)組織の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先
c)全ての保有個人データの利用目的(J.8.4 の a)～c)までに該当する場合を除く。)
d)保有個人データの取扱いに関する苦情の申出先e)当該組織が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先f)J.10.2 によって定めた手続
g)保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）<<留意事項>>58 / 63

参照項番
J.2.4（A.3.1.1）

J.10.4 保有個人データの利用目的の通知（A.3.4.4.4）
項目No.
1
本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合、遅滞なくこれに応じること。
2
本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合であって、利用目的の通知を必要としないのは以下の場合に限定すること。
・J.8.4 の a)～c)のいずれかに該当する場合
・J.10.3 の c)によって当該本人が識別される保有個人データの利用目的が明らかな場合
32 項の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
<<留意事項>>59 / 63

参照項番
J.2.4（A.3.1.1）

J.10.5 保有個人データ又は第三者提供記録の開示（A.3.4.4.5）
項目No.
1
本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合、法令によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開示すること。
2
本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合であって、全部又は一部の開示を必要としないのは以下の場合に限定すること。
a)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場
合b)当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合
c)法令に違反する場合
3
1 項の当該本人が指定した方法について、当該方法による開示が困難であるとして、書面での交付とした場合、若しくは、2 項の各事由のいずれかに該当する場
合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
<<留意事項>>※ 学術研究目的で行う保有個人データの取扱いも、本要求事項の対象となる。

60 / 63

参照項番
J.2.4（A.3.1.1）

J.10.6 保有個人データの訂正、追加又は削除（A.3.4.4.6）
項目
参照項番
No.
1
本人から、当該本人が識別される保有個人データの訂正等（訂正、追加又は削除） J.2.4（A.3.1.1）の請求を受けた場合、法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行うこと。
2
本人から保有個人データの訂正等の請求を受けて訂正等を行った場合は、その旨及びその内容を本人に遅滞なく通知すること。
3
本人から保有個人データの訂正等の請求を受けたが応じなかった場合、その旨
及びその理由を本人に遅滞なく通知すること。
<<留意事項>>61 / 63

J.10.7 保有個人データの利用又は提供の拒否権（A.3.4.4.7）
項目No.
1
本人から当該本人が識別される保有個人データの利用停止等（利用の停止、消去
又は第三者への提供の停止）の請求に応じること。
2
本人からの当該本人が識別される保有個人データの利用停止等の請求に応じた
場合、遅滞なくその旨を本人に通知すること。
3
本人からの当該本人が識別される保有個人データの利用停止等の請求に応じなかった場合は J.10.5 の a)～c)に該当する場合に限定すること。
4
J.10.5 の a)～c)のいずれかに該当する場合、本人に遅滞なくその旨通知するとともに、理由を説明すること。
<<留意事項>>62 / 63

参照項番
J.2.4（A.3.1.1）

J.11 苦情及び相談への対応（表題）J.11.1 苦情及び相談への対応（A.3.6）
項目No.
1
個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行う手順が内部規程として文書化すること。
2
苦情及び相談への対応を実施すること。
3
苦情の申立て先を、本人にとって明確にすること。
4
認定個人情報保護団体の対象事業者となっている場合は、当該団体の苦情解決の申出先も明示すること。
5
本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行うための体制を整備すること。
<<留意事項>>63 / 63

参照項番
J.2.4（A.3.1.1）
J.4.4.1（7.4）
J.4.5.4（A.3.3.5）
J.10.3（A.3.4.4.3）