プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針
新旧対照表2023 年 12 月 25 日
※赤字下線部分が改定部分
改定(JIS Q 15001:2023 準拠

ver1.0)J.1 組織の状況（表題）

現行(2022 年 4 月 28 日改訂

J.1.1 組織及びその状況の理解（4.1）

1.

1.

事業者は、個人情報を取り扱う事業に関して、個人情報保護マ

ネジメントシステムに影響を与えるような外部及び内部の課題

ネジメントシステムに影響を与えるような外部及び内部の課題を特定すること。

を特定すること。

《留意事項》《留意事項》※※「個人情報保護マネジメントシステムに影響を与えるような外

備考

J.1 組織の状況（表題）J.1.1 組織及びその状況の理解（4.1）
事業者は、個人情報を取り扱う事業に関して、個人情報保護マ

ver1.0.3)「個人情報保護マネジメントシステムに影響を与えるような課

部及び内部の課題を特定すること」とは、個人情報の取扱いに題の把握」とは、個人情報の取扱いに関する法令、国が定める指関する法令、国が定める指針その他の規範、個人情報保護マネ

針その他の規範、個人情報保護マネジメントシステムの確立、実ジメントシステムの確立、実施、維持及び継続的改善に必要な施、維持及び継続的改善に必要な資源（人員・組織基盤・資金）、

資源（人員・組織基盤・資金）、セキュリティ対策等の観点から、

セキュリティ対策等の観点から、現状のみならず、将来実施す現状のみならず、将来実施するであろう事業を踏まえて洗い出るであろう事業を踏まえて洗い出すことを求めている。

1 / 84(変更)

すことを求めている。
J.1.2 利害関係者のニーズ及び期待の理解（4.2）

J.1.2 利害関係者のニーズ及び期待の理解（4.2）

1.

1.

事業者は、次の事項を特定すること。

事業者は、次の事項を特定すること。

a)個人情報保護マネジメントシステムに関連する利害関係者

a)個人情報保護マネジメントシステムに関連する利害関係者

b)その利害関係者の、個人情報保護に関連する要求事項

b)その利害関係者の、個人情報保護に関連する要求事項《留意事項》《留意事項》※※※

利害関係者とは、本人及び個人情報保護マネジメントシステム

利害関係者とは、本人及び個人情報保護マネジメントシステムに関連する個人、事業者及び団体（委託元（及び委託元の顧客）、に関連する個人、事業者及び団体（委託元（及び委託元の顧客）、委託先）等を指す。

委託先）、等を指す。

利害関係者の要求事項には、法令、官公庁等のガイドライン、※

利害関係者の要求事項には、法令、官公庁等のガイドライン、事業者の所属団体による自主規制、商慣習に基づき遵守が求め事業者の所属団体による自主規制、商慣習に基づき遵守が求められる事項、取引先等との間の契約上の義務等を含めてもよい。

られる事項、取引先等との間の契約上の義務等を含めてもよい。

J.1.3 法令、国が定める指針その他の規範（4.1）

J.1.3 法令、国が定める指針その他の規範（A.3.3.2）

1.

1.

2.

事業者は、個人情報の取扱いに関する法令、国が定める指針そ事業者は、個人情報の取扱いに関する法令、国が定める指針その他の規範（以下、「法令等」という。）を特定し参照する手順の他の規範（以下、「法令等」という。）を特定し参照する手順

を内部規程として文書化すること。

を内部規程として文書化すること。

法令等を特定し参照すること。

《留意事項》

2.

(削除)

法令等を特定し参照すること。

《留意事項》

2 / 84(変更)※

参照とは、特定した法令等の内容を事業者が遵守することを含※む。

参照とは、特定した法令等の内容を事業者が遵守することを含む。

J.1.4 個人情報保護マネジメントシステムの適用範囲の決定

J.1.4 個人情報保護マネジメントシステムの適用範囲の決定

（4.3）

（4.3）

1.

1.

2.

事業者は、自らの事業の用に供している全ての個人情報の取扱事業者は、自らの事業の用に供している全ての個人情報の取扱

いを個人情報保護マネジメントシステムの適用範囲として定いを個人情報保護マネジメントシステムの適用範囲として定め、その旨を文書化すること。

め、その旨を文書化すること。

文書化した情報を利用可能な状態にすること。

(追加)《留意事項》※

自らの事業の用に供している仮名加工情報、匿名加工情報、及(追加)

び個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）においても、個人情報保護マネジメントシステムの適用範囲として定めること。
J.1.5 個人情報保護マネジメントシステム（4.4）

J.1.5 個人情報保護マネジメントシステム（4.4）

1.

1.

事業者は、本指針に従って、必要なプロセス及びそれらの相互作用を含む、個人情報保護マネジメントシステムを確立し、実事業者は、本指針に従って、個人情報保護マネジメントシステ
ムを確立し、実施し、維持し、かつ、継続的に改善すること。

施し、維持し、かつ、継続的に改善すること。
J.2 リーダーシップ（表題）
J.2.1 リーダーシップ及びコミットメント（5.1）

J.2 リーダーシップ（表題）
J.2.1 リーダーシップ及びコミットメント（5.1）

3 / 84(追加)

1.

トップマネジメントは、次の事項について統率し、その結果に

1.

トップマネジメントは、次の事項について統率し、その結果について責任を持つこと。

ついて責任を持つこと。

a)事業者の戦略的な方向性と両立した、個人情報保護方針及びa)事業者の戦略的な方向性と両立した、個人情報保護方針及び個人情報保護目的を確立する。
b)個人情報保護マネジメントシステムの要求事項を事業者の業
務手順に適切に組み入れる。
c)個人情報保護マネジメントシステムに必要な資源を確保する。

個人情報保護目的を確立する。
b)個人情報保護マネジメントシステムの要求事項を事業者の業
務手順に適切に組み入れる。
c)個人情報保護マネジメントシステムに必要な資源を確保す
る。

d)有効な個人情報保護マネジメント及び個人情報保護マネジメd)有効な個人情報保護マネジメント及び個人情報保護マネジメ

ントシステム要求事項への適合の重要性を利害関係者に周知

ントシステム要求事項への適合の重要性を利害関係者に周知

する。

する。

e)個人情報保護マネジメントシステムを適切に運用できるようにする。
f)個人情報保護マネジメントシステムが計画通りに実施できる
ように、従業者を指揮･支援する。

e)個人情報保護マネジメントシステムを適切に運用できるようにする。
f)個人情報保護マネジメントシステムが計画通りに実施できる
ように、従業者を指揮･支援する。

g)継続的改善を促進する。

g)継続的改善を促進する。

h)その他の関連する管理者がその職務領域において、統率力をh)その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポー発揮できるよう、その管理者に割り当てられた役割をサポー

トする。

トする。

4 / 84

《留意事項》《留意事項》

※

※

※

※

※

トップマネジメントとは、最高位で事業者を指揮し、管理する

トップマネジメントとは、最高位で事業者を指揮し、管理する

個人又は人々の集まりのことで、事業者内で権限を委譲し、資個人又は人々の集まりのことで、事業者内で権限を委譲し、資源を提供する力を持つ者である。典型的には、代表者や、事業者源を提供する力を持つ者である。典型的には、代表者や、事業者内において権限を有する取締役以上の役職を指す。

内において権限を有する取締役以上の役職を指す。

個人情報保護目的とは、個人情報保護方針を達成するための目※

個人情報保護目的とは、個人情報保護方針を達成するための目

的ないし目標として、全社的若しくは部門毎等に定めるもので的ないし目標として、全社的若しくは部門毎等に定めるもので

ある。

ある。

利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解） ※利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。

で特定したものである。

従業者とは、事業者の組織内にあって、直接若しくは間接に、組※従業者とは、個人情報取扱事業者の組織内にあって、直接若しく織の指揮監督を受けて組織の業務に従事している者などをいは間接に、組織の指揮監督を受けて組織の業務に従事している者う。これには、雇用関係にある従業者（正社員、契約社員、嘱託などをいう。これには、雇用関係にある従業者（正社員、契約社

社員、パート社員、アルバイト社員など）だけでなく、雇用関係

員、嘱託社員、パート社員、アルバイト社員など）だけでなく、にない従事者（取締役、執行役、理事、監査役、監事、派遣社員

雇用関係にない従事者（取締役、執行役、理事、監査役、監事、など）も含まれる。

派遣社員など）も含まれる。

J.2.2 個人情報保護方針（5.2.1、5.2.2）

J.2.2 個人情報保護方針（5.2.1、5.2.2、A.3.2.1、A.3.2.2）

1.

1.

トップマネジメントは、次の事項を考慮して、個人情報保護方

トップマネジメントは、次の事項を考慮して、個人情報保護方

針を策定すること。

針を策定すること。

a)事業の目的に対して適切であること。

a)事業の目的に対して適切であること。

5 / 84(変更)(削除)b)J.2.1 で定めた個人情報保護目的を含むか、又は個人情報保b)J.3.2 で定めた個人情報保護目的を含むか、又は個人情報保護目的の設定のための枠組みを示すこと。

護目的の設定のための枠組みを示すこと。

c)個人情報保護に関連して適用される要求事項を実施するこc)個人情報保護に関連して適用される要求事項を実施すること。

と。

d)個人情報保護マネジメントシステムの継続的改善を実施する

d)個人情報保護マネジメントシステムの継続的改善を実施すること。
2.

個人情報保護方針を文書化した情報には、次の事項を含むここと。
2.

個人情報保護方針を文書化した情報には、次の事項を含むこと。

と。

a)事業の内容及び規模を考慮した適切な個人情報の取得、利用a)事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること［特定された利用目的の達成に必要な及び提供に関すること［特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、「目的外利用」とい範囲を超えた個人情報の取扱い（以下、「目的外利用」という。
）を行わないこと及びそのための措置を講じることを含う。）を行わないこと及びそのための措置を講じることを含

む。
］

む。］

b)個人情報の取扱いに関する法令、国が定める指針その他の規(変更)b)個人情報の取扱いに関する法令その他の規範の遵守(追加)c)個人情報の漏えい、滅失又はき損の防止及び是正に関する事

(変更)

範の遵守
c)個人情報の漏えい、滅失又は毀損の防止及び是正に関する事
項

項d)苦情及び相談への対応に関する事項

d)苦情及び相談への対応に関する事項

e)個人情報保護マネジメントシステムの継続的改善に関する事e)個人情報保護マネジメントシステムの継続的改善に関する事

項

項

6 / 84

3.

f)トップマネジメントの氏名f)トップマネジメントの氏名g)制定年月日及び最終改正年月日

g)制定年月日及び最終改正年月日h)個人情報保護方針の内容についての問合せ先h)個人情報保護方針の内容についての問合せ先トップマネジメントは、個人情報保護方針を文書化した情報

3.

トップマネジメントは、個人情報保護方針を文書化した情報を、事業者内に周知するとともに、一般の人が入手可能な措置

を、事業者内に周知するとともに、一般の人が入手可能な措置を講じること。

を講じること。

J.2.3.1 組織の役割、責任及び権限（5.3.1）

J.2.3.1 組織の役割、責任及び権限（5.3）

1.

1.

2.

トップマネジメントは、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果をて、責任及び権限を従業者へ割り当てるとともに、その結果を利害関係者に周知すること。

利害関係者に周知すること。

責任及び権限を、次の事項を実施するために割り当てること。

2.

a)個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。

b)個人情報保護マネジメントシステムの運用の成果をトップマb)個人情報保護マネジメントシステムの運用の成果をトップマ

ネジメントに報告させる。
役割及び役割に対する責任及び権限を、内部規程として文書化

責任及び権限を、次の事項を実施するために割り当てること。
a)個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。

3.

トップマネジメントは、個人情報保護に関連する役割に対しネジメントに報告させる。
3.

すること。

役割及び役割に対する責任及び権限を、内部規程として文書化すること。

《留意事項》《留意事項》※※

利害関係者とは、従業者を指す。

利害関係者とは、従業者を指す。

7 / 84(変更)

J.2.3.2 個人情報保護管理者と個人情報保護監査責任者（5.3.2）

J.2.3.2 個人情報保護管理者と個人情報保護監査責任者（A.3.3.4）

1.

1.

2.

3.

4.

トップマネジメントは、本指針の内容を理解し実践する能力のある個人情報保護管理者を事業者内部に属する者の中から指名ある個人情報保護管理者を事業者内部に属する者の中から指名

し、個人情報保護マネジメントシステムの実施及び運用に関すし、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせる責任及び権限を他の責任にかかわりなく与え、業務を行わせ

ること。

ること。

個人情報保護管理者は、個人情報保護マネジメントシステムの2.

個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、トップマネジメントに個人情報見直し及び改善の基礎として、トップマネジメントに個人情報保護マネジメントシステムの運用状況を報告すること。

保護マネジメントシステムの運用状況を報告すること。

トップマネジメントは、公平、かつ、客観的な立場にある個人

3.

トップマネジメントは、公平、かつ、客観的な立場にある個人情報保護監査責任者を事業者内部に属する者の中から指名し、情報保護監査責任者を事業者内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわり監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせること。

なく与え、業務を行わせること。

個人情報保護監査責任者は、監査を指揮し、監査報告書を作成

4.

し、トップマネジメントに報告すること。
5.

トップマネジメントは、本指針の内容を理解し実践する能力の監査員の選定及び監査の実施においては、監査の客観性及び公個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、トップマネジメントに報告すること。

5.

平性を確保すること。

監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保すること。

《留意事項》《留意事項》※※

個人情報保護管理者と個人情報保護監査責任者とは異なる者で個人情報保護管理者と個人情報保護監査責任者とは異なる者で

8 / 84(変更)

あること。

あること。

J.2.4 管理目的及び管理策（一般）（4.4）

J.2.4 管理目的及び管理策（一般）（A.3.1.1）

1.

1.

管理策について、トップマネジメント又はトップマネジメント

管理策について、トップマネジメント又はトップマネジメント

によって権限が与えられた者によって、事業者が定めた手段にによって権限が与えられた者によって、事業者が定めた手段に従って承認すること。

従って承認すること。

《留意事項》《留意事項》※※

管理策とは、本指針に定める事項のうち、個人情報保護リスク

管理策とは、本指針に定める事項のうち、個人情報保護リスク対策に関する事項及び事業者が必要であると決定した事項が対対策に関する事項及び事業者が必要であると決定した事項が対象となり、リスクを修正するためのあらゆるプロセス、方針、象となり、リスクを修正するためのあらゆるプロセス、方針、

実務、その他の処置を含む。

実務、その他の処置を含む。

J.3 計画（表題）

J.3 計画（表題）

J.3.1.1 個人情報の特定（6.1）

J.3.1.1 個人情報の特定（A.3.3.1）

1.

1.

自らの事業の用に供している全ての個人情報を特定するための(変更)

手順を内部規程として文書化すること。

自らの事業の用に供している全ての個人情報を特定するための手順を内部規程として文書化すること。

2.

個人情報を管理するための台帳を整備すること。

2.

個人情報を管理するための台帳を整備すること。

3.

台帳には、少なくとも次の項目を含むこと。

3.

台帳には、少なくとも次の項目を含むこと。

・個人情報の項目

・個人情報の項目

・利用目的

・利用目的

・保管場所

・保管場所

9 / 84(変更)

・保管方法・保管方法

・アクセス権を有する者

・アクセス権を有する者

・利用期限

・利用期限

・保管期限

・保管期限

・管理する個人情報の件数（概数でも可）
4.

台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認

(追加)
4.

し、最新の状態で維持すること。

台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認し、最新の状態で維持すること。

《留意事項》《留意事項》※※※

当該要求事項の目的は、事業の用に供する全ての個人情報を特本項の目的は、事業の用に供する全ての個人情報を特定し、その定し、その取扱い状況を把握することにある。台帳の整備はそ取扱い状況を把握することにある。台帳の整備はそのための手段のための手段であって、目的ではない。

であって、目的ではない。

自らの事業の用に供している仮名加工情報、匿名加工情報、及

(変更)

(追加)

び個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）においても、当該要求事項に基づいて実施すること。
J.3.1.2 リスク及び機会に対処する活動（一般）（6.2.1）

J.3.1.2 リスク及び機会に対処する活動（一般）（6.1.1）

1.

1.

事業者は、個人情報保護マネジメントシステムの計画の策定に事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、J.1.1 で把握した課題及び J.1.2 で特定した要求事当たって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクア項を考慮し、次の事項を実現できるよう個人情報保護リスクア

10 / 84(変更)

セスメント及び個人情報保護リスク対応を行うこと。

セスメント及び個人情報保護リスク対応を行うこと。

a)事業者が意図した成果を達成できるようなマネジメントシスa)事業者が意図した成果を達成できるようなマネジメントシス

テムの策定

2.

テムの策定

b)望ましくない影響の防止b)望ましくない影響の防止

c)個人情報保護マネジメントシステムの継続的な改善

c)個人情報保護マネジメントシステムの継続的な改善事業者は、個人情報保護マネジメントシステムの計画の策定に

2.

事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、次の事項を含むこと。

当たって、次の事項を含むこと。

d)リスクに対する対策の内容

d)リスクに対する対策の内容

e)d)の対策を個人情報保護マネジメントシステムの手順に含めe)d)の対策を個人情報保護マネジメントシステムの手順に含めて実施する方法て実施する方法

f)d)の対策の評価

f)d)の対策の評価

J.3.1.3 個人情報保護リスクアセスメント（6.2.1、6.2.2）

J.3.1.3 個人情報保護リスクアセスメント（6.1.2、A.3.3.3）

(変更)

1.

1.

事業者は、個人情報に関するリスクについて、次の事項を踏ま(変更)て、個人情報保護リスクアセスメント（個人情報保護リスクをえて、個人情報保護リスクアセスメント（リスクを特定、分析(変更)

特定、分析及び評価）をするための手順を定め、かつ実施する及び評価）をするための手順を定め、かつ実施すること。手順

こと。定めた手順及び実施した内容については、少なくとも年及び実施した内容については、少なくとも年一回、及び必要に一回、及び必要に応じて適宜に見直すこと。

応じて適宜に見直すこと。

a)次の観点を、個人情報保護のリスク基準とする。

a)次の観点を、個人情報保護のリスク基準とする。

事業者は、個人情報保護リスクについて、次の事項を踏まえ

1)本人の権利利益の侵害
2)本指針に定める事項

(追加)

(追加)
1)本指針に定める事項

11 / 84(変更)3)法令及び国が定める指針その他の規範に関する事項

2)法令及び国が定める指針その他の規範に関する事項(変更)4)個人情報の漏えい、紛失、滅失・毀損、改ざん、正確性の3)個人情報の漏えい、滅失又はき損等に関する事項(変更)

未確保、不正・不適正取得、目的外利用・提供、不正利
用、開示等の求め等の拒否に関する事項
b)繰り返し実施した個人情報保護リスクアセスメントに、一貫b)繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すこと性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にする。

を確実にする。

c)個人情報保護リスクを特定する。

c)個人情報保護リスクを特定する。

1)事業者において、事業毎に、個人情報の取扱いを特定す1)事業者において、事業毎に、個人情報の取扱いを特定する。

る。

2)個人情報の取得、保管、利用及び消去等に至る各局面にお2)個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスク

いて、適正な保護措置を講じない場合に想定されるリスクを特定する。

を特定する。

3)上記で特定したリスクのリスク所有者を特定する。

3)上記で特定したリスクのリスク所有者を特定する。

d)個人情報保護リスクを分析・評価する。

2.

1)c)で特定したリスクと、a)のリスク基準とを比較する。

1)c)で特定したリスクと、a)のリスク基準とを比較する。

2)リスク対応の優先順位を明らかにする。

2)リスク対応の優先順位を明らかにする。

事業者は、個人情報保護のリスクを特定、分析及び評価をする
ための手順を内部規程として文書化すること。

3.

d)個人情報保護リスクを分析・評価する。

2.

事業者は、個人情報保護のリスクを特定、分析及び評価をする
ための手順を内部規程として文書化すること。

文書化した情報を利用可能な状態にすること。

(追加)

12 / 84

《留意事項》《留意事項》※※※

個人情報保護リスクとは、個人情報の取扱いの各局面（個人情

個人情報保護リスクとは、個人情報の取扱いの各局面（個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、

報の取得・入力、移送・送信、利用・加工、保管・バックアップ、

消去・廃棄等に至る個人情報の取扱いの一連の流れ）において、消去・廃棄等に至る個人情報の取扱いの一連の流れ）において、適正な保護措置を講じない場合に想定されるリスクを指す。

適正な保護措置を講じない場合に想定されるリスクを指す。

個人情報保護リスクは、例えば以下の観点において特定するこ(追加)とができる。
➣ 個人情報ライフサイクル➣ 個人情報の性質➣ 個人情報に係る情報処理施設及び個人情報に係る情報シス
テム（あらゆる情報処理のシステム、サービス若しくは基盤、又はこれらを収納する物理的場所）➣ 事業者が既に講じている安全管理措置※

リスク所有者とは、当該リスクに関して対応を行う責任及び権※限を有する者を指す。

リスク所有者とは、当該リスクに関して対応を行う責任及び権限を有する者を指す。

J.3.1.4 個人情報保護リスク対応（6.2.1、6.2.3）

J.3.1.4 個人情報保護リスク対応（6.1.3、A.3.3.3）

1.

1.

事業者は、次の事項について、個人情報保護リスクへの対応手(変更)

事業者は、次の事項について、個人情報保護リスクへの対応手

順を内部規程として文書化し、かつ実施すること。定めた手順

順を内部規程として文書化し、かつ実施すること。手順及び実及び実施した内容については、適宜見直すこと。

施した内容については、適宜見直すこと。

13 / 84(追加)a)個人情報保護リスクへの対応に当たっては、個人情報保護リa)個人情報保護リスクへの対応に当たっては、個人情報保護リ

スクアセスメントの結果を考慮して、必要な対応策（本指針

スクアセスメントの結果を考慮して、必要な対応策（本指針及び事業者が必要であると決定した、個人情報保護に関する及び事業者が必要であると決定した、個人情報保護に関するリスクを修正する対策を含む。
）を策定すること。

リスクを修正する対策を含む。
）を策定すること。

b)a)を踏まえて、個人情報保護リスクへの対応計画を策定し、

b)a)を踏まえて、個人情報保護リスクへの対応計画を策定し、実施すること。

2.

実施すること。

c)個人情報保護リスクへの対応計画及び実施した内容（現状でc)個人情報保護リスクへの対応計画及び実施した内容（現状で実施し得る対策を講じた上で、未対応部分を残留リスクとし実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理することを含む。
）について、原則として、て把握し、管理することを含む。）について、原則として、トップマネジメントの承認を得ること。

トップマネジメントの承認を得ること。

事業者は、a)～c)を実施した記録を利用可能な状態にするこ

2.

事業者は、a)～c)を実施した記録を保持すること。

と。

《留意事項》《留意事項》※※

残留リスクとは、リスク対応後に残っているリスクのことであ

残留リスクとは、リスク対応後に残っているリスクのことであり、受容するリスク（放置しておいてよいリスク）ではなく、現り、受容するリスク（放置しておいてよいリスク）ではなく、現時点では困難であるが、短期的若しくは中長期的に対応してい時点では困難であるが、短期的若しくは中長期的に対応していくリスクのことである。なお、個人情報の不適切な取扱い（不正くリスクのことである。なお、個人情報の不適切な取扱い（不正な取得・利用など）に関するリスクについては、法令遵守の観点な取得・利用など）に関するリスクについては、法令遵守の観点から、全て対応する必要があるため、残留リスクとすることはから、全て対応する必要があるため、残留リスクとすることは14 / 84(変更)認められない。
※

認められない。

残留リスクの管理とは、残留リスクについて文書化し、モニタ(追加)リングし、レビューし、対応可能となった場合に追加的対応の対象とすること等を指す。なお、残留リスクは、個人情報保護リ
スクの定期的な見直しを通じて、適切に管理することが重要となる。
J.3.2 個人情報保護目的及びそれを達成するための計画策定

J.3.2 個人情報保護目的及びそれを達成するための計画策定

（6.3）

（6.2）

1.

1.

事業者は、次の事項を含めて、個人情報保護目的を達成するた事業者は、次の事項を含めて、個人情報保護目的を達成するために計画すること。

めに計画すること。

a)実施事項a)実施事項b)必要な資源b)必要な資源

c)責任者

c)責任者

d)達成期限d)達成期限e)結果の評価方法e)結果の評価方法《留意事項》《留意事項》※※

個人情報保護目的を達成するために必要となる計画は、J.3.3

個人情報保護目的を達成するために必要となる計画は、J.3.3（計画策定）において、J.2.2（個人情報保護方針）、及び（計画策定）において、J.2.2（個人情報保護方針）、及びJ.3.1.3（個人情報保護リスクアセスメント）の結果を踏まえ

J.3.1.3（個人情報保護リスクアセスメント）の結果を踏まえ

15 / 84(変更)

て、本項の a)～e)を含めて策定すること。

て、本項の a)～e)を含めて策定すること。

J.3.3 計画策定（6.3）

J.3.3 計画策定（A.3.3.6）

1.

1.

事業者は、個人情報保護マネジメントシステムを確実に実施す事業者は、個人情報保護マネジメントシステムを確実に実施するために、次の事項を含めて、少なくとも年一回、及び必要にるために、次の事項を含めて、少なくとも年一回、及び必要に応じて適宜に必要な計画を立案し、文書化すること。

応じて適宜に必要な計画を立案し、文書化すること。

a)教育実施計画a)教育実施計画b)内部監査実施計画b)内部監査実施計画

J.3.4 変更の計画策定（6.4）
1.

(追加)

事業者は、個人情報保護マネジメントシステムの変更の必要性に関する決定をしたとき、その変更を計画すること。

J.4 支援（表題）

J.4 支援（表題）J.4.1 資源（7.1）

J.4.1 資源（7.1）

1.

1.

事業者は、個人情報保護マネジメントシステムの確立、実施、事業者は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者

維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供すること。

へ提供すること。

《留意事項》《留意事項》※※※

資源とは、人員、組織基盤（規程、体制、施設・設備など）
、資

(変更)

資源とは、人員、組織基盤（規程、体制、施設・設備など）、資

金などを指す。

金などを指す。

利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解） ※利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）

16 / 84

で特定したものである。

で特定したものである。

J.4.2 力量（7.2）

J.4.2 力量（7.2）

1.

1.

事業者は、次の事項を行うこと。

事業者は、次の事項を行うこと。

a)事業者の個人情報保護に影響を与える業務をその管理下で遂a)事業者の個人情報保護に影響を与える業務をその管理下で遂行する者に対して、個人情報保護の観点から、従業者に必要行する者に対して、個人情報保護の観点から、従業者に必要とされる能力を決定する。

とされる能力を決定する。

b)a)の者に対して、a)で決定した能力及び J.4.3 を充足するた

b)a)の者に対して、a)で決定した能力及び J.4.3 を充足するための処置を行い、必要な能力を備えることを確実にする。

めの処置を行い、必要な能力を備えることを確実にする。

c)b)を実施した結果、必要な能力が備わっていない場合は、必c)b)を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価する。

置の有効性を評価する。

d)a)～c)を実施した記録を利用可能な状態にする。

d)a)～c)を実施した記録を保持する。

《留意事項》《留意事項》※※a)で決定した能力及び J.4.3 を充足するための処置とは、例えa)で決定した能力及び J.4.3 を充足するための処置とは、例えば、現在雇用している者に対する、教育訓練の機会提供、指導

ば、現在雇用している者に対する、教育訓練の機会提供、指導の実施、配置転換の実施などがあり、また、力量を備えた者のの実施、配置転換の実施などがあり、また、力量を備えた者の雇用、そうした者との契約締結などもある。

雇用、そうした者との契約締結などもある。

J.4.3 認識（7.3）

J.4.3 認識（7.3、A.3.4.5）

1.

1.

事業者は、従業者に対して、少なくとも年一回、及び必要に応(変更)

事業者は、従業者に対して、少なくとも年一回、及び必要に応

17 / 84(削除)

2.

じて適宜に教育を実施する手順（教育の理解度を確認する手順

じて適宜に教育を実施する手順（教育の理解度を確認する手順を含む。
）を内部規程として文書化すること。

を含む。）を内部規程として文書化すること。

事業者は、従業者に対して、次の事項を認識させること。

2.

事業者は、従業者に対して、次の事項を認識させること。

a)個人情報保護方針

a)個人情報保護方針b)個人情報保護マネジメントシステムに適合することの重要性

b)個人情報保護マネジメントシステムに適合することの重要性

及び利点

及び利点

c)個人情報保護マネジメントシステムに適合するための役割及c)個人情報保護マネジメントシステムに適合するための役割及

び責任

び責任

d)個人情報保護マネジメントシステムに違反した際に予想されd)個人情報保護マネジメントシステムに違反した際に予想され

る結果

る結果

《留意事項》《留意事項》※※

本項は、J.4.2（力量）と一体として捉えること。

本項は、J.4.2（力量）と一体として捉えること。

J.4.4.1 コミュニケーション（7.4.1）

J.4.4.1 コミュニケーション（7.4）

1.

1.

事業者は、個人情報マネジメントシステムを構築・運用するに事業者は、個人情報マネジメントシステムを構築・運用するにあたり、次の事項を考慮して、内外の利害関係者と意思疎通やあたり、次の事項を考慮して、内外の利害関係者と意思疎通や情報共有を行うこと。

情報共有を行うこと。

a)コミュニケーションの内容（何を伝達するか。
）

a)コミュニケーションの内容（何を伝達するか。
）

b)コミュニケーションの実施時期

b)コミュニケーションの実施時期

c)コミュニケーションの対象者

c)コミュニケーションの対象者

18 / 84(変更)d)コミュニケーションの実施者

d)コミュニケーションの実施者

e)コミュニケーションの実施手順e)コミュニケーションの実施手順

f)コミュニケーションの実施方法

f)コミュニケーションの実施方法《留意事項》《留意事項》※※

コミュニケーションとは、平常時における、本人を含む外部とコミュニケーションとは、平常時における、本人を含む外部とのコミュニケーション（個人情報保護方針の公表、本人からののコミュニケーション（個人情報保護方針の公表、個人情報の開示等の請求等への対応、苦情及び相談への対応等）及び内部開示・訂正・利用停止、苦情及び相談への対応等）及び内部とのとのコミュニケーション（報告・連絡・相談・承認等）や、緊急コミュニケーション（報告・連絡・相談・承認等）や、緊急時に時における対応（主に、緊急事態への準備（J.4.4.2））がある。

おける、個人データの漏えい、滅失、き損その他の個人データの

(変更)

(変更)

安全確保にかかる場面（主に、緊急事態への準備（J.4.4.2））がある。
J.4.4.2 緊急事態への準備（7.4.3、A.13）
1.

J.4.4.2 緊急事態への準備（A.3.3.7）

事業者は、緊急事態が発生した場合に報告等が必要となる関係

(変更)
(追加)

機関及び利害関係者をあらかじめ特定すること。
2.

個人情報保護リスクを考慮し、その影響を最小限とするため、

1.

緊急事態を特定するための手順、及び特定した緊急事態にどの緊急事態を特定するための手順及び特定した緊急事態にどのよ(追加)

うに対応するかの手順を内部規程として文書化すること。

ように対応するかの手順を内部規程として文書化すること。
2.

緊急事態への準備及び対応に関する規定には、個人情報保護リ
スクを考慮し、その影響を最小限とするための手順を含むこ

19 / 84

(削除)

と。
3.

緊急事態への準備及び対応に関する規定には、緊急事態が発生

3.

緊急事態への準備及び対応に関する規定には、緊急事態が発生した場合に備え、次の事項を対応手順に含むこと。

した場合に備え、次の事項を対応手順に含むこと。

a)緊急事態が発生した個人情報の内容を本人に速やかに通知すa)漏えい、滅失又はき損等が発生した個人情報の内容を本人に(変更)速やかに通知するか、又は本人が容易に知り得る状態に置く

(削除)

ること。

こと。
b)二次被害の防止、類似事案の発生回避などの観点から、可能b)二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、発生原因及び対応策を、遅滞なく公表するな限り事実関係、発生原因及び対応策を、遅滞なく公表する

こと。

こと。

c)事実関係、発生原因及び対応策を、関係機関及び利害関係者

c)事実関係、発生原因及び対応策を関係機関に直ちに報告するに直ちに報告すること。
4.

緊急事態が発生した場合、定めた手順に従って緊急事態への対こと。
4.

応を実施すること。

緊急事態が発生した場合、定めた手順に従って緊急事態への対応を実施すること。

《留意事項》《留意事項》※※※

緊急事態へ対応する際は、事態の把握と調査が重要となる。

緊急事態へ対応する際は、事態の把握と調査が重要となる。

十分な調査を行うことを前提に、調査後の対応手順を定めるこ十分な調査を行うことを前提に、調査後の対応手順を定めることを本項は求めている。

とを本項は求めている。

緊急事態とは、個人情報保護リスク（J.3.1.3 の留意事項を参照）の脅威（事業者や本人等に損害を与える可能性がある、望ま※緊急事態とは、個人情報保護リスク（J.3.1.3 の留意事項を参照）の脅威（事業者や本人等に損害を与える可能性がある、望ま

20 / 84(追加)※

しくないインシデント（事故等の潜在的な要因）が顕在化した

しくないインシデント（事故等の潜在的な要因）が顕在化した状況を指す。

状況を指す。

関係機関とは、以下に該当するものを指す。

※

関係機関とは、報告すべき利害関係を有している機関（本人、委➣ プライバシーマーク付与機関（プライバシーマーク付与事

託元/委託先、企業グループ各社、プライバシーマークの審査を業者は審査を受けた審査機関へ報告し、報告を受けた審査

受けた機関（プライバシーマーク付与事業者の場合）、個人情報機関はその旨付与機関へ報告する）

保護委員会、認定個人情報保護団体（所属している場合）など）➣ 個人情報保護委員会（個人情報保護法に基づき、個人情報

(変更)

を指す。

保護委員会の権限が事業所管大臣に委任されている分野で漏えい等事案が発覚した場合は、その指定された報告先に代える）➣ その他、法令で定められている報告先 等※

関係機関（プライバシーマーク付与機関を除く）への具体的な(追加)報告等は、法令等に基づいて実施すること。
※

利害関係者とは、委託元/委託先、企業グループ各社等を指す。

(追加)

※

a)について、本人への通知が困難な場合であって、本人の権利(追加)

利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。
J.4.5.1 文書化した情報（一般）（7.5.1）

J.4.5.1 文書化した情報（一般）（7.5.1、A.3.5.1）

1.

1.

個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成すること。

個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成すること。

21 / 84(削除)a)個人情報保護方針

a)個人情報保護方針b)内部規程b)内部規程c)内部規程に定める手順上で使用する様式

c)内部規程に定める手順上で使用する様式

d)計画書

d)計画書

e)本指針が要求する記録e)本指針が要求する記録f)その他、事業者が個人情報保護マネジメントシステムを実施

f)その他、事業者が個人情報保護マネジメントシステムを実施する上で必要と判断した文書（記録を含む。
）

する上で必要と判断した文書（記録を含む。
）

J.4.5.2 文書化した情報の管理（7.5.3）

J.4.5.2 文書化した情報の管理（7.5.3）

1.

1.

個人情報保護マネジメントシステム及び本指針で要求されている文書化した情報は、次の事項を確実にするために管理するこる文書化した情報は、次の事項を確実にするために管理すること。

と。

a)必要な時に、必要な所で、入手可能かつ利用に適した状態でa)必要な時に、必要な所で、入手可能かつ利用に適した状態で

ある。

ある。

b)十分に保護されている（例えば、機密性の喪失、不適切な使b)十分に保護されている（例えば、機密性の喪失、不適切な使用及び完全性の喪失からの保護）。
2.

個人情報保護マネジメントシステム及び本指針で要求されてい文書化した情報の管理に当たっては、次の事項を実施するこ用及び完全性の喪失からの保護）。
2.

文書化した情報の管理に当たっては、次の事項を実施すること。

と。

c)配付、アクセス、検索及び利用c)配付、アクセス、検索及び利用

d)読みやすさが保たれることを含む、保管及び保存d)読みやすさが保たれることを含む、保管及び保存e)変更の管理（例えば、版の管理）e)変更の管理（例えば、版の管理）

22 / 84f)保持及び廃棄
3.

個人情報保護マネジメントシステムに必要となる外部からの文f)保持及び廃棄3.

書化した情報は、必要に応じて特定し、管理すること。

個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理すること。

《留意事項》《留意事項》※※

アクセスとは、文書化した情報の閲覧だけの許可に関する決アクセスとは、文書化した情報の閲覧だけの許可に関する決定、文書化した情報の閲覧、変更の許可及び権限に関する決定

定、文書化した情報の閲覧、変更の許可及び権限に関する決定などを意味する。

などを意味する。

J.4.5.3 文書化した情報（記録を除く。
）の管理（7.5.2）

J.4.5.3 文書化した情報（記録を除く。
）の管理（7.5.2、A.3.5.2）

1.

1.

本指針が要求する全ての文書化した情報（記録を除く。
）を管本指針が要求する全ての文書化した情報（記録を除く。
）を管理する手順を、次の事項を含む内部規程として文書化するこ理する手順を、次の事項を含む内部規程として文書化すること。

と。

a)文書化した情報（記録を除く。
）の発行及び改正に関するこa)文書化した情報（記録を除く。）の発行及び改正に関すること。
b)文書化した情報（記録を除く。
）の改正の内容と版数との関連付けを明確にすること。
c)必要な文書化した情報（記録を除く。
）が必要なときに容易に参照できること。
d)適切性及び妥当性に関する、適切なレビュー及び承認を行うこと。

と。
b)文書化した情報（記録を除く。）の改正の内容と版数との関連付けを明確にすること。
c)必要な文書化した情報（記録を除く。
）が必要なときに容易に参照できること。
d)適切性及び妥当性に関する、適切なレビュー及び承認を行う
こと。

23 / 84(削除)

2.

文書化した情報（記録を除く。
）の管理を実施すること。

2.

文書化した情報（記録を除く。
）の管理を実施すること。

《留意事項》《留意事項》※※c)の「必要な文書化した情報（記録を除く。）が必要なときに容c)の「必要な文書化した情報（記録を除く。
）が必要なときに容易に参照できること。
」とは、適切な形式（例えば、言語、ソフ

易に参照できること。」とは、適切な形式（例えば、言語、ソフ

トウェアの版、図表）及び媒体（例えば、紙、電子媒体）に関

トウェアの版、図表）及び媒体（例えば、紙、電子媒体）に関することを含む。

することを含む。

J.4.5.4 内部規程（7.5.1.1）

J.4.5.4 内部規程（A.3.3.5）

1.

1.

次の事項を含む内部規程を文書化すること。

次の事項を含む内部規程を文書化すること。

a)個人情報を特定する手順に関する規定

a)個人情報を特定する手順に関する規定b)法令、国が定める指針その他の規範の特定、参照及び維持に

b)法令、国が定める指針その他の規範の特定、参照及び維持に関する規定
c)個人情報保護リスクアセスメント及びリスク対応の手順に関する規定
d)事業者の各部門及び階層における個人情報を保護するための権限及び責任に関する規定

(変更)

関する規定
c)個人情報保護リスクアセスメント及びリスク対策の手順に関

(変更)

する規定
d)事業者の各部門及び階層における個人情報を保護するための権限及び責任に関する規定e)緊急事態への準備及び対応に関する規定e)緊急事態への準備及び対応に関する規定

f)個人情報の取得、利用及び提供に関する規定

f)個人情報の取得、利用及び提供に関する規定

g)個人情報の適正管理（データ内容の正確性の確保等、安全管g)個人情報の適正管理に関する規定

理措置、従業者の監督、委託先の監督）に関する規定

24 / 84(追加)2.

h)本人からの開示等の請求等への対応に関する規定h)本人からの開示等の請求等への対応に関する規定

i)教育などに関する規定

i)教育などに関する規定j)文書化した情報の管理に関する規定j)文書化した情報の管理に関する規定k)苦情及び相談への対応に関する規定k)苦情及び相談への対応に関する規定l)監視、測定、分析及び評価、並びに内部監査に関する規定l)点検に関する規定(変更)m)不適合及び是正処置に関する規定m)是正処置に関する規定(追加)n)マネジメントレビューに関する規定n)マネジメントレビューに関する規定o)内部規程の違反に関する罰則の規定

o)内部規程の違反に関する罰則の規定

事業の内容に応じて、個人情報保護マネジメントシステムが確

2.

事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用されるように内部規程を改正すること。

実に適用されるように内部規程を改正すること。

J.4.5.5 文書化した情報のうち、記録の管理（7.5.1.2）

J.4.5.5 文書化した情報のうち、記録の管理（A.3.5.3）

1.

1.

2.

個人情報保護マネジメントシステム及び本指針で要求されてい個人情報保護マネジメントシステム及び本指針で要求されている記録の管理についての手順を内部規程として文書化するこる記録の管理についての手順を内部規程として文書化すること。

と。

次の事項を含む必要な記録を作成すること。

2.

(変更)

次の事項を含む必要な記録を作成すること。

a)法令、国が定める指針及びその他の規範の特定に関する記録

a)個人情報の特定に関する記録(変更)b)個人情報の特定に関する記録b)法令、国が定める指針及びその他の規範の特定に関する記録(変更)c)個人情報保護リスクアセスメント及び個人情報保護リスク対c)個人情報保護リスクの認識、分析及び対策に関する記録

(変更)

d)計画書

(削除)

応に関する記録

25 / 84d)次の事項を含む管理策で要求する記録(追加)1)利用目的の特定に関する記録e)利用目的の特定に関する記録(変更)2)保有個人データに関する開示等（利用目的の通知、開示、

f)保有個人データに関する開示等（利用目的の通知、開示、(変更)

内容の訂正、追加又は削除、利用の停止又は消去、第三者

内容の訂正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録提供の停止）の請求等への対応記録

3)第三者提供に係る記録(追加)

4)第三者提供に関する開示等の請求等への対応記録(追加)

5)個人情報の適正管理への対応記録(追加)e)教育などの実施記録

g)教育などの実施記録(変更)f)苦情及び相談への対応記録h)苦情及び相談への対応記録(変更)g)緊急事態への対応記録(追加)h)監視、測定、分析及び評価の記録

i)運用の確認の記録(変更)i)内部監査の記録

j)内部監査報告書(変更)k)是正処置の記録(削除)l)マネジメントレビューの記録(変更)j)マネジメントレビューの記録k)不適合及び是正処置の記録
J.5 運用（表題）(追加)
J.5 運用（表題）J.5.1 運用（8.1、8.2、8.3）

J.5.1 運用（8.1、8.2、8.3、A.3.4.1）

1.

1.

個人情報保護マネジメントシステムを確実に実施するために、運用の手順を内部規程として文書化すること。

個人情報保護マネジメントシステムを確実に実施するために、運用の手順を内部規程として文書化すること。

26 / 84(削除)

2.

事業者は、本指針の要求事項を満たすため及び J.3 で決定した

2.

活動について、計画し、実施し、管理すること。
3.

4.

事業者は、計画した変更を管理し、意図しない変更によって生活動について、計画し、実施し、管理すること。
3.

事業者は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する

じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとること。

処置をとること。

事業者は、外部委託した業務がある場合は、管理の対象とする

4.

こと。
5.

事業者は、本指針の要求事項を満たすため及び J.3 で決定した事業者は No.2～4 についての記録を利用可能な状態にするこ事業者は、外部委託した業務がある場合は、管理の対象とすること。

5.

事業者は本項 2～4 についての記録を保持すること。

(変更)

と。
J.6 パフォーマンス評価（表題）J.6 パフォーマンス評価（表題）J.6.1 監視、測定、分析及び評価（9.1）

J.6.1 監視、測定、分析及び評価（9.1、A.3.7.1）

(削除)

1.

1.

(変更)

2.

各部門及び階層の管理者が定期的に、及び適宜に個人情報保護各部門及び階層の管理者が定期的に、及び適宜にマネジメント

マネジメントシステムが適切に運用されていることを確認するシステムが適切に運用されていることを確認する手順を内部規手順を内部規程として文書化すること。

程として文書化すること。

事業者は、個人情報保護マネジメントシステムが適切に運用さ2.

事業者は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定するこれているかどうかを確認するために、次の事項を決定すること。

と。

a)対象とする個人情報保護マネジメントシステムの運用状況a)対象とする個人情報保護マネジメントシステムの運用状況b)a)で対象とした運用状況の監視、測定、分析及び評価の方法b)a)で対象とした運用状況の監視、測定、分析及び評価の方法c)a)で対象とした運用状況の監視及び測定の実施時期c)a)で対象とした運用状況の監視及び測定の実施時期

27 / 843.

4.

d)a)で対象とした運用状況の監視及び測定の実施者d)a)で対象とした運用状況の監視及び測定の実施者e)a)で対象とした運用状況の分析及び評価の時期e)a)で対象とした運用状況の分析及び評価の時期f)a)で対象とした運用状況の分析及び評価の実施者f)a)で対象とした運用状況の分析及び評価の実施者

各部門及び各階層の管理者は、定期的に、及び適宜に個人情報

3.

保護マネジメントシステムが適切に運用されているかを確認

ントシステムが適切に運用されているかを確認し、不適合が確し、不適合が確認された場合は、その是正処置を行うこと。

認された場合は、その是正処置を行うこと。

事業者は、監視及び測定の結果の証拠となる文書化した情報

4.

を利用可能な状態にすること。
5.

各部門及び各階層の管理者は、定期的に、及び適宜にマネジメ

個人情報保護管理者は、定期的に、及び適宜にトップマネジメ

5.

ントに運用の確認の状況を報告すること。

(変更)

事業者は、監視及び測定の結果の証拠として、文書化した情報(変更)を保持すること。

(変更)

個人情報保護管理者は、定期的に、及び適宜にトップマネジメ
ントに運用の確認の状況を報告すること。

J.6.2 内部監査（9.2.1、9.2.2）

J.6.2 内部監査（9.2、A.3.7.2）

(変更)

1.

1.

(変更)

2.

内部監査の計画及び実施、結果の報告並びにこれに伴う記録の監査の計画及び実施、結果の報告並びにこれに伴う記録の保持保持に関する責任及び権限を定める手順を内部規程として文書に関する責任及び権限を定める手順を内部規程として文書化す化すること。

ること。

事業者は、個人情報保護マネジメントシステムが次の事項の状

2.

事業者は、個人情報保護マネジメントシステムが次の事項の状況にあるか否かについて、少なくとも年一回、及び必要に応じ況にあるか否かについて、少なくとも年一回、及び必要に応じて適宜に内部監査を実施すること。

て適宜に内部監査を実施すること。

a)事業者の内部規程（事業者自身が規定した要求事項を含む）

a)事業者が規定した要求事項及び本指針の要求事項に適合してが、本指針の要求事項に適合している。
b)個人情報保護マネジメントシステムが有効に実施され、維持いる。
b)個人情報保護マネジメントシステムが有効に実施され、維持

28 / 84(変更)

されている。
3.

個人情報保護監査責任者は、次の事項を行うこと。

されている。
3.

個人情報保護監査責任者は、次の事項を行うこと。

c)内部監査実施計画を策定、確立、実施及び維持する。その内

c)内部監査実施計画を策定、確立、実施及び維持する。その内部監査実施計画は、関連するプロセスの重要性及び前回まで

部監査実施計画は、関連するプロセスの重要性及び前回までの内部監査の結果を考慮する。

の監査の結果を考慮する。

d)各内部監査について、監査目的、監査基準及び監査範囲を明d)各監査について、監査基準及び監査範囲を明確にする。

確にする。

(変更)
(変更)
(追加)

e)内部監査プロセスの客観性及び公平性を確保する監査員を選e)監査プロセスの客観性及び公平性を確保する監査員を選定定し、内部監査実施計画に従って、監査を実施する。

(変更)

し、内部監査実施計画に従って、監査を実施する。

f)内部監査の結果を内部監査報告書としてまとめ、管理層及びf)監査の結果を監査報告書としてまとめ、管理層及びトップマ

トップマネジメントに報告する。

ネジメントに報告する。
g)内部監査実施計画及び監査結果の証拠として、文書化した情

(変更)
(変更)
(削除)

報を保持する。
4.

内部監査実施計画及び内部監査結果の証拠となる文書化した(追加)情報を利用可能な状態にすること。

《留意事項》※《留意事項》

d)の監査範囲は、自らの事業の用に供する個人情報を取扱う全(追加)ての業務、従業者、情報システム等を含めることが重要となる。
※

個人情報保護監査責任者は、監査員に、自己の所属する部署の※個人情報保護監査責任者は、監査員に、自己の所属する部署の29 / 84

内部監査をさせてはならない。

内部監査をさせてはならない。

J.6.3 マネジメントレビュー（9.3.1、9.3.2、9.3.3）

J.6.3 マネジメントレビュー（9.3、A.3.7.3）

1.

1.

マネジメントレビューを実施する手順を内部規程として文書化
すること。

2.

3.

トップマネジメントは、事業者の個人情報保護マネジメントシ

マネジメントレビューを実施する手順を内部規程として文書化
すること。

2.

トップマネジメントは、事業者の個人情報保護マネジメントシ

ステムが、引き続き、適切、妥当かつ有効であることを確実にステムが、引き続き、適切、妥当かつ有効であることを確実にするために、少なくとも年一回、及び必要に応じて適宜にマネするために、少なくとも年一回、及び必要に応じて適宜にマネ

ジメントレビューを実施すること。

ジメントレビューを実施すること。

マネジメントレビューの実施に当たっては、次の事項を含むこ3.

マネジメントレビューの実施に当たっては、次の事項を考慮す

と。

ること。

a)前回までのマネジメントレビューの結果を踏まえた見直しのa)前回までのマネジメントレビューの結果を踏まえた見直しの状況b)個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化c)以下の状況を踏まえた、現在の個人情報保護マネジメントシ

(変更)

(変更)

状況
b)個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化c)以下の状況を踏まえた、現在の個人情報保護マネジメントシ

ステムの運用状況の評価

ステムの運用状況の評価

1)不適合及び是正処置

1)不適合及び是正処置

2)監視及び測定の結果

2)確認及び点検の結果(変更)3)内部監査結果

3)監査結果(変更)4)個人情報保護目的の達成

4)個人情報保護目的の達成

30 / 844.

5.

d)利害関係者からのフィードバックd)利害関係者からのフィードバックe)リスクアセスメントの結果及びリスク対応計画の状況

e)リスクアセスメントの結果及びリスク対応計画の状況

f)継続的改善の機会

f)継続的改善の機会

マネジメントレビューからのアウトプットには、継続的改善の4.

マネジメントレビューからのアウトプットには、継続的改善の機会及び個人情報保護マネジメントシステムのあらゆる変更の機会及び個人情報保護マネジメントシステムのあらゆる変更の必要性に関する決定を含めること。

必要性に関する決定を含めること。

事業者は、マネジメントレビューの結果の証拠となる文書化

5.

した情報を利用可能な状態にすること。

事業者は、マネジメントレビューの結果の証拠として、文書化(変更)

した情報を保持すること。

(変更)《留意事項》※d)は、利害関係者のニーズ及び期待の理解の変化などが含まれ

(追加)

る。
J.7 改善（表題）

J.7 改善（表題）

J.7.1 不適合及び是正処置（10.2）

J.7.1 不適合及び是正処置（10.1、A.3.8）

1.

1.

事業者は、次の事項を含めて、不適合に対する是正処置を実施

事業者は、次の事項を含めて、不適合に対する是正処置を実施するための責任及び権限を定める手順を内部規程として文書化するための責任及び権限を定める手順を内部規程として文書化

すること。

すること。

a)その不適合に対処し、該当する場合には、必ず、次の事項を

a)その不適合に対処し、該当する場合には、必ず、次の事項を

行う。

行う。

1)その不適合を管理し、修正するための処置をとる。

1)その不適合を管理し、修正するための処置をとる。

31 / 84(変更)2)その不適合によって起こった結果に対処する。

2)その不適合によって起こった結果に対処する。

b)次の事項によって、その不適合の原因を除去するための処置b)次の事項によって、その不適合の原因を除去するための処置を検討する。

を検討する。

1)その不適合を調査及び分析する。

1)その不適合を調査及び分析する。

2)その不適合の原因を特定する。

2)その不適合の原因を特定する。

3)類似の不適合の有無、又はそれが発生する可能性を検討す

3)類似の不適合の有無、又はそれが発生する可能性を検討する。

る。

c)是正処置を計画し、計画された処置を実施する。

c)是正処置を計画し、計画された処置を実施する。

d)実施された全ての是正処置の有効性を調査、分析及び評価すd)実施された全ての是正処置の有効性を調査、分析及び評価する。

る。

e)必要な場合には、個人情報保護マネジメントシステムの改善e)必要な場合には、個人情報保護マネジメントシステムの改善

を行う。

を行う。

2.

不適合が明らかとなった場合、a)～e)の事項を実施すること。

2.

不適合が明らかとなった場合、a)～e)の事項を実施すること。

3.

a)～e)の実施結果の証拠となる文書化した情報を利用可能な

3.

a)～e)の実施結果について、文書化した情報を保持するととも(変更)に、原則として、トップマネジメントが承認すること。

(変更)状態にするとともに、原則として、トップマネジメントが承認すること。

《留意事項》※《留意事項》

不適合が明らかとなった場合とは、J.6（パフォーマンス評価） ※不適合が明らかとなった場合とは、J.6（パフォーマンス評価）のほか、個人情報に関わる事故や苦情の発生等が契機となる。

のほか、個人情報に関わる事故や苦情の発生等が契機となる。

32 / 84

J.7.2 継続的改善（10.1）

J.7.2 継続的改善（10.2）

1.

1.

事業者は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善すること。

J.8 取得、利用及び提供に関する原則（表題）

事業者は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善すること。

J.8 取得、利用及び提供に関する原則（表題）

J.8.1 利用目的の特定（A.1）

J.8.1 利用目的の特定（A.3.4.2.1）

1.

1.

個人情報の利用目的をできる限り特定し、その目的の達成に必要な範囲内において取扱いを行うこと。

2.

利用目的は、取得した情報の利用及び提供によって本人の受け(変更)

個人情報の利用目的をできる限り特定し、その目的の達成に必要な範囲内において取扱いを行うこと。

2.

利用目的は、取得した情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲を可能な限りる影響を予測できるように、利用及び提供の範囲を可能な限り

具体的に明らかにすること。

具体的に明らかにすること。

J.8.2 適正な取得（A.4）

J.8.2 適正な取得（A.3.4.2.2）

1.

1.

事業者は、適法かつ公正な手段によって個人情報を取得するこ

(変更)

と。

(変更)

事業者は、適法かつ公正な手段によって個人情報を取得すること。

J.8.3 要配慮個人情報などの取得（A.5）

J.8.3 要配慮個人情報（A.3.4.2.3）

(変更)

1.

1.

(変更)

要配慮個人情報の取得に際しては、要配慮個人情報の取得、利新たに要配慮個人情報を取得、利用又は提供並びに要配慮個人用、又は提供（要配慮個人情報のデータの提供含む）する旨に情報のデータを提供する場合、あらかじめ書面による本人の同ついて、あらかじめ書面によって明示し、書面によって本人の意を得ること。

同意を得ること。
2.

要配慮個人情報を取得する際、あらかじめ書面によって本人の同意を得ることを要しないのは、以下の場合に限定すること。

2.

要配慮個人情報を取得、利用する際、書面による本人の同意を得ることを要しないときとは、以下の場合に限定すること。

33 / 84(変更)a)法令に基づく場合

a)法令に基づく場合

b)人の生命、身体又は財産の保護のために必要がある場合であb)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときって、本人の同意を得ることが困難であるとき

c)公衆衛生の向上又は児童の健全な育成の推進のために特に必c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である

要がある場合であって、本人の同意を得ることが困難である

ときときd)国の機関若しくは地方公共団体又はその委託を受けた者が法d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき行に支障を及ぼすおそれがあるときe)当該要配慮個人情報が、法令等により個人情報取扱事業者のe)当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者及び個人情報保護委員会義務などの適用除外とされている者及び個人情報保護委員会

規則で定めた者によって公開された要配慮個人情報であると規則で定めた者によって公開された要配慮個人情報であるとききf)本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
g)特定した利用目的の達成に必要な範囲内において、要配慮個
人情報の取扱いの全部又は一部を委託することに伴って当該f)本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得又は利用する場合
g)個人情報保護法二十七条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき

要配慮個人情報の提供を受けるときh)合併その他の事由による事業の承継に伴って要配慮個人情報

34 / 84(変更)(変更)

の提供を受ける場合であって、承継前の利用目的の範囲内で当該要配慮個人情報を取り扱うときi) J.8.7 の d)によって、特定の者との間で共同して利用される要配慮個人情報を当該特定の者から提供を受けるときj)個人情報取扱事業者が学術研究機関等である場合であって、

h)個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があると当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目き（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそ的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）

れがある場合を除く。）(変更)k)学術研究機関等から当該要配慮個人情報を取得する場合であi)学術研究機関等から当該要配慮個人情報を取得し、利用する(変更)って、当該要配慮個人情報を学術研究目的で取得する必要が場合であって、当該要配慮個人情報を学術研究目的で取得(変更)あるとき（当該要配慮個人情報を取得する目的の一部が学術し、利用する必要があるとき（当該要配慮個人情報を取得す(変更)

研究目的である場合を含み、個人の権利利益を不当に侵害する目的の一部が学術研究目的である場合を含み、個人の権利

るおそれがある場合を除く。
）（当該個人情報取扱事業者と当利益を不当に侵害するおそれがある場合を除く。）（当該個人

該学術研究機関等が共同して学術研究を行う場合に限る。）

情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）

3.

個人情報に、性生活、性的指向又は労働組合に関する情報が含(追加)

まれる場合には、当該情報を要配慮個人情報と同様に取り扱うこと。
3.

要配慮個人情報を提供する際、書面による本人の同意を得るこ

35 / 84(削除)とを要しないときとは、J.8.3 の a)～d)、又は、以下の場合に限定すること。
j)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
k)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）
l)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人デー
タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）《留意事項》※《留意事項》

要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯(追加)

罪の経歴、犯罪により害を被った事実その他本人に対する不当

36 / 84

な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。No.3 で示した情報は、この要配慮個人情報と同様に取り扱うことを求めている。
※

要配慮個人情報の取得に際して同意を得るときは、J.8.5（J.8.4(追加)のうち本人から直接書面によって取得する場合の措置）に基づいて実施すること。
※

学術研究機関とは、大学その他の学術研究を目的とする機関若※

しくは団体又はそれらに属する者を指す。
※

学術研究目的とは、学術研究の用に供する目的を指す。

学術研究機関とは、大学その他の学術研究を目的とする機関若
しくは団体又はそれらに属する者を指す。

※

学術研究目的とは、学術研究の用に供する目的を指す。

J.8.4 個人情報を取得した場合の措置（A.6）

J.8.4 個人情報を取得した場合の措置（A.3.4.2.4）

1.

1.

2.

個人情報を取得した場合は、あらかじめ、その利用目的を公表

個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、している場合を除き、速やかにその利用目的を本人に通知し、又は公表すること。

又は公表すること。

本人に利用目的を通知し、又は公表を要しないのは、以下の場

2.

本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限定すること。

合に限定すること。

a)利用目的を本人に通知し、又は公表することによって本人又a)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそは第三者の生命、身体、財産その他の権利利益を害するおそれがある場合れがある場合b)利用目的を本人に通知し、又は公表することによって当該事(変更)b)利用目的を本人に通知し、又は公表することによって当該組

37 / 84(変更)

業者の権利又は正当な利益を害するおそれがある場合織の権利又は正当な利益を害するおそれがある場合

c)国の機関又は地方公共団体が法令の定める事務を遂行するこc)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本とに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合障を及ぼすおそれがある場合d)取得の状況からみて利用目的が明らかであると認められる場d)取得の状況からみて利用目的が明らかであると認められる場

合

合

J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置

J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置（A.7）（A.3.4.2.5）

1.

1.

本人から、書面に記載された個人情報を直接取得する場合に本人から、書面に記載された個人情報を直接取得する場合には、少なくとも、次に示す事項又はそれと同等以上の内容の事は、少なくとも、次に示す事項又はそれと同等以上の内容の事

項を、あらかじめ、書面によって本人に明示し、書面によって項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得ること。

本人の同意を得ること。

a)事業者の名称又は氏名a)組織の名称又は氏名b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、

b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先(変更)

所属及び連絡先c)利用目的c)利用目的d)個人情報を第三者に提供することが予定される場合の事項

d)個人情報を第三者に提供することが予定される場合の事項－第三者に提供する目的－第三者に提供する目的－提供する個人情報の項目－提供する個人情報の項目

38 / 84(変更)

－提供の手段又は方法－提供の手段又は方法－当該情報の提供を受ける者又は提供を受ける者の事業者の－当該情報の提供を受ける者又は提供を受ける者の組織の種

種類、及び属性

類、及び属性－個人情報の取扱いに関する契約がある場合はその旨－個人情報の取扱いに関する契約がある場合はその旨

e)個人情報の取扱いの委託を行うことが予定される場合には、

e)個人情報の取扱いの委託を行うことが予定される場合には、

その旨

その旨

f)J.10.4～J.10.7 に該当する場合には、その請求等に応じる

f)J.10.4～J.10.7 に該当する場合には、その請求等に応じる

旨及び問合せ窓口

旨及び問合せ窓口g)本人が個人情報を与えることの任意性及び当該情報を与えな

g)本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果

かった場合に本人に生じる結果

h)本人が容易に知覚できない方法によって個人情報を取得する

h)本人が容易に知覚できない方法によって個人情報を取得する

場合には、その旨
2.

あらかじめ書面によって本人に明示し、書面によって本人の同場合には、その旨
2.

あらかじめ書面によって本人に明示し、書面によって本人の同意を得ないのは、以下の場合に限定すること。

意を得ないのは、以下の場合に限定すること。

・人の生命、身体若しくは財産の保護のために緊急に必要があ

・人の生命、身体若しくは財産の保護のために緊急に必要がある場合
・以下のいずれかに該当し、J.8.4 の措置を要しない場合

る場合
・以下のいずれかに該当し、J.8.4 の措置を要しない場合

1)利用目的を本人に通知し、又は公表することによって本人

1)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害する又は第三者の生命、身体、財産その他の権利利益を害する

おそれがある場合

おそれがある場合

39 / 84(変更)2)利用目的を本人に通知し、又は公表することによって当該

2)利用目的を本人に通知し、又は公表することによって当該事業者の権利又は正当な利益を害するおそれがある場合

組織の権利又は正当な利益を害するおそれがある場合

3)国の機関又は地方公共団体が法令の定める事務を遂行する

3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的ことに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合

行に支障を及ぼすおそれがある場合

4)取得の状況からみて利用目的が明らかであると認められる

4)取得の状況からみて利用目的が明らかであると認められる

場合

場合《留意事項》《留意事項》※

本人から直接書面によって取得する場合、J.8.4（個人情報を取 ※本人から直接書面によって取得する場合、J.8.4（個人情報を取得した場合の措置）の措置が必要となる。

得した場合の措置）の措置が必要となる。

J.8.6 利用に関する措置（A.2、A.3）

J.8.6 利用に関する措置（A.3.4.2.6）

1.

1.

2.

個人情報を利用する場合には、本人の同意の有無に関わらず、違法又は不当な行為を助長し、又は誘発するおそれのあるものを除くこと。

を除くこと。
2.

こと。
3.

個人情報を利用する場合には、本人の同意の有無に関わらず、違法又は不当な行為を助長し、又は誘発するおそれのあるもの特定した利用目的の達成に必要な範囲内で個人情報を利用する

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少なくとも、J.8.5 の a)～f)に示す(変更)

特定した利用目的の達成に必要な範囲内で個人情報を利用すること。

3.

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少なくとも、J.8.5 の a)～f)に示す

40 / 84(変更)

4.

事項又はそれと同等以上の内容の事項を本人に通知し、本人の事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ること。

同意を得ること。

特定した利用目的の達成に必要な範囲を超えて個人情報を利用

4.

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に、本人の同意を得ることを要しないのは、以下の場する場合に、本人の同意を得ることを要しないのは、以下のい合に限定すること。

ずれかに該当する場合に限定すること。

a)法令に基づく場合

a)法令に基づく場合

b)人の生命、身体又は財産の保護のために必要がある場合であb)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

って、本人の同意を得ることが困難であるとき。

c)公衆衛生の向上又は児童の健全な育成の推進のために特に必c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である

要がある場合であって、本人の同意を得ることが困難である

とき。

とき。

d)国の機関若しくは地方公共団体又はその委託を受けた者が法d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

に支障を及ぼすおそれがあるとき。

e)当該個人情報取扱事業者が学術研究機関等である場合であっe)当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取り扱う必要があるとき（当該個人情報て、学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

人の権利利益を不当に侵害するおそれがある場合を除く。）

f)学術研究機関等に個人データを提供する場合であって、当該

f)学術研究機関等に個人データを提供する場合であって、当該

41 / 84(削除)

学術研究機関等が当該個人データを学術研究目的で取り扱う

学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害

術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）

するおそれがある場合を除く。
）《留意事項》《留意事項》※※※

違法又は不当な行為とは、個人情報保護法その他の法令に違反

違法又は不当な行為とは、個人情報保護法その他の法令に違反する行為や、直ちに違法とは言えないものの、個人情報保護法する行為や、直ちに違法とは言えないものの、個人情報保護法

その他の法令の制度趣旨や公序良俗に反している等、社会通念

その他の法令の制度趣旨や公序良俗に反している等、社会通念

上、適正とは認められない行為を指す。

上、適正とは認められない行為を指す。

違法又は不当な行為を助長し、又は誘発する「おそれ」の有無※

違法又は不当な行為を助長し、又は誘発する「おそれ」の有無

は、社会通念上、蓋然性が認められるか否かにより判断されは、社会通念上、蓋然性が認められるか否かにより判断される。

る。

この判断に当たっては、個人情報の利用方法などの客観的な事

この判断に当たっては、個人情報の利用方法などの客観的な事情に加えて、個人情報の利用時点における事業者の認識及び予情に加えて、個人情報の利用時点における事業者の認識及び予見可能性も踏まえる必要がある。

見可能性も踏まえる必要がある。

J.8.7 本人に連絡又は接触する場合の措置（A.8）

J.8.7 本人に連絡又は接触する場合の措置（A.3.4.2.7）

1.

1.

個人情報を利用して本人に連絡又は接触する場合には、本人に個人情報を利用して本人に連絡又は接触する場合には、本人に対して、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容

対して、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得ること。

の事項、及び取得方法を通知し、本人の同意を得ること。

42 / 84(変更)2.

個人情報を利用して本人に連絡又は接触する場合のうち、本人

2.

個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知し、本人の同意を得ることを要しない場合を、利用するに通知し、本人の同意を得ることを要しない場合を、利用する個人情報が以下の場合に限定すること。

個人情報が以下の場合に限定すること。

a)J.8.5 の措置において、あらかじめ、利用目的として個人情a)J.8.5 の措置において、あらかじめ、利用目的として個人情報を利用して本人に連絡又は接触することを含め、J.8.5 の報を利用して本人に連絡又は接触することを含め、J.8.5 のa)～f)に示す事項又はそれと同等以上の内容の事項を明示

a)～f)に示す事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているときし、既に本人の同意を得ているときb)個人情報の取扱いの全部又は一部を委託された場合であっb)個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内でて、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うとき取り扱うときc)合併その他の事由による事業の承継に伴って個人情報が提供

c)合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業者が、既に J.8.5 の a)～f)

され、個人情報を提供する組織が、既に J.8.5 の a)～f)に示に示す事項又はそれと同等以上の内容の事項を明示又は通知す事項又はそれと同等以上の内容の事項を明示又は通知し、し、本人の同意を得ている場合であって、承継前の利用目的

本人の同意を得ている場合であって、承継前の利用目的の範の範囲内で当該個人情報を取り扱うとき囲内で当該個人情報を取り扱うときd)個人情報が特定の者との間で適法かつ公正な手段によって、

d)個人情報が特定の者との間で共同して利用され、共同して利

共同して利用されている場合であって、以下の 1)～5)に示用する者が、既に共同して利用することに関して、J.8.5 のす事項を、あらかじめ、本人に通知し、又は本人が容易に知a)～f)に示す事項又はそれと同等以上の内容の事項を明示又り得る状態に置くとともに、共同して利用する者との間で共は通知し、本人の同意を得ている場合であって、以下の 1)～

同利用について契約によって定めているとき

6)に示す事項又はそれと同等以上の内容の事項を、あらかじ43 / 84

(変更)

(変更)

め、本人に通知し、又は本人が容易に知り得る状態に置いているとき(以下、「共同利用」という。)
1)共同して利用すること

1)共同して利用すること

2)共同して利用される個人情報の項目

2)共同して利用される個人情報の項目

3)共同して利用する者の範囲

3)共同して利用する者の範囲

4)共同して利用する者の利用目的

4)共同して利用する者の利用目的

5)共同して利用する個人情報の管理について責任を有する者

5)共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表の氏名又は名称及び住所並びに法人にあっては、その代表

者の氏名

者の氏名
6)取得方法e)J.8.4 の d)に該当する場合に取得した個人情報を利用して、本人に連絡又は接触するときe)J.8.4 の d)に該当し利用目的などを本人に明示、通知又は公

(削除)
(変更)

表することなく取得した個人情報を利用して、本人に連絡又は接触するときf)法令に基づく場合

f)J.8.3 の a)～d)のいずれかに該当する場合

g)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
h)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である
とき
i)国の機関若しくは地方公共団体又はその委託を受けた者が法44 / 84(変更)

令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき《留意事項》《留意事項》※※

d)の「適法かつ公正な手段によって、共同して利用されているd)の「個人情報が特定の者との間で共同して利用され、共同して場合」とは、特定の者との間で共同して利用される個人データ

利用する者が、既に共同して利用することに関して、J.8.5 の a)を当該特定の者に提供する場合であって、1)～5)までの情報を、～f)に示す事項又はそれと同等以上の内容の事項を明示又は通提供に当たりあらかじめ本人に通知し、又は本人が容易に知り知し、本人の同意を得ている場合」とは、共同利用する事業者の得る状態に置いているときである。特に、共同して利用する者

うち、いずれかの事業者が実施することが求められる事項であの範囲については、「共同利用の趣旨」は、本人から見て、当該

る。

(変更)

個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することであることから、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
※

d)の「以下の 1)～5)に示す事項を、あらかじめ、本人に通知し、 ※d)の「以下の 1)～6)に示す事項又はそれと同等以上の内容の事(変更)

又は本人が容易に知り得る状態に置いているとき」とは、共同

項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状(削除)

45 / 84

利用する全ての事業者に対して求められる事項である。

態に置いているとき」とは、共同利用する全ての事業者に対して求められる事項である。

※※

共同して利用する者の利用目的の変更を行う場合には、共同利※

共同して利用する者の利用目的の変更を行う場合には、共同利用する事業者のうち、いずれかの事業者が J.8.6 で定める利用用する事業者のうち、いずれかの事業者が J.8.6 で定める利用目的の変更の措置を行うとともに、変更した内容については、

目的の変更の措置を行うとともに、変更した内容については、共同利用する全ての事業者が、本人に通知し、又は本人が容易

共同利用する全ての事業者が、本人に通知し、又は本人が容易に知り得る状態に置くこと。

に知り得る状態に置くこと。

共同利用について契約によって定めるとは、共同して利用する※

共同利用の実施においては、共同して利用する者の間で、共同し者の間で、共同して利用する者の要件、各共同して利用する者て利用する者の要件、各共同して利用する者の個人情報取扱責任の個人情報取扱責任者・問合せ担当者及び連絡先、共同利用す者・問合せ担当者及び連絡先、共同利用する個人情報の取扱いにる個人情報の取扱いに関する事項、共同利用する個人情報の取関する事項、共同利用する個人情報の取扱いに関する取決めが遵扱いに関する取決めが遵守されなかった場合の措置、共同利用

守されなかった場合の措置、共同利用する個人情報に関する事する個人情報に関する事件・事故が発生した場合の報告・連絡件・事故が発生した場合の報告・連絡に関する事項、共同利用をに関する事項、共同利用を終了する際の手続等をあらかじめ取

終了する際の手続等をあらかじめ取り決めておくことが望まし

り決めておくとともに、その内容を契約書、確認書、覚書等の手

い。

(変更)

(変更)

段によって残すことを指す。
J.8.8 個人データの提供に関する措置（A.14）

J.8.8 個人データの提供に関する措置（A.3.4.2.8）

1.

1.

個人データを第三者に提供する場合には、あらかじめ、本人に個人データを第三者に提供する場合には、あらかじめ、本人に対して、当該個人データを第三者に提供することに関して、対して、当該個人データを第三者に提供することに関して、

J.8.5 の a)～d)に示す事項又はそれと同等以上の内容の事項、

J.8.5 の a)～d)に示す事項又はそれと同等以上の内容の事項、

46 / 84(変更)

及び取得方法を通知し、本人の同意を得ること。
2.

個人データを第三者に提供する場合に、本人に通知し、本人の及び取得方法を通知し、本人の同意を得ること。
2.

個人データを第三者に提供する場合に、本人に通知し、本人の同意を得ることを要しない場合は、以下の場合に限定するこ同意を得ることを要しない場合は、以下の場合に限定すること。

と。

a)J.8.5 の規定によって、個人データを第三者に提供すること

a)J.8.5 の規定によって、個人データを第三者に提供することに関して、既に J.8.5 の a)～d)の事項又はそれと同等以上に関して、既に J.8.5 の a)～d)の事項又はそれと同等以上の内容の事項を本人に明示し、本人の同意を得ているとき、の内容の事項を本人に明示し、本人の同意を得ているとき、又は J.8.7 の規定によって、既に J.8.5 の a)～d)の事項又又は J.8.7 の規定によって、既に J.8.5 の a)～d)の事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ているときを得ているときb)本人の同意を得ることが困難な場合、かつ本人の求めに応じb)本人の同意を得ることが困難な場合であって、法令等が定めて当該本人が識別される個人データの第三者への提供を停止る手続に基づいた上で、次に示す事項又はそれと同等以上のすることとしている場合であって、法令等が定める手続に基内容の事項を、あらかじめ、本人に通知し、又はそれに代わづいた上で、次に示す事項又はそれと同等以上の内容の事項

る同等の措置を講じているときを、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たとき。
ただし、第三者に提供される個人データが要配慮個人情報又は偽りその他不正の手段により取得された個人データ若しく
は他の個人情報取扱事業者からこの項 b)の規定により提供されたもの（その全部又は一部を複製し、又は加工したもの

47 / 84

(追加)

(変更)

を含む。
）である場合は、この限りでない。
1)第三者への提供を行う事業者の氏名又は名称及び住所並び

1)事業者の氏名又は名称及び住所並びに法人にあっては、そに法人にあっては、その代表者の氏名(追加)の代表者の氏名

2)第三者への提供を利用目的とすること

2)第三者への提供を利用目的とすること

3)第三者に提供される個人データの項目

3)第三者に提供される個人データの項目

4)第三者に提供される個人データの取得の方法(追加)

5)第三者への提供の方法

4)第三者への提供の手段又は方法(変更)6)本人の求めに応じて当該本人が識別される個人データの第5)本人の請求などに応じて当該本人が識別される個人データ(変更)

三者への提供を停止することの第三者への提供を停止すること
6)取得方法(削除)

7)本人の求めを受け付ける方法

7)本人からの請求などを受け付ける方法(変更)

8)第三者に提供される個人データの更新の方法

8)その他個人の権利利益を保護するために必要なものとして(変更)

9)当該届出に係る個人データの第三者への提供を開始する予

個人情報保護委員会規則で定める事項

定日c)法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、法令等が定める手続に基づいた上で、b)の 1)～8)で示す事項又はそれと同等以上の内容の事項
を、あらかじめ、本人に通知し、又は本人が容易に知り得る48 / 84(削除)

状態に置いているとき
c)特定した利用目的の達成に必要な範囲内において、個人デー
タの取扱いの全部又は一部を委託することに伴って当該個人

d)特定した利用目的の達成に必要な範囲内において、個人デー
タの取扱いの全部又は一部を委託するとき

(変更)
(変更)

データが提供されるとき
d)合併その他の事由による事業の承継に伴って個人データが提e)合併その他の事由による事業の承継に伴って個人データを提供される場合であって、承継前の利用目的の範囲内で当該個供する場合であって、承継前の利用目的の範囲内で当該個人人データを取り扱うときデータを取り扱うときe)J.8.7 の d)によって、特定の者との間で共同して利用される個人データが当該特定の者に提供されるとき

f)個人データを共同利用している場合であって、共同して利用

(変更)

(変更)

する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき

f)法令に基づく場合
g)人の生命、身体又は財産の保護のために必要がある場合であg)J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合って、本人の同意を得ることが困難であるとき
h)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である
とき
i)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき

49 / 84(変更)j)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）
k)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）
l)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人デー
タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
3.

2 項 b)の適用に当たっては、以下の 1)～3)を除くこと。
1)要配慮個人情報
2)偽りその他不正の手段により取得されたデータ
3)個人情報保護法第二十七条第二項、又は J.8.8 の 2 項 b)により提供された個人データ（提供されたデータに対して、その50 / 84(削除)

全部又は一部を複製し、又は加工したものを含む）《留意事項》※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。
※f)は、共同利用の実施に関する取決め（J.8.7 の留意事項）を持(削除)って代替してもよい。
J.8.8.1 外国にある第三者への提供の制限（A.15）

J.8.8.1 外国にある第三者への提供の制限（A.3.4.2.8.1）

1.

1.

外国にある第三者に個人データを提供する場合、以下のいずれ

外国にある第三者に個人データを提供する場合、以下のいずれかを満たすこと。ただし、J.8.8 の f)～l)のいずれかに該当すかを満たすこと。ただし、J.8.3 の a)～d)、又は、J.8.3 の j)

る場合はこれに限らない。

～l)のいずれかに該当する場合はこれに限らない。

a)あらかじめ外国にある第三者への提供を認める旨の本人同意a)あらかじめ外国にある第三者への提供を認める旨の本人同意

がある場合

(変更)

がある場合

b)個人データの取扱いについて個人情報取扱事業者が講ずべき

b)個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるためこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準にに必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供をする場合

適合する体制を整備している者への提供をする場合

c)個人の権利利益を保護する上で我が国と同等の水準にある外c)個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第国として個人情報保護委員会規則で定める国・地域にある第51 / 84(変更)

三者への提供をする場合
2.

No.1 の a)によって外国にある第三者に個人データを提供する

三者への提供をする場合
2.

1 項の a)によって外国にある第三者に個人データを提供する場(変更)

場合は、あらかじめ、次に掲げる事項について、当該本人に必合は、あらかじめ、法令等の定めるところによって、次に掲げ(削除)

要な情報を提供すること。

る事項について、当該本人に必要な情報を提供すること。

d)当該外国の名称

d)当該外国の名称e)適切かつ合理的な方法により得られた当該外国における個人

e)当該外国における個人情報の保護に関する制度に関する情報(追加)

情報の保護に関する制度に関する情報
f)当該第三者が講ずる個人情報の保護のための措置に関する情f)当該第三者が講ずる個人情報の保護のための措置に関する情報報g)d)～f)に定める事項が特定できない場合、その旨及びその理

g)d)～f)に定める事項が特定できない場合、その旨及びその理

由由h)g)に該当する場合であって、d)～f)の事項に代わる本人に参h)g)に該当する場合であって、d)～f)の事項に代わる本人に参考となるべき情報がある場合には、当該情報3.

考となるべき情報がある場合には、当該情報

i)g)及び h)に該当する場合について情報提供できない場合にi)g)及び h)に該当する場合について情報提供できない場合には、g)及び h)に定める事項に代えて、その旨及びその理由は、g)及び h)に定める事項に代えて、その旨及びその理由

No.1 の b)によって外国にある第三者に個人データを提供する

3.

1 項の b)によって外国にある第三者に個人データを提供する場(変更)場合には、あらかじめ、次に掲げる事項について、必要な措置

合には、あらかじめ、法令等の定めるところによって、次に掲(削除)を講じること。

げる事項について、必要な措置を講じること。

j)当該第三者による相当措置の実施状況並びに相当措置の実施j)当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びそのに影響を及ぼすおそれのある当該外国の制度の有無及びその52 / 84

内容について、適切かつ合理的な方法による定期的な確認内容について、適切かつ合理的な方法による定期的な確認k)当該第三者による相当措置の実施に支障が生じたときは、必k)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的

要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三な実施の確保が困難となったときは、個人データの当該第三者への提供の停止

者への提供の停止l)本人の求めを受けた場合には、情報提供することにより当該

l)本人の求めを受けた場合には、情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがあ組織の業務の適正な実施に著しい支障を及ぼすおそれがあるる場合を除き、遅滞なく、以下の情報の提供

場合を除き、遅滞なく、以下の情報の提供

1)当該第三者による体制の整備の方法

1)当該第三者による体制の整備の方法

2)当該第三者が実施する相当措置の概要

2)当該第三者が実施する相当措置の概要

3)j)による確認の頻度及び方法

3)j)による確認の頻度及び方法

4)当該外国の名称

4)当該外国の名称

5)当該第三者による相当措置の実施に影響を及ぼすおそれの

5)当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要

ある当該外国の制度の有無及びその概要

6)当該第三者による相当措置の実施に関する支障の有無及び

6)当該第三者による相当措置の実施に関する支障の有無及び

その概要

その概要

7)6)の支障に関して、k)により講ずる措置の概要
4.

No.3 の l)で、本人の求めに係る情報の全部又は一部について(変更)

7)前号の支障に関して、k)により講ずる措置の概要
4.

3 項の l)で、本人の求めに係る情報の全部又は一部について提提供しない旨の決定をしたときは、本人に対して、遅滞なく、供しない旨の決定をしたときは、本人に対して、遅滞なく、そその旨を通知するとともに、その理由を説明すること。

の旨を通知するとともに、その理由を説明すること。

53 / 84(変更)(変更)

《留意事項》※※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。

e)は、当該外国における個人情報保護に関する制度の有無、及(追加)

び当該外国の個人情報保護に関する制度についての指標となり得る情報の存在等が含まれる。なお、外国にある第三者への提供によって本人が受ける影響を予測できるように配慮するために、次に示す事項又はそれらと同等以上の内容も情報提供することが望ましい。
・OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在
・その他本人の権利利益に重大な影を及ぼす可能性のある制度の存在
J.8.8.2 第三者提供に係る記録の作成等（A.16）

J.8.8.2 第三者提供に係る記録の作成など（A.3.4.2.8.2）

1.

1.

個人データを第三者に提供したときは、当該個人データの提供について必要な記録を作成すること。

2.

個人データを第三者に提供したときに、当該個人データの提供に関する記録の作成を要しない場合を、以下の場合に限定する

個人データを第三者に提供したときは、当該個人データの提供について必要な記録を作成すること。

2.

個人データを第三者に提供したときに、当該個人データの提供に関する記録の作成を要しない場合を、以下の場合に限定する

54 / 84

(変更)

こと。

こと。

a)特定した利用目的の達成に必要な範囲内において、個人デー

a)特定した利用目的の達成に必要な範囲内において、個人デー

タの取扱いの全部又は一部を委託することに伴って当該個人

タの取扱いの全部又は一部を委託するとき(変更)

データが提供されるとき
b)合併その他の事由による事業の承継に伴って個人データが提b)合併その他の事由による事業の承継に伴って個人データを提供される場合であって、承継前の利用目的の範囲内で当該個供する場合であって、承継前の利用目的の範囲内で当該個人人データを取り扱うときデータを取り扱うときc)J.8.7 の d)によって、特定の者との間で共同して利用される個人データが当該特定の者に提供されるとき

c)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき

d)法令に基づく場合

d)法令に基づく場合

e)人の生命、身体又は財産の保護のために必要がある場合であe)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときって、本人の同意を得ることが困難であるとき

f)公衆衛生の向上又は児童の健全な育成の推進のために特に必f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である

要がある場合であって、本人の同意を得ることが困難である

ときとき

g)国の機関若しくは地方公共団体又はその委託を受けた者が法g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき行に支障を及ぼすおそれがあるとき

55 / 84

(変更)

(変更)

3.

h)個人情報取扱事業者が学術研究機関等である場合であって、

h)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためや

個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）

ある場合を除く。）

i)個人情報取扱事業者が学術研究機関等である場合であって、

i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含

データを提供する目的の一部が学術研究目的である場合を含

み、個人の権利利益を不当に侵害するおそれがある場合を除

み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）

う場合に限る。
）

j)第三者が学術研究機関等である場合であって、第三者が個人

j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人デー

データを学術研究目的で取り扱う必要があるとき（個人デー

タを取り扱う目的の一部が学術研究目的である場合を含み、タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

個人の権利利益を不当に侵害するおそれがある場合を除

く。
）

く。）

個人データを第三者に提供したことに関する記録を作成した場

3.

合、当該記録を必要な期間保管すること。
4.

個人データを提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じること。

個人データを第三者に提供したことに関する記録を作成した場
合、当該記録を必要な期間保管すること。

4.

個人データを提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じること。

56 / 84

《留意事項》※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。

J.8.8.3 第三者提供を受ける際の確認等（A.17）

J.8.8.3 第三者提供を受ける際の確認など（A.3.4.2.8.3）

1.

1.

第三者から個人データの提供を受けるに際しては、必要な確認を行うこと。

2.

第三者から個人データの提供を受けるに際して、確認を要しな第三者から個人データの提供を受けるに際しては、必要な確認を行うこと。

2.

第三者から個人データの提供を受けるに際して、確認を要しな

いのは、以下の場合に限定すること。

いのは、以下の場合に限定すること。

a)特定した利用目的の達成に必要な範囲内において、個人デー

a)特定した利用目的の達成に必要な範囲内において、個人デー

タの取扱いの全部又は一部を委託されることに伴って当該個(変更)

タの取扱いの全部又は一部を委託されたとき(変更)

人データの提供を受けたとき
b)合併その他の事由による事業の承継に伴って個人データの提b)合併その他の事由による事業の承継に伴って個人データを提供を受けた場合であって、承継前の利用目的の範囲内で当該供される場合であって、承継前の利用目的の範囲内で当該個個人データを取り扱うとき

人データを取り扱うときc)J.8.7 の d)によって、特定の者との間で共同して利用される個人データを当該特定の者から提供を受けたときc)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき

d)法令に基づく場合

d)法令に基づく場合

e)人の生命、身体又は財産の保護のために必要がある場合であe)人の生命、身体又は財産の保護のために必要がある場合であ57 / 84

(変更)

(変更)

って、本人の同意を得ることが困難であるときって、本人の同意を得ることが困難であるとき

f)公衆衛生の向上又は児童の健全な育成の推進のために特に必f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である

要がある場合であって、本人の同意を得ることが困難である

ときとき

g)国の機関若しくは地方公共団体又はその委託を受けた者が法g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき行に支障を及ぼすおそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、

h)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためや

個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）

ある場合を除く。）

i)個人情報取扱事業者が学術研究機関等である場合であって、

i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含

データを提供する目的の一部が学術研究目的である場合を含

み、個人の権利利益を不当に侵害するおそれがある場合を除

み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）

う場合に限る。
）

j)第三者が学術研究機関等である場合であって、第三者が個人

j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人デー

データを学術研究目的で取り扱う必要があるとき（個人デー

58 / 84

3.

タを取り扱う目的の一部が学術研究目的である場合を含み、タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

個人の権利利益を不当に侵害するおそれがある場合を除

く。
）

く。）

第三者から個人データの提供を受けるに際して確認を行ったと

3.

きは、必要な記録を作成すること。
4.

第三者から個人データの提供を受けるに際して確認を行った記きは、必要な記録を作成すること。
4.

録は、必要な期間保管すること。

《留意事項》※※

第三者から個人データの提供を受けるに際して確認を行ったと第三者から個人データの提供を受けるに際して確認を行った記録は、必要な期間保管すること。

《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。

記録にあたっては、当該個人データの提供を受ける際に特定さ(追加)れた利用目的を含め確認し、記録することが望ましい。合わせて、当該個人データの提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することが望ましい。
J.8.8.4 個人関連情報の第三者提供の制限等（A.18）

J.8.8.4 個人関連情報の第三者提供の制限など

(変更)

1.

1.

(変更)

第三者が個人関連情報を個人データとして取得することが想定される場合、次に示す事項又はそれと同等の事項を、あらかじ

個人関連情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を内部規程として文書化するこ

59 / 84

め、本人に対して通知又は明示し、本人が識別される個人デーと。

タとして取得することを認める旨の同意を得ること。
《同意を取得する主体が個人関連情報の提供先である場合に、提供先が本人に対して通知又は明示する事項》
1)提供先の事業者の名称又は氏名
2)提供先の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
3)個人関連情報の提供を受けて個人データとして取得した後の利用目的
4)個人関連情報の項目
5)個人関連情報の取得方法
6)個人関連情報の取扱いに関する契約がある場合はその旨《同意を取得する主体が個人関連情報の提供元である場合に、提供元が本人に対して通知又は明示する事項》
1)提供元の事業者の名称又は氏名
2)提供元の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
3)個人関連情報の提供を受けて個人データとして取得した後の利用目的

60 / 844)個人関連情報の項目
5)提供する手段又は方法
6)個人関連情報の提供を受けて個人データとして取得する者
7)個人関連情報の取扱いに関する契約がある場合はその旨
2.

第三者が個人関連情報を個人データとして取得することが想定

2.

第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供するに際しされる場合、当該個人関連情報を当該第三者に提供するに際しては、J.8.8 の f)～l)のいずれかに該当する場合を除き、あらては、J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該

かじめ、次に掲げる事項又はそれと同等以上の内容の事項につ当する場合を除き、あらかじめ、次に掲げる事項又はそれと同いて、確認を行うこと。

等以上の内容の事項について、法令等の定めるところによっ

(変更)

(削除)

て、確認を行うこと。
a)No.1 に基づき、当該第三者が個人関連情報取扱事業者からa)当該第三者が個人関連情報取扱事業者から個人関連情報の提個人関連情報の提供を受けて本人が識別される個人データ供を受けて本人が識別される個人データとして取得することとして取得することを認める旨の当該本人の同意が得られを認める旨の当該本人の同意が得られていること。

(追加)ていること。
b)外国にある第三者への提供にあっては、a)の本人の同意を

b)外国にある第三者への提供にあっては、a)の本人の同意を得得ようとする場合において、法令等で定めるところによっようとする場合において、法令等で定めるところによって、て、あらかじめ、以下の 1)～3)に示す事項について、当該

以下の 1)～3)に示す事項について、あらかじめ、当該本人に本人に提供されていること。

提供されていること。

1)当該外国の名称
2)当該外国における個人情報の保護に関する制度に関する

(変更)

(追加)
1)当該外国における個人情報の保護に関する制度

61 / 84(変更)

情報3)当該第三者が講ずる個人情報の保護のための措置に関す

2)当該第三者が講ずる個人情報の保護のための措置(変更)3)その他当該本人に参考となるべき情報

(削除)

る情報

3.

4.

個人関連情報を外国にある第三者に提供した場合には、

3.

個人関連情報を外国にある第三者に提供した場合には、

J.8.8.1 で定めるところによって、当該第三者による相当措置

J.8.8.1 で定めるところによって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じること。

の継続的な実施を確保するために必要な措置を講じること。

以下の事項について、確認の記録を作成、保管すること。

4.

法令等の定めるところによって、以下の事項について、確認の(削除)

記録を作成、保管すること。
《個人関連情報の提供元の確認の記録事項》《個人関連情報の提供元の確認の記録事項》

c) a)で本人の同意が得られていることを確認した旨及び外国

c)a)で本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、b)で本人に情報の提供がにある個人情報取扱事業者にあっては、b)で本人に情報の提行われていることを確認した旨供が行われていることを確認した旨

d)個人関連情報を提供した年月日d)個人関連情報を提供した年月日e)当該第三者の氏名又は名称及び住所並びに法人にあってe)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

は、その代表者の氏名

f)当該個人関連情報の項目

f)当該個人関連情報の項目《個人関連情報の提供先の確認の記録事項》《個人関連情報の提供先の確認の記録事項》

g)a)で本人の同意が得られている旨及び外国にある個人情報

g)a)で本人の同意が得られている旨及び外国にある個人情報

62 / 84(変更)

取扱事業者にあっては、b)で本人に情報の提供が行われて取扱事業者にあっては、b)で本人に情報の提供が行われて

いる旨

いる旨

h)当該第三者の氏名又は名称及び住所並びに法人にあってh)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

は、その代表者の氏名

i)当該個人データ（個人関連情報）によって識別される本人

i)当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本人を特定するに足りる事項の氏名その他当該本人を特定するに足りる事項j)当該個人関連情報の項目

j)当該個人関連情報の項目《留意事項》《留意事項》※※※※

個人関連情報とは、生存する個人に関連する情報であって、個個人関連情報とは、生存する個人に関連する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しな

人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものを指す。

いものを指す。

No.1 の「個人データとして取得する」とは、提供先の第三者に※

2 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データ

おいて、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合を指す。
（提供先の第三者が、個人として利用しようとする場合を指す。（提供先の第三者が、個人関連情報を直接個人データに紐付けて利用しない場合は、提供

関連情報を直接個人データに紐付けて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれ先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人データとして取得する」に該当しないとしても、直ちに「個人データとして取得する」に該当し

ない）

ない）

No.1 の「想定される」とは、個人データとして取得することを※2 項の「想定される」とは、個人データとして取得することを63 / 84

(変更)

(変更)

※

※

現に想定している場合、又は一般人の認識（同種の事業を営む

現に想定している場合、又は一般人の認識（同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識）を基準と事業者の一般的な判断力・理解力を前提とする認識）を基準として通常想定できる場合を指す。

して通常想定できる場合を指す。

No.1 で同意を取得する主体は、本人と接点を持ち、情報を利用※a)で同意を取得する主体は、本人と接点を持ち、情報を利用すする主体となる提供先であるが、同等の本人の権利利益の保護る主体となる提供先であるが、同等の本人の権利利益の保護がが図られることを前提に、提供元が代行してもよい。

図られることを前提に、提供元が代行してもよい。

No.2 は、個人関連情報の提供元が、当該第三者から申告を受け※

2 項は、個人関連情報の提供元が、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られているこる方法その他の適切な方法によって本人同意が得られていることを確認することになるが、提供先の第三者から申告を受けるとを確認することになるが、提供先の第三者から申告を受ける

場合、提供元は、その申告内容を一般的な注意力をもって確認

場合、提供元は、その申告内容を一般的な注意力をもって確認することで足りる。

することで足りる。

J.8.9 匿名加工情報（A.28）

J.8.9 匿名加工情報（A.3.4.2.9）

1.

匿名加工情報の取扱いを行うか否かの方針を定めること。

1.

匿名加工情報の取扱いを行うか否かの方針を定めること。

2.

匿名加工情報を取り扱う場合には、以下の事項に関する適切な2.

匿名加工情報を取り扱う場合には、法令等の定めるところによ

取扱いを行う手順を内部規程として文書化すること。

って、以下の事項に関する適切な取扱いを行う手順を内部規程として文書化すること。

a)適切な加工方法の決定、及び加工の実施

a)適切な加工方法の決定、及び加工の実施b)加工方法等情報の安全管理措置b)加工方法等情報の安全管理措置

c)匿名加工情報を作成、及び提供することに関する公表

c)匿名加工情報を作成、及び提供することに関する公表

d)匿名加工情報の取扱いにおいて識別行為を防止する措置

d)匿名加工情報の取扱いにおいて識別行為を防止する措置

64 / 84

(変更)

(変更)

(変更)

(削除)

e)匿名加工情報の安全管理、苦情処理、その他の適正な取扱いe)匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置、及び当該措置の公表
3.

匿名加工情報を取り扱う場合には、定めた手順に従うこと。

のための措置、及び当該措置の公表
3.

匿名加工情報を取り扱う場合には、定めた手順に従うこと。

《留意事項》《留意事項》※※

匿名加工情報とは、各区分ごとに定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られ人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することがる個人に関する情報であって、当該個人情報を復元することができないようにしたものを指す。

できないようにしたものを指す。

一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報

一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない

該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

方法により他の記述等に置き換えることを含む。）。

二 同条第 1 項第 2 号に該当する個人情報※

二 同条第 1 項第 2 号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除するこ

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有と（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

しない方法により他の記述等に置き換えることを含む。）。

匿名加工情報、及び加工方法等情報は、リスクアセスメントを実施した上で適切な取扱いを行うこと。

※

匿名加工情報とは、各区分ごとに定める措置を講じて特定の個※

匿名加工情報、及び加工方法等情報は、リスクアセスメントを実施した上で適切な取扱いを行うこと。

b)の加工方法等情報のうち、以下に示すような、その情報を用(追加)

65 / 84

いて当該個人情報を復元することができるものについては、匿名加工情報の作成後は破棄すること。
➣ 氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対
応表➣ 氏名等の仮 ID への置き換えに用いた乱数等のパラメータなど※e)については、取扱いのリスクを踏まえ実施すべきかを判断す※ること。
J.8.10 仮名加工情報（A.27）
1.

仮名加工情報の取扱いを行うか否かの方針を定めること。

2.

仮名加工情報を取り扱う場合には、適切な取扱いを行う手順をe)については、取扱いのリスクを踏まえ実施すべきかを判断すること。

J.8.10 仮名加工情報

(追加)
(追加)

1.

内部規程として文書化すること。

仮名加工情報を取り扱う場合には、法令等の定めるところによ(変更)って、適切な取扱いを行う手順を内部規程として文書化するこ

(削除)

と。
3.

4.

仮名加工情報を作成する場合には、他の情報と照合しない限り

2.

仮名加工情報を作成する場合には、他の情報と照合しない限り

特定の個人を識別することができないようにするために必要な

特定の個人を識別することができないようにするために必要なものとして、個人情報保護委員会規則で定める基準に従い、個ものとして、個人情報保護委員会規則で定める基準に従い、個人情報を加工すること。

人情報を加工すること。

仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名3.

仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規

えいを防止するために必要なものとして個人情報保護委員会規66 / 84

(変更)

(変更)

5.

則で定める基準に従い、削除情報等の安全管理のための措置を則で定める基準に従い、削除情報等の安全管理のための措置を講じること。

講じること。

仮名加工情報を利用する場合には、以下を実施すること。

4.

仮名加工情報を利用する場合には、以下を実施すること。

a)利用目的をできる限り特定し、法令に基づく場合を除くほa)利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行うこと

か、その目的の達成に必要な範囲内において行うことb)あらかじめその利用目的を公表している場合、又は J.8.4 のb)あらかじめその利用目的を公表している場合及び法令に基づ

a)～d)のいずれかに該当する場合を除き、速やかに、その利く場合を除き、速やかに、その利用目的を公表すること

(変更)

(変更)

用目的を公表すること

6.

c)仮名加工情報を取り扱うに当たっては、当該仮名加工情報のc)仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないこと

該仮名加工情報を他の情報と照合しないこと

d)電話をかけ、郵便若しくは信書便により送付し、電報を送達

d)電話をかけ、郵便若しくは信書便により送付し、電報を送達

し、ファクシミリ装置若しくは電磁的方法を用いて送信し、し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないこと

絡先その他の情報を利用しないこと

仮名加工情報を提供する場合には、以下の場合に限定するこ

仮名加工情報を提供する場合には、以下の場合を除き、仮名加

(変更)

と。

工情報である個人データを第三者に提供しないこと。

(変更)e)仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措e)仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措置を講じた上で委託する場合
f)仮名加工情報が特定の者との間で、適法かつ公正な手段によ5.

置を講じた上で委託する場合
f)仮名加工情報が特定の者との間で共同して利用され、共同し

67 / 84(変更)

って、共同して利用されている場合であって、以下の 1)～て利用する者が、既に共同して利用する場合（J.8.5 の a)～5)に示す事項をあらかじめ公表するとともに、共同して利用

f)に示す事項又はそれと同等以上の内容の事項を明示又は通する者との間で共同利用について契約によって定めていると知し、本人の同意を得ている場合であって、以下の 1)～6)にき

示す事項又はそれと同等以上の内容の事項を、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置く場合）

1)共同して利用すること

1)共同して利用すること

2)共同して利用される仮名加工情報の項目

2)共同して利用される仮名加工情報の項目

3)共同して利用する者の範囲

3)共同して利用する者の範囲

4)共同して利用する者の利用目的

4)共同して利用する者の利用目的

5)共同して利用する仮名加工情報の管理について責任を有す

5)共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、そのる者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名代表者の氏名6)取得方法g)合併その他の事由による事業の承継に伴って仮名加工情報を

7.

g)合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合提供する場合h)法令に基づく場合h)法令に基づく場合

仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行

6.

うこと。
8.

仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞な(削除)

仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行

(変更)

うこと。
7.

仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞な

68 / 84(変更)

く消去すること。

く消去すること。

《留意事項》《留意事項》※※

仮名加工情報とは、各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないようにと照合しない限り特定の個人を識別することができないように

個人情報を加工して得られる個人に関する情報を指す。

個人情報を加工して得られる個人に関する情報を指す。

一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報

一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該

当該個人情報に含まれる記述等の一部を削除すること（当該

一部の記述等を復元することのできる規則性を有しない方

一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

法により他の記述等に置き換えることを含む。）。

二 同条第 1 項第 2 号に該当する個人情報※

仮名加工情報とは、各区分ごとに定める措置を講じて他の情報

二 同条第 1 項第 2 号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除するこ

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しと（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

ない方法により他の記述等に置き換えることを含む。）。

a)は、個人情報である仮名加工情報である場合の実施事項であ※るとともに、本人を識別しない、内部での分析・利用であることa)は、本人を識別しない、内部での分析・利用であることを条(追加)件とすることを含む。

を条件とすることを含む。
※

b)は、個人情報である仮名加工情報について、その作成に用いた個人情報の利用目的とは異なる目的で利用する場合に、利用※b)は、作成に用いた個人情報の利用目的とは異なる目的で利用する場合に、利用目的の公表を行うこと。

目的の公表を行うこと。

69 / 84(追加)※f)の「適法かつ公正な手段によって、共同して利用されている(追加)場合」とは、特定の者との間で共同して利用される仮名加工情報を当該特定の者に提供する場合であって、1)～5)までの情報を、提供に当たりあらかじめ公表しているときである。特に、共同して利用する者の範囲については、「共同利用の趣旨」は、本人から見て、当該仮名加工情報を提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報を共同して利用することであることから、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
※

f)の「以下の 1)～5)に示す事項をあらかじめ公表する」とは、(追加)

共同利用する全ての事業者に対して求められる事項である。また、共同して利用する者の利用目的を変更する場合には、あらかじめ、変更する内容について公表すること。
※

共同利用について契約によって定めるとは、共同して利用する(追加)者の間で、共同して利用する者の要件、各共同して利用する者の仮名加工情報取扱責任者・問合せ担当者及び連絡先、共同利用する仮名加工情報の取扱いに関する事項、共同利用する仮名

70 / 84

加工情報の取扱いに関する取決めが遵守されなかった場合の措置、共同利用する仮名加工情報に関する事件・事故が発生した
場合の報告・連絡に関する事項、共同利用を終了する際の手続等をあらかじめ取り決めておくとともに、その内容を契約書、確認書、覚書等の手段によって残すことを指す。
※

No.8 は、取扱いのリスクを踏まえ実施すべきかどうかを判断す

※

ること。
※

漏えい等の報告等については、J.4.4.2（緊急事態への準備）を

(変更)

ること。
※

踏まえて対応すること。
※

7 項は、取扱いのリスクを踏まえ実施すべきかどうかを判断す

漏えい等の報告等については、J.4.4.2（緊急事態への準備）を踏まえて対応すること。

仮名加工情報は個人情報であるか否かに関わらず、J.9.2（安全

(追加)

管理措置）
、J.9.3（従業者の監督）、J.9.4（委託先の監督）、J.11.1（苦情及び相談への対応）を踏まえて対応すること。
※

なお、以下は適用除外される。

※

・利用目的の変更（本人を識別しない、内部での分析・利用で・利用目的の変更（本人を識別しない、内部での分析・利用であることを前提に、新たな利用目的で利用可能）あることを前提に、新たな利用目的で利用可能）

・開示・利用停止の請求対応
J.9 適正管理（表題）なお、以下は適用除外される。

・開示・利用停止の請求対応
J.9 適正管理（表題）J.9.1 正確性の確保（A.9）

J.9.1 正確性の確保（A.3.4.3.1）

1.

1.

利用目的の達成に必要な範囲内において、個人データを、正確、かつ、最新の状態で管理すること。

利用目的の達成に必要な範囲内において、個人データを、正確、かつ、最新の状態で管理すること。

71 / 84(変更)

2.

個人データの管理（利用する必要がなくなった場合の消去を含2.

む。
）は、定めた手順に基づいて適切に行うこと。

《留意事項》※

個人データの管理（利用する必要がなくなった場合の消去を含む。）は、定めた手順に基づいて適切に行うこと。

《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。

J.9.2 安全管理措置（A.10）

J.9.2 安全管理措置（A.3.4.3.2）

1.

1.

2.

取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、法令

失又はき損の防止その他の個人情報の安全管理のために、法令に基づき必要かつ適切な措置を講じること。

に基づき必要かつ適切な措置を講じること。

外部サービスを利用する場合であって、当該サービス提供事業を利用する場合は、適切な安全管理措置が図られるよう、あらかじめサービス内容の把握、評価等を行ったうえで選定すること。

《留意事項》《留意事項》※※

事態が発生した場合に被る権利利益の侵害の大きさを考慮し、

(変更)

(追加)

者が当該個人データを取り扱わないことになっているサービス

必要かつ適切な安全管理措置とは、個人情報が漏えい等の緊急(変更)必要かつ適切な安全管理措置とは、個人情報が漏えい等の緊急事態が発生した場合に被る権利利益の侵害の大きさを考慮し、

72 / 84

※

事業の規模及び性質、個人情報の取扱状況、個人情報の性質及事業の規模及び性質、個人データの取扱状況、個人情報の性質

び量、記録した媒体の性質等に起因するリスクに応じた必要か

及び量、記録した媒体の性質等に起因するリスクに応じた必要

つ適切な措置を講じることをいう。なお、個人情報保護法におかつ適切な措置を講じることをいう。なお、この定義は個人情いても、同様の事項が個人データを対象として定められており、報保護法で定められている事項であり、必要かつ適切な安全管

必要かつ適切な安全管理措置を講じていないことで法令に違反理措置を講じていないことで法令に違反することがあることにすることがあることに留意する必要がある。

留意する必要がある。

学術研究目的で行う個人情報の取扱いについても、当該要求事※項の対象となる。

学術研究目的で行う個人データの取扱いについても、当該要求

(変更)

(変更)

事項の対象となる。

J.9.3 従業者の監督（A.11）

J.9.3 従業者の監督（A.3.4.3.3）

1.

1.

個人データを取り扱う従業者に対して必要かつ適切な監督を行

(変更)

うこと。

(変更)

個人データを取り扱う従業者に対して必要かつ適切な監督を行うこと。

《留意事項》※

個人データに対する要求事項であっても、J.3.1.1（個人情報(追加)の特定）において特定した個人情報については、当該要求事項の対象となる。
J.9.4 委託先の監督（A.12）

J.9.4 委託先の監督（A.3.4.3.4）

1.

1.

個人データの取扱いの全部又は一部を委託する場合、十分な個

個人データの取扱いの全部又は一部を委託する場合、十分な個

人データの保護水準を満たしている者を選定するための委託先

人データの保護水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選定すること。

選定基準を確立し、委託先を選定すること。

73 / 84(変更)

2.

個人データの取扱いの全部又は一部を委託する場合、特定した

2.

利用目的の範囲内で委託契約を締結すること。
3.

次に示す事項が盛り込まれた契約を締結すること。

個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲内で委託契約を締結すること。

3.

次に示す事項が盛り込まれた契約を締結すること。

a)委託者及び受託者の責任の明確化

a)委託者及び受託者の責任の明確化

b)個人データの安全管理に関する事項

b)個人データの安全管理に関する事項

c)再委託に関する事項

c)再委託に関する事項

d)個人データの取扱状況に関する委託者への報告の内容及び頻d)個人データの取扱状況に関する委託者への報告の内容及び頻度度e)契約内容が遵守されていることを委託者が、定期的に、及びe)契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項

適宜に確認できる事項

f)契約内容が遵守されなかった場合の措置

f)契約内容が遵守されなかった場合の措置g)事件・事故が発生した場合の報告・連絡に関する事項

g)事件・事故が発生した場合の報告・連絡に関する事項

h)契約終了後の措置h)契約終了後の措置

4.

全ての委託先を漏れなく特定すること。

4.

全ての委託先を漏れなく特定すること。

5.

委託契約書は当該個人データの保有期間にわたって保存するこ

5.

委託契約書は当該個人データの保有期間にわたって保存すること。
6.

委託契約に基づき、委託先を適切に監督すること。

《留意事項》※と。
6.

委託契約に基づき、委託先を適切に監督すること。

《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の ※個人データに対する要求事項であっても、J.3.1.1（個人情報の74 / 84

※特定）において特定した個人情報については、当該要求事項の特定）において特定した個人情報については、当該要求事項の対象となる。

対象となる。

委託先選定基準には、次の内容を含むこと。

※

・少なくとも委託する当該業務に関しては、自社と同等以上の・少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあること。

個人情報保護の水準にあること。

・契約に規定する事項に対応可能なことを客観的に確認できる・契約に規定する事項に対応可能なことを客観的に確認できること。
J.10 個人情報に関する本人の権利（表題）委託先選定基準には、次の内容を含むこと。

こと。
J.10 個人情報に関する本人の権利（表題）J.10.1 個人情報に関する権利

J.10.1 個人情報に関する権利（A.3.4.4.1）

1.

1.

2.

3.

保有個人データに関して、本人から開示等の請求等を受けた場

保有個人データに関して、本人から開示等の請求等を受けた場

合、J.10.4～J.10.7 の規定によって、遅滞なくこれに応じる

合、J.10.4～J.10.7 の規定によって、遅滞なくこれに応じる

こと。

こと。

J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本2.

J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本人から開示等の請求等を受けた場合、J.10.5 の規定によっ人から開示等の請求等を受けた場合、J.10.5 の規定によって、遅滞なくこれに応じること。

て、遅滞なくこれに応じること。

保有個人データ又は第三者提供記録に当たらないものとして、

3.

保有個人データ又は第三者提供記録に当たらないものとして、次に掲げるいずれかに限定すること。

次に掲げるいずれかに限定すること。

a)当該個人データ又は当該第三者提供記録の存否が明らかになa)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危ることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの

害が及ぶおそれのあるもの

75 / 84(削除)b)当該個人データ又は当該第三者提供記録の存否が明らかになb)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長する、又は誘発ることによって、違法又は不当な行為を助長する、又は誘発するおそれのあるもの

するおそれのあるもの

c)当該個人データ又は当該第三者提供記録の存否が明らかになc)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、国の安全が害されるおそれ、他国若しくはることによって、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの

国際機関との交渉上不利益を被るおそれのあるもの

d)当該個人データ又は当該第三者提供記録の存否が明らかになd)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共のることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあるもの

安全及び秩序維持に支障が及ぶおそれのあるもの《留意事項》※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
J.10.2 開示等の請求等に応じる手続（A.24、A.25）

J.10.2 開示等の請求等に応じる手続（A.3.4.4.2）

1.

1.

保有個人データ又は第三者提供記録の開示等の請求等に応じる

保有個人データ又は第三者提供記録の開示等の請求等に応じる手続として、次の事項を文書化すること。

手続として、次の事項を文書化すること。

a)開示等の請求等の申出先a)開示等の請求等の申出先b)開示等の請求等に際して提出すべき書面の様式その他の開示b)開示等の請求等に際して提出すべき書面の様式その他の開示

76 / 84(変更)

等の請求等の方式

等の請求等の方式c)開示等の請求等をする者が、本人又は代理人であることの確c)開示等の請求等をする者が、本人又は代理人であることの確

認の方法

認の方法

d)J.10.4 又は J.10.5 による手数料（定めた場合に限る。）のd)J.10.4 又は J.10.5 による手数料（定めた場合に限る。）の

徴収方法
2.

3.

保有個人データ又は第三者提供記録の開示等の請求等に応じる

徴収方法
2.

保有個人データ又は第三者提供記録の開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものと手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮すること。

ならないよう配慮すること。

本人からの請求などに応じる場合に、手数料を徴収するとき

3.

本人からの請求などに応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内においは、実費を勘案して合理的であると認められる範囲内において、その額を定めること。

て、その額を定めること。

《留意事項》※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
※

事業者は、本人に対し、開示等の請求等に関し、その対象とな(追加)

る保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。
J.10.3 保有個人データ又は第三者提供記録に関する事項の周知なJ.10.3 保有個人データ又は第三者提供記録に関する事項の周知な77 / 84

ど（A.19）ど（A.3.4.4.3）

1.

1.

保有個人データ又は第三者提供記録に関して、次の事項を本人

保有個人データ又は第三者提供記録に関して、次の事項を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合をの知り得る状態（本人の請求などに応じて遅滞なく回答する場

含む。
）に置くこと。

合を含む。
）に置くこと。

a)事業者の氏名又は名称及び住所並びに法人にあっては、そのa)組織の氏名又は名称及び住所並びに法人にあっては、その代代表者の氏名b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先c)全ての保有個人データの利用目的(J.8.4 の a)～c)までに該当する場合を除く。)

(変更)

(変更)

(変更)

表者の氏名
b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先c)全ての保有個人データの利用目的(J.8.4 の a)～c)までに該当する場合を除く。)

d)保有個人データの取扱いに関する苦情の申出先d)保有個人データの取扱いに関する苦情の申出先e)当該事業者が認定個人情報保護団体の対象事業者である場合

e)当該組織が認定個人情報保護団体の対象事業者である場合ににあっては、当該認定個人情報保護団体の名称及び苦情の解あっては、当該認定個人情報保護団体の名称及び苦情の解決

決の申出先

の申出先

f)J.10.2 によって定めた手続f)J.10.2 によって定めた手続

g)保有個人データの安全管理のために講じた措置（本人の知りg)保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）

支障を及ぼすおそれがあるものを除く。
）《留意事項》

78 / 84(変更)

※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
J.10.4 保有個人データの利用目的の通知（A.19、A.23）

J.10.4 保有個人データの利用目的の通知（A.3.4.4.4）

1.

1.

本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合、遅滞なくこれに応じること。

2.

本人から、当該本人が識別される保有個人データについて、利本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合、遅滞なくこれに応じること。

2.

本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合であって、利用目的の通知を必用目的の通知を求められた場合であって、利用目的の通知を必要としないのは以下の場合に限定すること。

要としないのは以下の場合に限定すること。

・J.8.4 の a)～c)のいずれかに該当する場合

・J.8.4 の a)～c)のいずれかに該当する場合

・J.10.3 の c)によって当該本人が識別される保有個人データ

・J.10.3 の c)によって当該本人が識別される保有個人データの利用目的が明らかな場合
3.

No.2 の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。

(変更)の利用目的が明らかな場合
3.

2 項の各事由のいずれかに該当する場合、本人に遅滞なくそ(変更)の旨を通知するとともに、理由を説明すること。

《留意事項》※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
J.10.5 保有個人データ又は第三者提供記録の開示（A.20、A.23）

J.10.5 保有個人データ又は第三者提供記録の開示（A.3.4.4.5）

79 / 84

(変更)

1.

2.

本人から、当該本人が識別される保有個人データ又は第三者提1.

供記録の開示の請求を受けた場合、法令によって特別の手続が供記録の開示の請求を受けた場合、法令によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困

示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開難である場合にあっては、書面の交付による方法）によって開示すること。

示すること。

本人から、当該本人が識別される保有個人データ又は第三者提2.

本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合であって、全部又は一部の開

供記録の開示の請求を受けた場合であって、全部又は一部の開示を必要としないのは以下の場合に限定すること。

示を必要としないのは以下の場合に限定すること。

a)本人又は第三者の生命、身体、財産その他の権利利益を害す

a)本人又は第三者の生命、身体、財産その他の権利利益を害す

るおそれがある場合

るおそれがある場合

b)当該事業者の業務の適正な実施に著しい支障を及ぼすおそれb)当該組織の業務の適正な実施に著しい支障を及ぼすおそれががある場合

No.1 の当該本人が指定した方法について、当該方法による開

(変更)

ある場合

c)法令に違反する場合
3.

本人から、当該本人が識別される保有個人データ又は第三者提c)法令に違反する場合
3.

1 項の当該本人が指定した方法について、当該方法による開示示が困難であるとして、書面での交付とした場合、若しくは、が困難であるとして、書面での交付とした場合、若しくは、2No.2 の各事由のいずれかに該当する場合、本人に遅滞なくそ

項の各事由のいずれかに該当する場合、本人に遅滞なくその旨の旨を通知するとともに、理由を説明すること。

を通知するとともに、理由を説明すること。

80 / 84

(変更)

(変更)

《留意事項》《留意事項》※※

学術研究目的で行う保有個人データの取扱いも、本要求事項の対象となる。

※

学術研究目的で行う保有個人データの取扱いも、本要求事項の対象となる。

J.3.1.1（個人情報の特定）において特定した個人情報について、(追加)

当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
※

当該本人が識別される保有個人データ又は第三者提供記録が存在しないときは、その旨を本人に遅滞なく通知すること。

J.10.6 保有個人データの訂正、追加又は削除（A.21、A.23）

J.10.6 保有個人データの訂正、追加又は削除（A.3.4.4.6）

1.

1.

2.

3.

本人から、当該本人が識別される保有個人データの訂正等（訂

本人から、当該本人が識別される保有個人データの訂正等（訂正、追加又は削除）の請求を受けた場合、法令の規定により特正、追加又は削除）の請求を受けた場合、法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行うこと。

づいて、当該保有個人データの訂正等を行うこと。

本人から保有個人データの訂正等の請求を受けて訂正等を行っ

2.

本人から保有個人データの訂正等の請求を受けて訂正等を行った場合は、その旨及びその内容を本人に遅滞なく通知するこた場合は、その旨及びその内容を本人に遅滞なく通知すること。

と。

本人から保有個人データの訂正等の請求を受けたが応じなかった場合、本人に遅滞なくその旨を通知するとともに、理由を説

3.

(変更)

本人から保有個人データの訂正等の請求を受けたが応じなかった場合、その旨及びその理由を本人に遅滞なく通知すること。

明すること。

81 / 84(変更)

《留意事項》※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
J.10.7 保有個人データの利用又は提供の拒否権（A.22、A.23）

J.10.7 保有個人データの利用又は提供の拒否権（A.3.4.4.7）

1.

1.

2.

本人から当該本人が識別される保有個人データの利用停止等（利用の停止、消去又は第三者への提供の停止）の請求に応じ

ること。

ること。
2.

の請求に応じた場合、遅滞なくその旨を本人に通知すること。
3.

本人から当該本人が識別される保有個人データの利用停止等（利用の停止、消去又は第三者への提供の停止）の請求に応じ本人からの当該本人が識別される保有個人データの利用停止等

本人からの当該本人が識別される保有個人データの利用停止等(変更)

本人からの当該本人が識別される保有個人データの利用停止等の請求に応じた場合、遅滞なくその旨を本人に通知すること。

3.

本人からの当該本人が識別される保有個人データの利用停止等の請求に応じなかった場合は以下のいずれかに該当する場合にの請求に応じなかった場合は J.10.5 の a)～c)に該当する場合(変更)

限定し、本人に遅滞なくその旨を通知するとともに、理由を説に限定すること。

(変更)

明すること。
a)当該保有個人データの利用停止等に多額の費用を要する場合
等の理由により、利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときb)本人又は第三者の生命、身体、財産その他の権利利益を害す

82 / 84

るおそれがある場合
c)当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
d)法令に違反する場合
4.

J.10.5 の a)～c)のいずれかに該当する場合、本人に遅滞なくそ(削除)の旨通知するとともに、理由を説明すること。

《留意事項》※

J.3.1.1（個人情報の特定）において特定した個人情報につい(追加)て、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
J.11 苦情及び相談への対応（表題）

J.11 苦情及び相談への対応（表題）J.11.1 苦情及び相談への対応（7.4.2、A.26）

J.11.1 苦情及び相談への対応（A.3.6）

1.

1.

2.

個人情報の取扱い及び個人情報保護マネジメントシステムに関(変更)

個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受け付けて、適切かつ迅速なして、本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行う手順を内部規程として文書化すること。

対応を行う手順が内部規程として文書化すること。

本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を

(変更)
(追加)

行うための体制を整備すること。
3.

苦情及び相談の申出先（認定個人情報保護団体の対象事業者と(追加)なっている場合は、当該団体の苦情解決の申出先も含む）につ

83 / 84

いて、本人の知り得る状態（本人の請求などに応じて遅滞なく回答する場合を含む。
）に置くこと。
4.

苦情及び相談への対応を実施すること。

2.

苦情及び相談への対応を実施すること。

(変更)

3.

苦情の申立て先を、本人にとって明確にすること。

(削除)

4.

認定個人情報保護団体の対象事業者となっている場合は、当該(削除)団体の苦情解決の申出先も明示すること。
5.

本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行うための体制を整備すること。

84 / 84(削除)