特集Ⅲ

個人情報保護マネジメントシステム
JIS Q 15001:2017の発行
2017年12月20日、個人情報保護マネジメントシステムの要求事項JIS Q 15001:2017が発行されました。
ここではJQA審査事業センター 情報審査部 部長 秋山 宏幸と、JIS Q 15001審査員の中村 春雄が、JIS Q 15001の2006年版から2017年版への改正の経緯と新規格の特長、および組織がJIS Q 15001を活用するためのポイントを解説します。
審査事業センター
情報審査部 部長
秋山 宏幸

個人情報保護に対する社会的関心の高まりと法改正

JIS Q 15001 審査員
中村 春雄

約26億円）、あるいは全世界の年間総売上の4%のいずれか高い方という高額の制裁金が科せられることになりました。

（＊1）Internet of things：
無線タグなどのセンサーやコンピューターが組み込まれたあらゆるモノがインターネット

JIS Q 15001は、個人情報保護を目的として、さまざま

一方、ビッグデータやAIの活用では、位置情報や購買な組織が個人情報を適切に管理するためにマネジメント履歴などの蓄積した大量のデータ分析により、マーケティられるデジタルデータを利用システムを確立し、実施・維持し、継続的に改善するためングや個人へのサービスの向上に加えて、道路の渋滞緩して新たな価値やサービスをの要求事項を定めた日本工業規格です。2017年版のJIS

和や移動時間の短縮、人々の健康・医療情報の活用によQ 15001は、同年5月に改正施行された「個人情報の保り医療の発展や病気の予防に役立てるなど、新たな技術護に関する法律（以下 改正個人情報保護法）」への整合革新が期待されています。そのために、個人情報の利用を図るために2006年版のJIS Q 15001が改正されたもの

は単に制限するだけでなく、適切なルールのもとで個人で、1999年の第1版から数えて第3版に相当します。

情報の有用性を確保する必要が高まっています。

近年、個人情報保護の社会的関心が一段と高まってこのような個人情報を取り巻く環境変化を受けて、わいます。
その背景にはインターネットをはじめとする情報通が国では個人情報保護法が改正されました。同法の改正

信技術の急速な発展と革新があります。スマートフォンやのポイントは、1.個人情報の定義の明確化、2.適切な規クラウドコンピューティングなどがめざましい勢いで普及律のもとでの個人情報の有用性の確保、3.個人情報の（＊1）
し、IoT（モノのインターネット）やビッグデータ、AI（人流通過程の適正さ確保、4.権限が強化された個人情報工知能）の活用が急速に進んでおり、革新的な技術や委員会の新設、5.個人情報の取り扱いのグローバル化

サービスが続々と登場しています。
また、ビジネスのグローへの対応、6.本人の開示、訂正、利用停止等の求めは、バル化と相まって、個人情報も国境を越えてやり取りされ裁判でも行使できる請求権であることの明確化、の6点るようになっています。

です。に接続されること。
そこから得提供することができるため、例
えば製造業ではハードウエアにとどまらず「モノ＋サービス」のビジネスへの新展開も期待されている。
（＊2）GDPR：26ページのコラム参照。

このような社会の変化に伴い、個人情報が漏洩し、悪用されるリスクも一段と高まっています。情報システムへのウイルス感染や不正アクセスによって、大量の個人情報が漏洩する事故も数多く発生しており、その結果、組2017年版JIS Q 15001のポイント

織の信用の失墜や事業の停滞に加え、損害賠償や罰今回のJIS Q 15001改正の目的は、この規格のマネ金などによる財務的損失などの不利益も増大していまジメントシステムとしての位置づけを明確化するとともに、す。例えば欧州で1995年10月に採択された「EU個人情2017年5月に施行された改正個人情報保護法に対応す報保護指令」
が、2018年5月に「EU一般データ保護規則る管理策を追加することです。JIS Q 15001：2017には、（GDPR（＊2））」
として改正施行されます。欧州に子会社な以下のようなポイントがあります。

どがある日本企業が同規則の個人情報保護義務に違反した場合、その企業は2千万ユーロ（1€≒130円として、

Vol.29 ● ISO NETWORK 23慮されています。

1. ISOマネジメントシステム規格の共通要素に基づいた

また、管理策に関する補足を記載した附属書Ｂは、規格構成の採用2017年版のJIS Q 15001では、マネジメントシステム2006年版のJIS Q 15001の要求事項解説をほぼそのまに関する要求事項を記載した本文と、管理目的及び管理ま引用しています。附属書Ｂは、箇条が附属書Aと完全に策を記載した附属書Aに分離されました。
さらに、附属書A対応しており、附属書Aの各管理策に対応していることがの管理策に関する補足を記載した附属書Ｂと、安全管理明確になっています。

措置に関する管理目的及び管理策を記載した附属書C、
3. 改正個人情報保護法に対応した要求事項を追加

新旧規格の箇条の対応を目次ベースで示した附属書D附属書Aでは、個人情報保護法の改正に対応して、以からなっています。

下の項目が変更または追加されています。

このうち規格の本文は、ISOマネジメントシステム規格の共通要素（ISOマネジメントシステム規格を開発またa) “特定の機微な個人情報”
を、“ 要配慮個人情報”には改定する際に用いる規格構造、共通テキスト（要求事変更項）、共通用語・定義）が採用され、規格の基本構造が他b)“個人情報”としていた要求事項の一部を、個人情報のISOマネジメントシステム規格と共通になりました。
さらに、個人情報保護と情報セキュリティとは安全管理措置保護法の規定に合わせて“個人データ”に変更の点で共通する事項が多いことから、情報セキュリティマ

c) “開示対象個人情報”
を“保有個人データ”に変更

ネジメントシステムの要求事項ISO/IEC 27001：2013d) 外国にある第三者への提供の制限を追加

をほぼそのまま引用しています。基本的には、ISO/IECe) 第三者提供に係わる記録の作成などを追加

27001の「情報セキュリティ」という言葉をJIS Q 15001

f ) 第三者提供を受ける際の確認などを追加

では「個人情報保護」に置き換えたと考えてよいと思いまg) 匿名加工情報を追加

す。
a)～c)は、改正個人情報保護法の用語に合わせて変更されました。
また、d)は、グローバル対応のため追加され2. 2006年版の要求事項を踏襲し移行に配慮
2017年版のJIS Q 15001では、2006年版の要求事た項目。e)～f)は、個人情報が不正に名簿業者に提供さ項を附属書A「管理項目及び管理策」に、箇条を含めてれた事件を受けて追加された項目です。g)の「匿名加工ほぼそのまま引用したうえで、新たに改正個人情報保護情報」というのは、特定の個人を識別することができない法への対応を追加しています。2006年版の考え方を踏ように個人情報を加工したものを指し、その加工方法を襲することで、2006年版に基づいて構築された個人情報定めるとともに、事業者による公表などその取り扱いにつ保護マネジメントシステムからの移行も容易になるよう配いての規律を設けたものです。ビッグデータの活用によ■ JIS Q 15001とISO/IEC 27001の関係図

2006年版 JIS Q 15001

0 序文
1 適用範囲2 引用規格3 用語及び定義
4～10 本文

1 適用範囲
2 用語及び定義
2.1 ～ 2.8
3 要求事項
3.1～3.901234（＊3）

序文
適用範囲
引用規格
用語及び定義規格の構成（＊4）

附属書A
A3.1

附属書CC.5（＊6）

附属書A
A.5～～～

（＊5）

附属書B
B3.1

A3.8

B3.8

C.18

A.18

（＊3）
2017年版 JIS Q 15001はISO/IEC 27001をほぼそのまま引用（＊4）
附属書Aは2006年版JIS Q 15001を箇条も含めてほぼそのまま引用（＊5）
附属書Bは2006年版JIS Q 15001要求事項解説をほぼそのまま引用（＊6）
附属書CはISO/IEC 27001附属書Aをほぼそのまま引用

24 ISO NETWORK ● Vol.29

ISO/IEC 27001～

要求事項解説1 適用範囲
2 用語及び定義
2.1～2.8
3 要求事項
3.1～3.9

2017年版 JIS Q 15001

特集Ⅲ 個人情報保護マネジメントシステムJIS Q 15001:2017の発行る革新的なビジネスやサービスの向上のための追加項● 個人情報に関連する内外の法改正や変化への対応・目です。

維持● 認証取得による取引先からの信頼向上

4. 情報の安全管理措置については、ISO/IEC 27001を● 第三者監査を受けることによる自社とは違った視点で引用の改善点の発見

附属書Cでは、ISO/IEC 27001の附属書Aをほぼそのまま引用しています。2006年版は、安全管理措置につい2. 他のマネジメントシステムとの一体運用がしやすいて、経済産業省のガイドラインをはじめとした各省庁から2017年版のJIS Q 15001では、規格の構成にISOマ出ているガイドラインを参考にしていましたが、2017年版

ネジメントシステム規格の共通要素が採用されたことによでは、
リスクアセスメントの結果、必要であれば実施する

り、ISO/IEC 27001やISO 9001など他のマネジメントシ管理策としてISO/IEC 27001の管理策が規定され、JISステムを運用する組織が、JIS Q 15001をそれらと一体Q 15001とISO/IEC 27001の関係が明確化されました。

的に運用することが一段と容易になりました。
ISO/IEC 27001が、機密性、完全性、可用性をバランスよく維持することを目的とするマネジメントシステムであ2017年版JIS Q 15001のメリットるのに対して、JIS Q 15001は機密性、完全性、可用性

2017年版のJIS Q 15001には、上記のようなポイント利用をしないなど個人情報保護法への対応を含めたマネがあることから、今後組織が個人情報保護に取り組むうえジメントシステムです。
したがって、ISO/IEC 27001を運で、さまざまなメリットが期待できます。

用してきた組織は、組織の個人情報管理の追加部分にの維持に加えて、本人からの同意を得た利用目的以外の取り組むことで、個人情報を含めた情報管理が可能になります。

1. 個人情報の管理体制を確立、顧客からの信頼向上組織として活動するうえで、ほとんど全ての組織が内外JQAでは、JIS Q 15001単独での審査に加え、ISO/のさまざまな個人情報を取り扱います。
また、国際ビジネス

IEC 27001との組合せ審査サービスも提供しています。

においても個人情報保護の重要性が一段と高まり、適切JIS Q 15001とISO/IEC 27001の両者を組み合わせるこな管理を行わないことによる不利益が増大しつつありまとで、個人情報の管理をより一層強化し、効率的で効果す。
このため、JIS Q 15001は、今後業種や組織の規模的な情報資産の保護と活用を実現することができます。

を問わず個人情報保護を扱うあらゆる組織が取り組み、3. 情報セキュリティマネジメントシステムのエントリーモデ有効に活用できるマネジメントシステムです。

ルとしても活用が可能組織がJIS Q 15001に取り組むことで、以下のようなISO/IEC 27001は組織が持つ情報全般を対象として効果が期待できます。

いますが、JIS Q 15001は個人情報のみを対象とします。
● 個人情報保護におけるリスクの低減「情報セキュリティについて管理体制を確立する必要● 個人情報を適切に管理・利用する組織体制の確立があるが、情報全体に取り組むことは負担が大きい」と考■ 2017年版JIS Q 15001の認証および移行スケジュール
2017年

2018年

12/20

6/1

2019年

2020年
12/20

JIS Q 15001：2006

発行

JIS Q 15001：2017

移行期間（3年間）

2017年版の認証開始

Vol.29 ● ISO NETWORK 25

特集Ⅲ 個人情報保護マネジメントシステムJIS Q 15001:2017の発行■ JIS Q 15001:2017の構成
0 序文

0.1 概要0.2 他のマネジメントシステムとの近接性

１ 適用範囲２ 引用規格

９ パフォーマンス評価

5.3 組織の役割,責任及び権限

６ 計画

6.1 リスク及び機会に対処する活動
6.2 個人情報保護目的及びそれを達成するための計画策定

７ 支援

３ 用語及び定義
４ 組織の状況

4.1 組織及びその状況の理解
4.2 利害関係者のニーズ及び期待の理解
4.3 個人情報保護マネジメントシステムの適用範囲の決定
4.4 個人情報保護マネジメントシステム

５ リーダーシップ

5.1 リーダーシップ及びコミットメント
5.2 方針7.1 資源7.2 力量7.3 認識7.4 コミュニケーション
7.5 文書化した情報

9.1 監視,測定,分析及び評価
9.2 内部監査
9.3 マネジメントレビュー

10 改善

10.1 不適合及び是正処置
10.2 継続的改善

附属書A
（規定）
管理目的及び管理策
附属書B（参考）
管理策に関する補足

附属書C
（参考）
安全管理措置に関する管理目的及び管理策

８ 運用

附属書D
（参考）
新旧対応表

8.1 運用の計画及び管理8.2 個人情報保護リスクアセスメント
8.3 個人情報保護リスク対応

参考文献
解説

えている組織は、JIS Q 15001は範囲が個人情報に限定ることから、規格の基本構造と用語、共通テキストが他のされているので情報セキュリティマネジメントシステムのエISOマネジメントシステム規格と共通になりました。このントリーモデルとして、
まずJIS Q 15001に取り組み、社

点、JQAでは従来からJIS Q 15001をISO規格同様に内および委託先や顧客の個人情報を適切に管理し、段マネジメントシステムとして審査、認証を行ってきましたの階的に技術情報や財務情報を含めた情報セキュリティマ

で、JQAで認証を取得されているお客さまは、2017年版ネジメントシステムに体制を拡大するという進め方も現実に違和感なく取り組めると考えられます。

的な方法です。
4. 2006年版からの移行も容易
2017年版のJIS Q 15001は2006年版の要求事項をほぼ踏襲していることから、2006年版で認証を取得している組織は、変更された要素と新たに加わった要素に取り組むだけで容易に移行できます。
また、先述しているとおり、2017年版では2006年版と違い、ISOマネジメントシステムの共通要素を採用してい2017年版での審査および移行審査のスケジュール
JQAでは、2017年版のJIS Q 15001の認証を2018年6月1日から開始します。
また、2006年版から2017年版への移行期間は、規格発行から3年間です。
したがって移行期限は2020年12月20日です。
■

欧州連合で2018年5月に施行
個人データ保護を強化する規則（GDPR）
一般データ保護規則（GDPR: General Data ProtectionRegulation）
は、欧州経済領域（EU加盟28ヵ国、ノルウェー、アイスランド、リヒテンシュタイン）と個人データをやり取りするほとんどの企業や機関・団体が適用対象となり、同規則への違反行為には高額の制裁金が科されるリスクがある。日本貿易振興機構（JETRO）
では、2017年8月に「EU一般データ保護規則（GDPR）」に関わる実務ハンドブック（実践編）の公開を通じて、EUの個人情報保護対応は、日本企業の欧州向けビジネスに大きな影響を与える経営事項であり、高い優先順位をつけて対応を行う必要があると警告している。
また、2018年2月には、
日本経済新聞社がGDPRに対する日本JETRO Webサイト

企業と経済産業省、総務省の対応と個人情報保護規制の整備と運用強化に関する記事を掲載している。
この記事は、2018年2月末現在の情報に基づいています。

26 ISO NETWORK ● Vol.29