構築・運用指針と（現行）審査基準との対照表
2022 年 1 月 19 日（※2022 年 2 月 14 日、4 月 28 日 構築・運用指針改訂に基づき一部改訂）※赤字傍線部分は改訂（2021 年 8 月 30 日公表）部分※青字波線部分は改訂（2022 年 1 月 19 日公表）部分※緑字二重傍線部分は改訂（2022 年 2 月 14 日以降公表）部分
プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針（現行）プライバシーマーク付与適格性審査基準［新設］

J.1 組織の状況（表題）J.1.1 組織及びその状況の理解（4.1）［新設］

1. 事業者は、個人情報を取り扱う事業に関して、個人情報保護マネジメ
ントシステムに影響を与えるような外部及び内部の課題を特定すること。

《留意事項》※「個人情報保護マネジメントシステムに影響を与えるような課題の把握」とは、個人情報の取扱いに関する法令、国が定める指針その他の規範、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源（人員・組織基盤・資金）、セキュリティ対策等の観

1 / 80点から、現状のみならず、将来実施するであろう事業を踏まえて洗い出すことを求めている。

J.1.2 利害関係者のニーズ及び期待の理解（4.2）［新設］

1. 事業者は、次の事項を特定すること。
a)個人情報保護マネジメントシステムに関連する利害関係者
b)その利害関係者の、個人情報保護に関連する要求事項《留意事項》※

利害関係者とは、本人及び個人情報保護マネジメントシステムに関連する個人、事業者及び団体（委託元（及び委託元の顧客）、委託先）、等を指す。

※

利害関係者の要求事項には、法令、官公庁等のガイドライン、事業者の所属団体による自主規制、商慣習に基づき遵守が求められる事項、取引先等との間の契約上の義務等を含めてもよい。

J.1.3 法令、国が定める指針その他の規範（A.3.3.2）

A.3.3.2 法令，国が定める指針その他の規範

1. 事業者は、個人情報の取扱いに関する法令、国が定める指針その他の1. 個人情報の取扱いに関する法令，国が定める指針その他の規範（以下，

規範（以下、「法令等」という。）を特定し参照する手順を内部規程と“法令等”という。）を特定し参照できる手順が内部規程として文書化

して文書化すること。

されていること。

2 / 802. 法令等を特定し参照すること。

2. 法令等を特定し参照していること。

《留意事項》※《留意事項》

参照とは、特定した法令等の内容を事業者が遵守することを含む。

・

審査項目２．で特定し参照する法令等は，B.3.3.2 を参考にすることができる。これに加えて，業界の関連法令やガイドライン等を，必要に応じて含めることができる。

J.1.4 個人情報保護マネジメントシステムの適用範囲の決定（4.3）［新設］

1. 事業者は、自らの事業の用に供している全ての個人情報の取扱いを個
人情報保護マネジメントシステムの適用範囲として定め、その旨を文書化すること。

J.1.5 個人情報保護マネジメントシステム（4.4）［新設］

1. 事業者は、本指針に従って、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、継続的に改善すること。

J.2 リーダーシップ（表題）［新設］

J.2.1 リーダーシップ及びコミットメント（5.1）［新設］

1. トップマネジメントは、次の事項について統率し、その結果について責任を持つこと。

3 / 80a)事業者の戦略的な方向性と両立した、個人情報保護方針及び個人情報保護目的を確立する。
b)個人情報保護マネジメントシステムの要求事項を事業者の業務手順に適切に組み入れる。
c)個人情報保護マネジメントシステムに必要な資源を確保する。
d)有効な個人情報保護マネジメント及び個人情報保護マネジメントシ
ステム要求事項への適合の重要性を利害関係者に周知する。
e)個人情報保護マネジメントシステムを適切に運用できるようにする。
f)個人情報保護マネジメントシステムが計画通りに実施できるように、従業者を指揮･支援する。
g)継続的改善を促進する。
h)その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポートする。

《留意事項》※

トップマネジメントとは、最高位で事業者を指揮し、管理する個人又は人々の集まりのことで、事業者内で権限を委譲し、資源を提供する力を持つ者である。典型的には、代表者や、事業者内において権限を有する
取締役以上の役職を指す。

4 / 80※

個人情報保護目的とは、個人情報保護方針を達成するための目的ないし目標として、全社的若しくは部門毎等に定めるものである。

※

利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。

※

従業者とは、個人情報取扱事業者の組織内にあって、直接若しくは間接に、組織の指揮監督を受けて組織の業務に従事している者などをいう。
これには、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員など）だけでなく、雇用関係にない従事者（取締役、執行役、理事、監査役、監事、派遣社員など）も含まれる。

J.2.2 個人情報保護方針（5.2.1、5.2.2、A.3.2.1、A.3.2.2）

A.3.2.1 内部向け個⼈情報保護⽅針

1. トップマネジメントは、次の事項を考慮して、個人情報保護方針を策定すること。

1. トップマネジメントは，個人情報保護目的を説明できること。
2. 内部向け個人情報保護方針を文書化した情報に，A.3.2.1a)～f)に定めa)事業の目的に対して適切であること。

る事項が含まれていること。

b)J.3.2 で定めた個人情報保護目的を含むか、又は個人情報保護目的

3. トップマネジメントは，内部向け個人情報保護方針を文書化した情報の設定のための枠組みを示すこと。

を，組織内に伝達し，必要に応じて，利害関係者が入手可能なにするたc)個人情報保護に関連して適用される要求事項を実施すること。

めの措置を講じていること。

d)個人情報保護マネジメントシステムの継続的改善を実施すること。
2. 個人情報保護方針を文書化した情報には、次の事項を含むこと。

《留意事項》

a)事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提・

5 / 80

審査項目１．は，トップマネジメントに対し，組織の目的，個人情報保供に関すること［特定された利用目的の達成に必要な範囲を超えた

護目的，内部向け個人情報保護方針との関係を確認するための項目であ

個人情報の取扱い（以下、「目的外利用」という。）を行わないことる。

及びそのための措置を講じることを含む。］

・b)個人情報の取扱いに関する法令その他の規範の遵守

審査項目２．は，個人情報保護方針の文面に A.3.2.1 a)～f)の通りの文言の記述を求めるものではない。

c)個人情報の漏えい、滅失又はき損の防止及び是正に関する事項

・

確認方法・エビデンスの「内部向け個人情報保護方針(A.3.5.1 a))，又d)苦情及び相談への対応に関する事項

は外部向け個人情報保護方針(A.3.5.1 b))」については，外部向け個人e)個人情報保護マネジメントシステムの継続的改善に関する事項

情報保護方針(A.3.5.1 b))をエビデンスとする場合は，外部向け個人情f)トップマネジメントの氏名

報保護方針が内部向け個人情報保護方針に対して矛盾しない場合に限g)制定年月日及び最終改正年月日

る。

h)個人情報保護方針の内容についての問合せ先
3. トップマネジメントは、個人情報保護方針を文書化した情報を、事業者内に周知するとともに、一般の人が入手可能な措置を講じること。

A.3.2.2 外部向け個⼈情報保護⽅針
1. 外部向け個人情報保護方針を文書化した情報に，A.3.2.1 に規定する内部向け個人情報保護方針の事項が含まれていること。
2. 外部向け個人情報保護方針を文書化した情報に, 次の事項を明記していること。
a) 制定年月日及び最終改正年月日b) 外部向け個人情報保護方針の内容についての問合せ先
3. トップマネジメントは，外部向け個人情報保護方針を文書化した情報について，一般の人が入手可能な措置を講じていること。

6 / 80

《留意事項》
・

審査項目２．の「最終改正年月日」は，外部向け個人情報保護方針に含まれる事項(A.3.2.1a)～f)に定める事項)を改正する場合に更新されることを原則とする。

・

審査項目２．の「問合せ先」は，外部向け個人情報保護方針の内容の問
合せ先のほか，保有個人データの取扱いに関する苦情の申出先(A.3.4.4.3 の審査項目１．の d))や苦情の申立て先(A.3.6 の審査項目３．)を兼ねてもよい。

・

確認方法・エビデンスの「措置」では，外部向け個人情報保護方針の掲載箇所が一般の人から見て分かりやすく目につきやすいよう配慮されていることを確認する。

J.2.3.1 組織の役割、責任及び権限（5.3）［新設］

1. トップマネジメントは、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果を利害関係者に周知すること。
2. 責任及び権限を、次の事項を実施するために割り当てること。
a)個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。
b)個人情報保護マネジメントシステムの運用の成果をトップマネジメ

7 / 80ントに報告させる。
3. 役割及び役割に対する責任及び権限を、内部規程として文書化すること。

《留意事項》※

利害関係者とは、従業者を指す。

J.2.3.2 個人情報保護管理者と個人情報保護監査責任者（A.3.3.4）

A.3.3.4 資源，役割，責任及び権限

1. トップマネジメントは、本指針の内容を理解し実践する能力のある個

1. 各担当者の役割・権限が内部規程として文書化されていること。

人情報保護管理者を事業者内部に属する者の中から指名し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせること。
2. 個人情報保護管理者は、個人情報保護マネジメントシステムの見直し

2. 個人情報保護管理者は，個人情報保護マネジメントシステムの見直し及及び改善の基礎として、トップマネジメントに個人情報保護マネジメび改善の基礎として，トップマネジメントに個人情報保護マネジメント

ントシステムの運用状況を報告すること。

システムの運用状況を報告する旨が内部規程として文書化されていること。

3. トップマネジメントは、公平、かつ、客観的な立場にある個人情報保3. 個人情報保護監査責任者は，監査を指揮し，監査報告書を作成し，トッ

護監査責任者を事業者内部に属する者の中から指名し、監査の実施及プマネジメントに報告する旨が内部規程として文書化されていること。

び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせること。

8 / 804. 個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、ト

4. 監査員の選定及び監査の実施においては，監査の客観性及び公平性を確

ップマネジメントに報告すること。

保する旨が内部規程として文書化されていること。

5. 監査員の選定及び監査の実施においては、監査の客観性及び公平性を

5. トップマネジメントが，個人情報保護のための人的資源を説明できるこ

確保すること。

と。
6. 個人情報保護監査責任者と個人情報保護管理者とは異なる者であること。

《留意事項》《留意事項》※

個人情報保護管理者と個人情報保護監査責任者とは異なる者であるこ・と。

審査項目１．の「各担当」には，個人情報保護管理者（A.3.3.4 a)），
個人情報保護監査責任者（A.3.3.4 b)）のほかに，この規格で求める事項を実施するために必要な担当が含まれる。

・

審査項目３．及び審査項目４．は，「点検に関する規定（A.3.3.5 l）)
もエビデンスになり得る。

J.2.4 管理目的及び管理策（一般）（A.3.1.1）

A.3.1.1 一般

1. 管理策について、トップマネジメント又はトップマネジメントによっ

1. A.3.2 から A.3.8 の管理策について，定めた手段に従って承認しているて権限が与えられた者によって、事業者が定めた手段に従って承認すこと。又は，承認のために定めた手段が説明できること。

ること。

《留意事項》※《留意事項》

管理策とは、本指針に定める事項のうち、個人情報保護リスク対策に関・

9 / 80

審査項目１．は，A.3.2 から A.3.8 の管理策毎に個別の手段を設ける

する事項及び事業者が必要であると決定した事項が対象となり、リスクことを求めるものではない。個別の手段を設けるか否かは，事業者毎のを修正するためのあらゆるプロセス、方針、実務、その他の処置を含む。

判断による。
・

審査項目１．において，承認のための手順を内部規程として文書化している場合，当該規程も「承認のために定めた手段」のエビデンスとなり得る。

・

確認方法・エビデンスの「個人情報保護管理者等による承認を得たことが確認できる記録」は，電子承認か否かを含め，事業者が定めた手段であればよく，形態については問わない。

・

審査項目１．の「又は，承認のために組織が定めた手段が説明できること。」は，前回審査以降新たに承認する事項が発生しなかった場合に適用される。承認する事項が発生しているにもかかわらず，承認を行っていない場合には適用されない。

J.3 計画（表題）［新設］

J.3.1.1 個人情報の特定（A.3.3.1）

A.3.3.1 個人情報の特定

1. 自らの事業の用に供している全ての個人情報を特定するための手順を

1. 自らの事業の用に供している全ての個人情報を特定するための手順が内内部規程として文書化すること。

部規程として文書化されていること。

2. 個人情報を管理するための台帳を整備すること。

2. 個人情報を管理するための台帳を整備していること。

3. 台帳には、少なくとも次の項目を含むこと。

3. 台帳には，少なくとも以下の項目が含まれていること。

・個人情報の項目

・ 個人情報の項目

10 / 80

・利用目的・ 利用目的・保管場所

・ 保管場所・保管方法

・ 保管方法・アクセス権を有する者

・ アクセス権を有する者

・利用期限

・ 利用期限・保管期限

・ 保管期限

4. 台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認し、最※4. 台帳の内容を少なくとも年一回，適宜に確認し，最新の状態で維持して新の状態で維持すること。

いること。

《留意事項》《留意事項》

本項の目的は、事業の用に供する全ての個人情報を特定し、その取扱い・状況を把握することにある。台帳の整備はそのための手段であって、目的ではない。

台帳に含める項目を検討するにあたっては，審査項目３．で示す項目に加えて，B.3.3.1 で例示する事項を参考にすることができる。

・

台帳に含める項目に件数を含める場合，件数は概数でよい。台帳管理の主旨は，１件残らず漏れなく管理していることの証明ではなく，事業者
内での個人情報の取扱状況を把握することにある。

J.3.1.2 リスク及び機会に対処する活動（一般）（6.1.1）［新設］

1. 事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクアセスメント及び個人

11 / 80

情報保護リスク対応を行うこと。
a)事業者が意図した成果を達成できるようなマネジメントシステムの策定b)望ましくない影響の防止
c)個人情報保護マネジメントシステムの継続的な改善
2. 事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、次の事項を含むこと。
d)リスクに対する対策の内容
e)d)の対策を個人情報保護マネジメントシステムの手順に含めて実施
する方法
f)d)の対策の評価

J.3.1.3 個人情報保護リスクアセスメント（6.1.2、A.3.3.3）

A.3.3.3 リスクアセスメント及びリスク対策

1. 事業者は、個人情報に関するリスクについて、次の事項を踏まえて、

1. A.3.3.1 によって特定した個人情報の取扱いについて，個人情報保護リ

個人情報保護リスクアセスメント（リスクを特定、分析及び評価）を

スクを特定し，分析し，必要な対策を講じる手順が内部規程として文書するための手順を定め、かつ実施すること。手順及び実施した内容に化されていること。

ついては、少なくとも年一回、及び必要に応じて適宜に見直すこと。

2. 個人情報保護リスクを特定し，分析していること。

a)次の観点を、個人情報保護のリスク基準とする。

3. 特定した個人情報保護リスクに対して，現状で実施し得る対策を内部規1)本指針に定める事項
2)法令及び国が定める指針その他の規範に関する事項

程として文書化していること。
4. 特定した個人情報保護リスクに対して，現状で実施し得る対策が講じら

12 / 80

3)個人情報の漏えい、滅失又はき損等に関する事項

れていること。

b)繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にす

5. 未対応部分を残留リスクとして把握し，管理していること。
6. 個人情報保護リスクの特定，分析及び講じた個人情報保護リスク対策をる。

少なくとも年一回，適宜に見直していること。

c)個人情報保護リスクを特定する。
1)事業者において、事業毎に、個人情報の取扱いを特定する。
2)個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する。
3)上記で特定したリスクのリスク所有者を特定する。
d)個人情報保護リスクを分析・評価する。
1)c)で特定したリスクと、a)のリスク基準とを比較する。
2)リスク対応の優先順位を明らかにする。
2. 事業者は、個人情報保護のリスクを特定、分析及び評価をするための手順を内部規程として文書化すること。

※《留意事項》《留意事項》

個人情報保護リスクとは、個人情報の取扱いの各局面（個人情報の取得・ ・審査項目１．は，特定の手法による手順を求めるものではない。例え

入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄等にば，数値評価によるリスクの把握は手法の一つであるが，これを必須と至る個人情報の取扱いの一連の流れ）において、適正な保護措置を講じするものではない。

ない場合に想定されるリスクを指す。

・

13 / 80

審査項目３．では，「個人情報保護リスクの認識，分析及び対策に関す※

リスク所有者とは、当該リスクに関して対応を行う責任及び権限を有する記録(A.3.5.3 c))」に記載された対策が，「内部規程(A.3.3.5 a)～o)る者を指す。

を含む)」に反映されていることを確認する。
・

審査項目４．は，講じる対策の内容により，適合・不適合を判断するものではない。

・

審査項目６．の「見直し」では，リスク分析表等を単に形式的に見直すのではなく，認識された個人情報保護リスク，対策，残留リスクが適切であることを見直すことが重要である。

・

審査項目６．の「適宜に見直し」とは，例えば，事務所の移転や，個人情報の取扱いに関する事故が発生した場合に，個人情報保護リスクの見直しを行うことをいう。

J.3.1.4 個人情報保護リスク対応（6.1.3、A.3.3.3）
1. 事業者は、次の事項について、個人情報保護リスクへの対応手順を内部規程として文書化し、かつ実施すること。手順及び実施した内容については、適宜見直すこと。
a)個人情報保護リスクへの対応に当たっては、個人情報保護リスクア
セスメントの結果を考慮して、必要な対応策（本指針及び事業者が必要であると決定した、個人情報保護に関するリスクを修正する対策を含む。）を策定すること。
b)a)を踏まえて、個人情報保護リスクへの対応計画を策定し、実施す

14 / 80

ること。
c)個人情報保護リスクへの対応計画及び実施した内容（現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理することを含む。）について、原則として、トップマネジメントの承認を得ること。
2. 事業者は、a)～c)を実施した記録を保持すること。

《留意事項》※

残留リスクとは、リスク対応後に残っているリスクのことであり、受容するリスク（放置しておいてよいリスク）ではなく、現時点では困難であるが、短期的若しくは中長期的に対応していくリスクのことである。
なお、個人情報の不適切な取扱い（不正な取得・利用など）に関するリ
スクについては、法令遵守の観点から、全て対応する必要があるため、残留リスクとすることは認められない。

J.3.2 個人情報保護目的及びそれを達成するための計画策定（6.2）

A.3.3.6 計画策定

1. 事業者は、次の事項を含めて、個人情報保護目的を達成するために計

2. 個人情報保護マネジメントシステムを確実に実施するために必要な計画画すること。

に，次の事項を含んでいること。

a)実施事項a) 実施事項b)必要な資源b) 必要な資源

15 / 80c)責任者c) 責任者d)達成期限d) 達成期限e)結果の評価方法e) 結果の評価方法《留意事項》※《留意事項》

個人情報保護目的を達成するために必要となる計画は、J.3.3（計画策

・

審査項目２．の e）は，パフォーマンス評価(A.3.7)における評価方法定）において、J.2.2（個人情報保護方針）、及び J.3.1.3（個人情報保と連動すると考えられる。例えば，教育において内部規程に基づき受講

護リスクアセスメント）の結果を踏まえて、本項の a)～e)を含めて策者の理解度確認結果を評価し教育内容の見直しを図ることや，内部監査

定すること。

において内部規程に基づきトップマネジメントに結果の報告を行い改善の指示を受けることが考えられる。

J.3.3 計画策定（A.3.3.6）

A.3.3.6 計画策定

1. 事業者は、個人情報保護マネジメントシステムを確実に実施するため

1. 個人情報保護マネジメントシステムを確実に実施するために，少なくとに、次の事項を含めて、少なくとも年一回、及び必要に応じて適宜にも年一回，次の事項を含めて，必要な計画を立案し，文書化しているこ

必要な計画を立案し、文書化すること。

と。

a)教育実施計画a)教育実施計画b)内部監査実施計画b)内部監査実施計画《留意事項》
・

16 / 80

審査項目１．の「必要な計画」及び審査項目２．の a）～d)の事項については，B.3.3.6 を参考にすることができる。

J.4 支援（表題）

［新設］
［新設］

J.4.1 資源（7.1）
1. 事業者は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供すること。

《留意事項》※

資源とは、人員、組織基盤（規程、体制、施設・設備など）、資金などを指す。

※

利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。

J.4.2 力量（7.2）［新設］

1. 事業者は、次の事項を行うこと。
a)事業者の個人情報保護に影響を与える業務をその管理下で遂行する者に対して、個人情報保護の観点から、従業者に必要とされる能力を決定する。
b)a)の者に対して、a)で決定した能力及び J.4.3 を充足するための処

17 / 80置を行い、必要な能力を備えることを確実にする。
c)b)を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価する。
d)a)～c)を実施した記録を保持する。

《留意事項》※a)で決定した能力及び J.4.3 を充足するための処置とは、例えば、現在雇用している者に対する、教育訓練の機会提供、指導の実施、配置転換の実施などがあり、また、力量を備えた者の雇用、そうした者との契約締結などもある。

J.4.3 認識（7.3、A.3.4.5）

A.3.4.5

1. 事業者は、従業者に対して、少なくとも年一回、及び必要に応じて適

1. 全ての従業者に対して，少なくとも年一回，適宜に教育を実施する手順

宜に教育を実施する手順（教育の理解度を確認する手順を含む。）を内

認識が内部規程として文書化されていること。

部規程として文書化すること。

2. 事業者は、従業者に対して、次の事項を認識させること。

2. 教育などに関する規定には，受講者の理解度を確認する手順が含まれてa)個人情報保護方針

いること。

b)個人情報保護マネジメントシステムに適合することの重要性及び利3. 教育実施計画(A.3.3.6 a))に従って教育を実施していること。

18 / 80

点

4. 全ての従業者に対して，a)～d)の内容を認識させていること。

c)個人情報保護マネジメントシステムに適合するための役割及び責a)個人情報保護方針(内部向け個人情報保護方針及び外部向け個人情報

任

保護方針)
b)個人情報保護マネジメントシステムに適合することの重要性及び利d)個人情報保護マネジメントシステムに違反した際に予想される結点果c)個人情報保護マネジメントシステムに適合するための役割及び責任d)個人情報保護マネジメントシステムに違反した際に予想される結果
5. 受講者の理解度確認を実施していること。

《留意事項》《留意事項》
・※ 本項は、J.4.2（力量）と一体として捉えること。

審査項目１．及び審査項目３．の「従業者」は，規格が定義する「従業者」(3.42)を指す。

・

審査項目３．は，少なくとも年 1 回，適宜に教育を実施していることを含む。

J.4.4.1 コミュニケーション（7.4）［新設］

1. 事業者は、個人情報マネジメントシステムを構築・運用するにあたり、次の事項を考慮して、内外の利害関係者と意思疎通や情報共有を行うこと。
a)コミュニケーションの内容（何を伝達するか。）

19 / 80b)コミュニケーションの実施時期
c)コミュニケーションの対象者
d)コミュニケーションの実施者
e)コミュニケーションの実施手順
f)コミュニケーションの実施方法《留意事項》※

コミュニケーションとは、平常時における、本人を含む外部とのコミュ
ニケーション（個人情報保護方針の公表、個人情報の開示・訂正・利用停止、苦情及び相談への対応等）及び内部とのコミュニケーション（報告・連絡・相談・承認等）や、緊急時における、個人データの漏えい、滅失、き損その他の個人データの安全確保にかかる場面（主に、緊急事態への準備（J.4.4.2））がある。

J.4.4.2 緊急事態への準備（A.3.3.7）

A.3.3.7 緊急事態への準備

1. 緊急事態を特定するための手順及び特定した緊急事態にどのように対

1. 緊急事態を特定するための手順，及び，特定した緊急事態にどのように応するかの手順を内部規程として文書化すること。

対応するかの手順が内部規程として文書化されていること。

2. 緊急事態への準備及び対応に関する規定には、個人情報保護リスクを

2. 緊急事態への準備及び対応に関する規定には，個人情報保護リスクを考考慮し、その影響を最小限とするための手順を含むこと。

慮し，その影響を最小限とするための手順が含まれていること。

3. 緊急事態への準備及び対応に関する規定には、緊急事態が発生した場

3. 緊急事態への準備及び対応に関する規定には，緊急事態が発生した場合

20 / 80

合に備え、次の事項を対応手順に含むこと。

に備え，次の事項を含む対応手順が含まれていること。

a)漏えい、滅失又はき損等が発生した個人情報の内容を本人に速やかa)漏えい，滅失又はき損が発生した個人情報の内容を本人に速やかに通に通知するか、又は本人が容易に知り得る状態に置くこと。

知するか，又は本人が容易に知り得る状態に置くこと。

b)二次被害の防止、類似事案の発生回避などの観点から、可能な限り

b)二次被害の防止，類似事案の発生回避などの観点から，可能な限り事

事実関係、発生原因及び対応策を、遅滞なく公表すること。

実関係，発生原因及び対応策を，遅滞なく公表すること。

c)事実関係、発生原因及び対応策を関係機関に直ちに報告すること。
4. 緊急事態が発生した場合、定めた手順に従って緊急事態への対応を実※c)事実関係，発生原因及び対応策を関係機関に直ちに報告すること。
4. 緊急事態が発生した場合，定めた手順に従って緊急事態への対応を実施

施すること。

していること。

《留意事項》《留意事項》

緊急事態へ対応する際は、事態の把握と調査が重要となる。十分な調査・を行うことを前提に、調査後の対応手順を定めることを本項は求めている。
※

緊急事態とは、個人情報保護リスク（J.3.1.3 の留意事項を参照）の脅
威（事業者や本人等に損害を与える可能性がある、望ましくないインシ
デント（事故等の潜在的な要因）が顕在化した状況を指す。

※

関係機関とは、報告すべき利害関係を有している機関（本人、委託元/
委託先、企業グループ各社、プライバシーマークの審査を受けた機関（プライバシーマーク付与事業者の場合）、個人情報保護委員会、認定個人情報保護団体（所属している場合）など）を指す。

21 / 80「緊急事態への準備及び対応に関する規定(A.3.3.5 e))」に含める手順
は，B.3.3.7 を参考にすることができる。

J.4.5.1 文書化した情報（一般）（7.5.1、A.3.5.1）

A.3.5.1 文書化した情報の範囲

1. 個人情報保護マネジメントシステムの基本となる次の要素に対応する

1. 個人情報保護マネジメントシステムの基本となる次の要素に対応する書

書面を作成すること。

面があること。

a)個人情報保護方針a)内部向け個人情報保護方針b)内部規程b)外部向け個人情報保護方針

c)内部規程に定める手順上で使用する様式

c)内部規程d)計画書

d)内部規程に定める手順上で使用する様式e)本指針が要求する記録e)計画書f)その他、事業者が個人情報保護マネジメントシステムを実施する上f)この規格が要求する記録及び組織が個人情報保護マネジメントシステ

で必要と判断した文書（記録を含む。）

ムを実施する上で必要と判断した記録《留意事項》
・

審査項目１．は，a)～f)に該当する書面の有無を確認するための項目である。

J.4.5.2 文書化した情報の管理（7.5.3）

A.3.5.2 文書化した情報(記録を除く。)の管理

1. 個人情報保護マネジメントシステム及び本指針で要求されている文書

3. 文書化した情報(記録を除く。)は，次の事項を確実にするよう管理され化した情報は、次の事項を確実にするために管理すること。

ていること。

a)必要な時に、必要な所で、入手可能かつ利用に適した状態である。

a)文書化した情報が，必要な時に，必要な所で，入手可能かつ利用に適

22 / 80

した状態である。
b)十分に保護されている（例えば、機密性の喪失、不適切な使用及びb)文書化した情報が十分に保護されている(例えば，機密性の喪失，不完全性の喪失からの保護）。

適切な使用及び完全性の喪失からの保護)。

2. 文書化した情報の管理に当たっては、次の事項を実施すること。
c)配付、アクセス、検索及び利用
d)読みやすさが保たれることを含む、保管及び保存e)変更の管理（例えば、版の管理）f)保持及び廃棄3. 個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理すること。

《留意事項》※《留意事項》

アクセスとは、文書化した情報の閲覧だけの許可に関する決定、文書化・した情報の閲覧、変更の許可及び権限に関する決定などを意味する。

審査項目３．は，文書化した情報を管理する手順を維持していることを確認するための審査項目である。

J.4.5.3 文書化した情報（記録を除く。）の管理（7.5.2、A.3.5.2）

A.3.5.2 文書化した情報(記録を除く。)の管理

1. 本指針が要求する全ての文書化した情報（記録を除く。）を管理する手

1. 規格が要求する全ての文書化した情報(記録を除く。)を管理する手順

順を、次の事項を含む内部規程として文書化すること。

が，次の事項を含む内部規程として文書化されていること。

a)文書化した情報（記録を除く。）の発行及び改正に関すること。

a)文書化した情報(記録を除く。)の発行及び改正に関すること

23 / 80b)文書化した情報（記録を除く。）の改正の内容と版数との関連付けをb)文書化した情報(記録を除く。)の改正の内容と版数との関連付けを明明確にすること。

確にすることc)必要な文書化した情報（記録を除く。）が必要なときに容易に参照でc)必要な文書化した情報(記録を除く。)が必要なときに容易に参照でき

きること。

ること

d)適切性及び妥当性に関する、適切なレビュー及び承認を行うこと。
2. 文書化した情報（記録を除く。）の管理を実施すること。

2. 文書化した情報(記録を除く。)の管理を実施していること。

《留意事項》※《留意事項》c)の「必要な文書化した情報（記録を除く。）が必要なときに容易に参・確認方法・エビデンスの「文書化した情報の管理状況」「文書化した情照できること。」とは、適切な形式（例えば、言語、ソフトウェアの版、報を従業者が参照する環境」は，現場における文書化した情報の管理状

図表）及び媒体（例えば、紙、電子媒体）に関することを含む。

況を視察することにより確認する。

J.4.5.4 内部規程（A.3.3.5）

A.3.3.5 内部規程

1. 次の事項を含む内部規程を文書化すること。

1. 次の事項を含む内部規程が文書化されていること。

a)個人情報を特定する手順に関する規定

a)個人情報を特定する手順に関する規定b)法令、国が定める指針その他の規範の特定、参照及び維持に関するb)法令，国が定める指針その他の規範の特定，参照及び維持に関する規規定

定c)個人情報保護リスクアセスメント及びリスク対策の手順に関する規c)個人情報保護リスクアセスメント及びリスク対策の手順に関する規定

定d)事業者の各部門及び階層における個人情報を保護するための権限及24 / 80d)組織の各部門及び階層における個人情報を保護するための権限及び責び責任に関する規定

任に関する規定e)緊急事態への準備及び対応に関する規定e)緊急事態への準備及び対応に関する規定

f)個人情報の取得、利用及び提供に関する規定

f)個人情報の取得，利用及び提供に関する規定

g)個人情報の適正管理に関する規定

g)個人情報の適正管理に関する規定h)本人からの開示等の請求等への対応に関する規定h)本人からの開示等の請求等への対応に関する規定

i)教育などに関する規定

i)教育などに関する規定j)文書化した情報の管理に関する規定j)文書化した情報の管理に関する規定k)苦情及び相談への対応に関する規定k)苦情及び相談への対応に関する規定l)点検に関する規定l)点検に関する規定m)是正処置に関する規定m)是正処置に関する規定n)マネジメントレビューに関する規定n)マネジメントレビューに関する規定o)内部規程の違反に関する罰則の規定

o)内部規程の違反に関する罰則の規定

2. 事業の内容に応じて、個人情報保護マネジメントシステムが確実に適

2. 事業の内容に応じて，個人情報保護マネジメントシステムが確実に適用用されるように内部規程を改正すること。

されるように内部規程を改正していること。

《留意事項》
・

審査項目１．及び審査項目２．の「内部規程」は，事業者が定める規程体系でよい。内部規程には，手順書レベルの規定も含む。手順書レベルの規定とは,A.3.3.3 によって実施した個人情報保護リスクの特定・分析を踏まえて策定した対策を講じる手順を文書化したものをいう。

25 / 80

・

審査項目１．の「o) 内部規程の違反に関する罰則の規定」は，就業規則に罰則の規定がある場合もエビデンスとなり得る。

J.4.5.5 文書化した情報のうち、記録の管理（A.3.5.3）

A.3.5.3 文書化した情報のうち記録の管理

1. 個人情報保護マネジメントシステム及び本指針で要求されている記録

1. 個人情報保護マネジメントシステム及びこの規格の要求事項への適合をの管理についての手順を内部規程として文書化すること。

実証するために必要な記録の管理についての手順が内部規程として文書化されていること。
2. 次の事項を含む必要な記録を作成していること。

2. 次の事項を含む必要な記録を作成すること。
a)個人情報の特定に関する記録

a)個人情報の特定に関する記録b)法令、国が定める指針及びその他の規範の特定に関する記録

b)法令，国が定める指針及びその他の規範の特定に関する記録

c)個人情報保護リスクの認識、分析及び対策に関する記録

c)個人情報保護リスクの認識，分析及び対策に関する記録

d)計画書

d)計画書

e)利用目的の特定に関する記録e)利用目的の特定に関する記録f)保有個人データに関する開示等（利用目的の通知、開示、内容の訂f)保有個人データに関する開示等(利用目的の通知，開示，内容の訂

正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請

正，追加又は削除，利用の停止又は消去，第三者提供の停止)の請求

求等への対応記録

等への対応記録g)教育などの実施記録

g)教育などの実施記録h)苦情及び相談への対応記録h)苦情及び相談への対応記録i)運用の確認の記録

i)運用の確認の記録

j)内部監査報告書j)内部監査報告書

26 / 80k)是正処置の記録k)是正処置の記録l)マネジメントレビューの記録l)マネジメントレビューの記録
3.

記録は，次の事項を確実にするよう管理されていること。
a)記録が，必要な時に，必要な所で，入手可能かつ利用に適した状態である。
b)記録が十分に保護されている(例えば，機密性の喪失，不適切な使用及び完全性の喪失からの保護)。

《留意事項》
・

審査項目２．の g)，j)については，B.3.5.3.を参考にすることができる。

・

審査項目３．は，記録を管理する手順を維持していることを確認するための審査項目である。

・

確認方法・エビデンスの「a)～l)の記録の管理状況」は，現場における記録の管理状況を視察することにより確認する。

J.5 運用（表題）［新設］

J.5.1 運用（8.1、8.2、8.3、A.3.4.1）

A.3.4.1 運用手順

1. 個人情報保護マネジメントシステムを確実に実施するために、運用の

1. 個人情報保護マネジメントシステムを確実に実施するために，運用の手手順を内部規程として文書化すること。

順が内部規程として文書化されていること。

27 / 80

2. 事業者は、本指針の要求事項を満たすため及び J.3 で決定した活動について、計画し、実施し、管理すること。
3. 事業者は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとること。
4. 事業者は、外部委託した業務がある場合は、管理の対象とすること。
5. 事業者は本項 2～4 についての記録を保持すること。

《留意事項》
・

審査項目１．の「運用の手順」には手順書レベルの規定も含まれる。

・

確認方法・エビデンスの「A.3.3.5f)～i)及び o)に該当する内部規程」
は，実施及び運用（A.3.4）に関する手順を指す。

J.6 パフォーマンス評価（表題）［新設］

J.6.1 監視、測定、分析及び評価（9.1、A.3.7.1）

A.3.7.1 運用の確認

1. 各部門及び階層の管理者が定期的に、及び適宜にマネジメントシステ

1. 各部門及び階層の管理者が定期的に，及び適宜にマネジメントシステム

ムが適切に運用されていることを確認する手順を内部規程として文書が適切に運用されていることを確認する手順，及び次の事項を含む是正化すること。

処置の手順が内部規程として文書化されていること。

2. 事業者は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定すること。

a)不適合の内容を確認する。
b)不適合の原因を特定し，是正処置を立案する。

28 / 80a)対象とする個人情報保護マネジメントシステムの運用状況

c)期限を定め，立案された処置を実施する。

b)a)で対象とした運用状況の監視、測定、分析及び評価の方法d)実施された是正処置の結果を記録する。

c)a)で対象とした運用状況の監視及び測定の実施時期e)実施された是正処置の有効性をレビューする。

d)a)で対象とした運用状況の監視及び測定の実施者

2. 運用の確認を実施していること。

e)a)で対象とした運用状況の分析及び評価の時期f)a)で対象とした運用状況の分析及び評価の実施者
3. 各部門及び各階層の管理者は、定期的に、及び適宜にマネジメントシ

3. 運用の確認において，不適合が確認された場合は，是正処置を行っていステムが適切に運用されているかを確認し、不適合が確認された場合ること。

は、その是正処置を行うこと。
4. 事業者は、監視及び測定の結果の証拠として、文書化した情報を保持すること。
5. 個人情報保護管理者は、定期的に、及び適宜にトップマネジメントに

4. 個人情報保護管理者は，定期的に，及び適宜にトップマネジメントに運運用の確認の状況を報告すること。

用の確認の状況を報告していること。

《留意事項》
・

審査項目１．で求める手順は，A.3.7.2（内部監査）とは異なり，各部門及び階層における手順を指す。

・

審査項目１．及び審査項目３.は，A.3.7.1 が求める是正処置も含めた手順の確立及び実施状況を確認するための審査項目である。是正処置に求められる事項は，A.3.8 を踏まえている。

29 / 80

・

審査項目２．は，定期的に，及び適宜に確認していることを含む。

J.6.2 内部監査（9.2、A.3.7.2）

A.3.7.2 内部監査

1. 監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関す

1. 監査の計画及び実施，結果の報告並びにこれに伴う記録の保持に関するる責任及び権限を定める手順を内部規程として文書化すること。

責任及び権限を定める手順が内部規程として文書化されていること。

2. 事業者は、個人情報保護マネジメントシステムが次の事項の状況にあ

2. 内部監査実施計画(A.3.3.6 b))に従って，個人情報保護マネジメントシ

るか否かについて、少なくとも年一回、及び必要に応じて適宜に内部

ステムのこの規格への適合状況及び個人情報保護マネジメントシステム

監査を実施すること。

の運用状況の監査を，少なくとも年一回，適宜に実施していること。

a)事業者が規定した要求事項及び本指針の要求事項に適合している。

3. 内部監査の実施にあたっては，内部規程とこの規格との適合状況を監査

b)個人情報保護マネジメントシステムが有効に実施され、維持されている。

していること。
4. 内部監査の実施にあたっては，運用状況の監査を実施していること。

3. 個人情報保護監査責任者は、次の事項を行うこと。

5. 監査員は，自己の所属する部署の内部監査を実施していないこと。

c)内部監査実施計画を策定、確立、実施及び維持する。その内部監査
実施計画は、関連するプロセスの重要性及び前回までの監査の結果を考慮する。
d)各監査について、監査基準及び監査範囲を明確にする。
e)監査プロセスの客観性及び公平性を確保する監査員を選定し、内部監査実施計画に従って、監査を実施する。
f)監査の結果を監査報告書としてまとめ、管理層及びトップマネジメ

6. 個人情報保護監査責任者は,監査報告書を作成し，トップマネジメント

ントに報告する。

に報告していること。

30 / 80g)内部監査実施計画及び監査結果の証拠として、文書化した情報を保持する。

《留意事項》※《留意事項》

個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査・をさせてはならない。

確認方法・エビデンスの「監査項目」とは，監査員が監査を行うにあたり確認する具体的な項目をいう。

・

審査項目６．は，A.3.3.4 を踏まえた審査項目である。

J.6.3 マネジメントレビュー（9.3、A.3.7.3）

A.3.7.3 マネジメントレビュー

1. マネジメントレビューを実施する手順を内部規程として文書化するこ

1. マネジメントレビューを実施する手順が内部規程として文書化されてい

と。

ること。

2. トップマネジメントは、事業者の個人情報保護マネジメントシステム

2. 少なくとも年一回，適宜にマネジメントレビューを実施していること。

が、引き続き、適切、妥当かつ有効であることを確実にするために、
少なくとも年一回、及び必要に応じて適宜にマネジメントレビューを実施すること。
3. マネジメントレビューの実施に当たっては、次の事項を考慮するこ

3. マネジメントレビューを実施するにあたり，次の事項がインプットされと。

ていること。

a)前回までのマネジメントレビューの結果を踏まえた見直しの状況

a)監査及び個人情報保護マネジメントシステムの運用状況に関する報告b)個人情報保護マネジメントシステムに関連する外部及び内部の問題

b)苦情を含む外部からの意見

点の変化

c)前回までの見直しの結果に対するフォローアップ

31 / 80c)以下の状況を踏まえた、現在の個人情報保護マネジメントシステムd)個人情報の取扱いに関する法令，国の定める指針その他の規範の改正の運用状況の評価

状況

1)不適合及び是正処置e)社会情勢の変化，国民の認識の変化，技術の進歩などの諸環境の変化

2)確認及び点検の結果

f)組織の事業領域の変化

3)監査結果g)内外から寄せられた改善のための提案

4)個人情報保護目的の達成
d)利害関係者からのフィードバックe)リスクアセスメントの結果及びリスク対応計画の状況
f)継続的改善の機会
4. マネジメントレビューからのアウトプットには、継続的改善の機会及

4. マネジメントレビューのアウトプットには，継続的改善の機会及び個人

び個人情報保護マネジメントシステムのあらゆる変更の必要性に関す情報保護マネジメントシステムのあらゆる変更の必要性に関する決定がる決定を含めること。

含まれていること。

5. 事業者は、マネジメントレビューの結果の証拠として、文書化した情報を保持すること。

《留意事項》
・

審査項目３．は，常に a)～g)の事項すべてを見直しの材料にする必要はない。a)～g)の事項が発生しないことを把握することもインプットといえる。

・

32 / 80

審査項目４．は，A.3.7.3 のマネジメントレビューの結果に対しトップマネジメントが判断を行っていることを確認するための審査項目である。

J.7 改善（表題）［新設］

J.7.1 不適合及び是正処置（10.1、A.3.8）

A.3.8 是正処置

1. 事業者は、次の事項を含めて、不適合に対する是正処置を実施するた

1. 不適合に対する是正処置を確実に実施するための責任及び権限を定めるめの責任及び権限を定める手順を内部規程として文書化すること。

手順が次の事項を含む内部規程として文書化されていること。

a)その不適合に対処し、該当する場合には、必ず、次の事項を行う。

a)不適合の内容を確認する。

1)その不適合を管理し、修正するための処置をとる。

b)不適合の原因を特定し，是正処置を立案する。

2)その不適合によって起こった結果に対処する。

c)期限を定め，立案された処置を実施する。

b)次の事項によって、その不適合の原因を除去するための処置を検討d)実施された是正処置の結果を記録する。

する。

e)実施された是正処置の有効性をレビューする。

1)その不適合を調査及び分析する。
2)その不適合の原因を特定する。
3)類似の不適合の有無、又はそれが発生する可能性を検討する。
c)是正処置を計画し、計画された処置を実施する。
d)実施された全ての是正処置の有効性を調査、分析及び評価する。
e)必要な場合には、個人情報保護マネジメントシステムの改善を行う。
2. 不適合が明らかとなった場合、a)～e)の事項を実施すること。

2. 不適合が明らかになった場合，a)～e)の事項を実施していること。

33 / 80

3. a)～e)の実施結果について、文書化した情報を保持するとともに、原

3. 是正処置の立案にあたっては，発見された不適合が他の所でも発生しな則として、トップマネジメントが承認すること。

いようにするための措置を検討していること。
4. 個人情報保護マネジメントシステムを継続的に改善していること。

※《留意事項》《留意事項》

不適合が明らかとなった場合とは、J.6（パフォーマンス評価）のほか、 ・審査項目２．の「不適合が明らかになった場合」とは，例えば，パフォ

個人情報に関わる事故や苦情の発生等が契機となる。

ーマンス評価(A.3.7)のほか，個人情報に関わる事故や苦情の発生よって不適合が発見される場合がある。
・

審査項目３．は，A.3.8 の「b)不適合の原因を特定し，是正処置を立案する。」を実施するにあたり，同様な不適合が再発しないように検討していることを確認するための審査項目である。

・

審査項目４．では，トップマネジメントに対し，これまでの個人情報保
護マネジメントシステムの変更の状況や，今後も個人情報保護マネジメ
ントシステムの見直しを行うことについて確認を行う。また，内部規程や各種記録等の文書化した情報(A.3.5.1)の改廃履歴についても確認を行う。

J.7.2 継続的改善（10.2）［新設］

1. 事業者は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善すること。

34 / 80

J.8 取得、利用及び提供に関する原則（表題）［新設］

J.8.1 利用目的の特定（A.3.4.2.1）

A.3.4.2.1 利用目的の特定

1. 個人情報の利用目的をできる限り特定し、その目的の達成に必要な範1. 個人情報の利用目的をできる限り特定し，その目的の達成に必要な範囲

囲内において取扱いを行うこと。

内において取扱いを行っていること。

2. 利用目的は、取得した情報の利用及び提供によって本人の受ける影響

2. 利用目的は，取得した情報の利用及び提供によって本人の受ける影響をを予測できるように、利用及び提供の範囲を可能な限り具体的に明ら予測できるように，利用及び提供の範囲を可能な限り具体的に明らかにかにすること。

していること。

《留意事項》
・

審査項目１．では，「通知又は公表の記録(A.3.4.2.4)」「本人に明示した書面(A.3.4.2.5)」に記載された利用目的が，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)に特定された利用目的の範囲内であることを確認する。

・

審査項目２．は,本人から見た分かりやすさに関する審査項目である。

J.8.2 適正な取得（A.3.4.2.2）

A.3.4.2.2 適正な取得

1. 事業者は、適法かつ公正な手段によって個人情報を取得すること。

1. 定めた手順に従って，個人情報を適正に取得していること。

《留意事項》

35 / 80

・

確認方法・エビデンスの「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，個人情報の取得の有無を確認する。
「通知又は公表の記録(A.3.4.2.4)」「本人に明示した書面(A.3.4.2.5)」が在ることにより，「個人情報の取得，利用及び提供に関する規定 (A.3.3.5 f))」に基づき取得されたことを確認する。

J.8.3 要配慮個人情報（A.3.4.2.3）

A.3.4.2.3 要配慮個人情報

1. 新たに要配慮個人情報を取得、利用又は提供並びに要配慮個人情報の1. 新たに要配慮個人情報を取得,利用又は提供並びに要配慮個人情報のデデータを提供する場合、あらかじめ書面による本人の同意を得るこータを提供する場合，あらかじめ書面による本人の同意を得ていること。

と。

2. 要配慮個人情報を取得、利用する際、書面による本人の同意を得るこ

2. 要配慮個人情報を取得,利用する際，書面による本人の同意を得ることとを要しないときとは、以下の場合に限定すること。

を要しないときは，以下の場合に限定していること。

a)法令に基づく場合

a)法令に基づく場合

b)人の生命、身体又は財産の保護のために必要がある場合であって、b)人の生命，身体又は財産の保護のために必要がある場合であって，本本人の同意を得ることが困難であるとき人の同意を得ることが困難であるとき

c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき

c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき

d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定めめる事務を遂行することに対して協力する必要がある場合であっる事務を遂行することに対して協力する必要がある場合であって，本36 / 80

て、本人の同意を得ることによって当該事務の遂行に支障を及ぼす

人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがおそれがあるときあるときe)当該要配慮個人情報が、法令等により個人情報取扱事業者の義務なe)その他，個人情報取扱事業者の義務などの適用除外とされている者及どの適用除外とされている者及び個人情報保護委員会規則で定めた

び個人情報保護委員会規則で定めた者によって公開された要配慮個人

者によって公開された要配慮個人情報であるとき

情報，又は政令で定められた要配慮個人情報であるとき

f)本人を目視し、又は撮影することにより、その外形上明らかな要配
慮個人情報を取得又は利用する場合
g)個人情報保護法二十七条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき
h)個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)学術研究機関等から当該要配慮個人情報を取得し、利用する場合であって、当該要配慮個人情報を学術研究目的で取得し、利用する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）

37 / 80

3. 要配慮個人情報を提供する際、書面による本人の同意を得ることを要

3. 要配慮個人情報を提供する際，書面による本人の同意を得ることを要ししないときとは、J.8.3 の a)～d)、又は以下の場合に限定すること。

ないときは，A.3.4.2.3 のただし書き a)～d)の場合に限定しているこj)個人情報取扱事業者が学術研究機関等である場合であって、個人デと。

ータの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
k)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。）
l)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）《留意事項》※※《留意事項》

学術研究機関とは、大学その他の学術研究を目的とする機関若しくは団・

審査項目２．及び審査項目３．は，「個人情報の特定に関する記録

体又はそれらに属する者を指す。

(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳に記載されている

学術研究目的とは、学術研究の用に供する目的を指す。

が書面による本人の同意の取得が行われていない要配慮個人情報の有無を確認する。確認の結果，本人の同意の取得を行っていない場合は，本38 / 80

人の同意を得ずに取得した要配慮個人情報が A.3.4.2.3 のただし書きに該当することを確認する。

J.8.4 個人情報を取得した場合の措置（A.3.4.2.4）

A.3.4.2.4 個人情報を取得した場合の措置

1. 個人情報を取得した場合は、あらかじめ、その利用目的を公表してい1. 個人情報を取得する場合，個人情報の取得の場面に応じて，あらかじる場合を除き、速やかにその利用目的を本人に通知し、又は公表する

め，その利用目的を公表している，又は取得後速やかにその利用目的をこと。

本人に通知又は公表していること。

2. 本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限

2. 本人への利用目的の通知又は公表を要しないのは，以下の場合に限定し定すること。

ていること。

a)利用目的を本人に通知し、又は公表することによって本人又は第三a)利用目的を本人に通知するか，又は公表することによって本人又は第者の生命、身体、財産その他の権利利益を害するおそれがある場合

三者の生命，身体，財産その他の権利利益を害するおそれがある場合b)利用目的を本人に通知し、又は公表することによって当該組織の権b)利用目的を本人に通知するか，又は公表することによって当該組織の利又は正当な利益を害するおそれがある場合

権利又は正当な利益を害するおそれがある場合

c)国の機関又は地方公共団体が法令の定める事務を遂行することに対c)国の機関又は地方公共団体が法令の定める事務を遂行することに対しして協力する必要がある場合であって、利用目的を本人に通知し、て協力する必要がある場合であって，利用目的を本人に通知するか，又は公表することによって当該事務の遂行に支障を及ぼすおそれが又は公表することによって当該事務の遂行に支障を及ぼすおそれがあ

ある場合

る場合

d)取得の状況からみて利用目的が明らかであると認められる場合

d)取得の状況からみて利用目的が明らかであると認められる場合《留意事項》

39 / 80

・

審査項目１．で通知又は公表する利用目的は，特定された利用目的の範囲内である必要がある（A.3.4.2.1 の審査項目１．参照）。

・

確認方法・エビデンスの「通知又は公表の記録(A.3.4.2.4)」には，取得の場面に応じた本人への通知書面又は公表物も含まれる。

・

審査項目２．は，「通知又は公表の記録(A.3.4.2.4)」及び，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳に記載されているが利用目的の通知又は公表が行われていない個人情報の有無を確認する。確認の結果，通知又は公表を行っていない場合
は，本人に通知又は公表せずに取得した個人情報が A.3.4.2.4 のただし書きに該当することを確認する。

J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置

A.3.4.2.5 A.3.4.2.4 のうち本人から直接書面によって取得する場合の措（A.3.4.2.5）

置
1. 本人から直接書面によって取得する場合，A.3.4.2.4 の措置を講じていること。

1. 本人から、書面に記載された個人情報を直接取得する場合には、少な

2. 本人から，書面に記載された個人情報を直接取得する場合には，少なく

くとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじとも，次に示す事項又はそれと同等以上の内容の事項を，あらかじめ，め、書面によって本人に明示し、書面によって本人の同意を得るこ

書面によって本人に明示し，書面によって本人の同意を得ていること。

と。
a)組織の名称又は氏名a)組織の名称又は氏名

40 / 80b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及b)個人情報保護管理者(若しくはその代理人)の氏名又は職名，所属及び

び連絡先

連絡先

c)利用目的c)利用目的d)個人情報を第三者に提供することが予定される場合の事項

d)個人情報を第三者に提供することが予定される場合の事項－第三者に提供する目的－第三者に提供する目的－提供する個人情報の項目－提供する個人情報の項目－提供の手段又は方法－提供の手段又は方法－当該情報の提供を受ける者又は提供を受ける者の組織の種類、及－当該情報の提供を受ける者又は提供を受ける者の組織の種類，及び

び属性

属性

－個人情報の取扱いに関する契約がある場合はその旨－個人情報の取扱いに関する契約がある場合はその旨

e)個人情報の取扱いの委託を行うことが予定される場合には、その旨

e)個人情報の取扱いの委託を行うことが予定される場合には，その旨

f)J.10.4～J.10.7 に該当する場合には、その請求等に応じる旨及び問f)A.3.4.4.4～A.3.4.4.7 に該当する場合には，その請求等に応じる旨

合せ窓口

及び問合せ窓口g)本人が個人情報を与えることの任意性及び当該情報を与えなかったg)本人が個人情報を与えることの任意性及び当該情報を与えなかった場

場合に本人に生じる結果

合に本人に生じる結果

h)本人が容易に知覚できない方法によって個人情報を取得する場合にh)本人が容易に知覚できない方法によって個人情報を取得する場合に

は、その旨

は，その旨

2. あらかじめ書面によって本人に明示し、書面によって本人の同意を得

3. あらかじめ書面によって本人に明示し，書面によって本人の同意を得なないのは、以下の場合に限定すること。

いのは，以下の場合に限定していること。

・人の生命、身体若しくは財産の保護のために緊急に必要がある場合

・人の生命，身体若しくは財産の保護のために緊急に必要がある場合

41 / 80

・以下のいずれかに該当し、J.8.4 の措置を要しない場合

・A.3.4.2.4 の a)～d)のいずれかに該当する場合

1)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場
合2)利用目的を本人に通知し、又は公表することによって当該組織の権利又は正当な利益を害するおそれがある場合
3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合
4)取得の状況からみて利用目的が明らかであると認められる場合《留意事項》※《留意事項》

本人から直接書面によって取得する場合、J.8.4（個人情報を取得した・場合の措置）の措置が必要となる。

審査項目２．で明示する利用目的は，特定された利用目的の範囲内である必要がある（A.3.4.2.1 の審査項目１．参照）。

・

確認方法・エビデンスの「本人に明示した書面(A.3.4.2.5)」は，取得の手段(ウェブサイト，手渡し等)に応じた書面を確認する。

・

審査項目３．は，「本人に明示した書面(A.3.4.2.5)」及び，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳に記載されているが本人への明示及び同意の取得が行われていない個

42 / 80

人情報の有無を確認する。確認の結果，本人への明示及び同意の取得を行っていない場合は，当該個人情報が A.3.4.2.5 のただし書きに該当することを確認する。

J.8.6 利用に関する措置（A.3.4.2.6）

A.3.4.2.6 利用に関する措置

1. 個人情報を利用する場合には、本人の同意の有無に関わらず、違法又は不当な行為を助長し、又は誘発するおそれのあるものを除くこと。

2. 特定した利用目的の達成に必要な範囲内で個人情報を利用すること。

1. 特定した利用目的の達成に必要な範囲内で個人情報を利用していること。

3. 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場

2. 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合

合は、あらかじめ、少なくとも、J.8.5 の a)～f)に示す事項又はそれは，あらかじめ，少なくとも，A.3.4.2.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ること。

と同等以上の内容の事項を本人に通知し，本人の同意を得ていること。

4. 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場

3. 本人の同意を得ることを要しないのは，A.3.4.2.3 の a)～d)のいずれか

合に、本人の同意を得ることを要しないのは、以下のいずれかに該当する場合に限定すること。
a)法令に基づく場合b) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
c）公衆衛生の向上又は児童の健全な育成の推進のために特に必要が43 / 80に該当する場合に限定していること。

ある場合であって、本人の同意を得ることが困難であるとき。
d）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
e)当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
f）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）《留意事項》※《留意事項》

違法又は不当な行為とは、個人情報保護法その他の法令に違反する行為

・審査項目１．では，「通知又は公表の記録(A.3.4.2.4)，又は本人に明示や、直ちに違法とは言えないものの、個人情報保護法その他の法令の制した書面(A.3.4.2.5) 」に記載された利用目的が，「個人情報の特定に度趣旨や公序良俗に反している等、社会通念上、適正とは認められない関する記録(A.3.5.3 a)」としての台帳(A.3.3.1)に記載した利用目的の行為を指す。

範囲を超えないことを確認する。

44 / 80※

違法又は不当な行為を助長し、又は誘発する「おそれ」の有無は、社会・審査項目３．は，「本人への通知書面(A.3.4.2.6)」及び，「個人情報の通念上、蓋然性が認められるか否かにより判断される。この判断に当た

特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳っては、個人情報の利用方法などの客観的な事情に加えて、個人情報のに記載されているが本人への通知及び同意の取得が行われていない個人

利用時点における事業者の認識及び予見可能性も踏まえる必要がある。

情報の有無を確認する。確認の結果，本人への通知及び同意の取得を行っていない場合は，当該個人情報が A.3.4.2.6 のただし書きに該当することを確認する。

J.8.7 本人に連絡又は接触する場合の措置（A.3.4.2.7）

A.3.4.2.7 本人に連絡又は接触する場合の措置

1. 個人情報を利用して本人に連絡又は接触する場合には、本人に対し

1. 個人情報を利用して本人に連絡又は接触する場合には，本人に対して，て、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項、及A.3.4.2.5 の a)～f)に示す事項又はそれと同等以上の内容の事項，及びび取得方法を通知し、本人の同意を得ること。

取得方法を通知し，本人の同意を得ていること。

2. 個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知

2. 本人に通知し，本人の同意を得ることを要しない場合は，以下の場合にし、本人の同意を得ることを要しない場合を、利用する個人情報が以限定していること。

下の場合に限定すること。
a)J.8.5 の措置において、あらかじめ、利用目的として個人情報を利用して本人に連絡又は接触することを含め、J.8.5 の a)～f)に示す

a)A.3.4.2.5 の a)～f) に示す事項又はそれと同等以上の内容の事項を明示又は通知し，既に本人の同意を得ているとき

事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているときb)個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うとき

45 / 80b)個人情報の取扱いの全部又は一部を委託された場合であって，当該個人情報を，その利用目的の達成に必要な範囲内で取り扱うときc)合併その他の事由による事業の承継に伴って個人情報が提供され、c)合併その他の事由による事業の承継に伴って個人情報が提供され，個個人情報を提供する組織が、既に J.8.5 の a)～f)に示す事項又はそ人情報を提供する組織が，既に A.3.4.2.5 の a)～f) に示す事項又はれと同等以上の内容の事項を明示又は通知し、本人の同意を得ていそれと同等以上の内容の事項を明示又は通知し，本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取りる場合であって，承継前の利用目的の範囲内で当該個人情報を取り扱

扱うとき

うとき

d)個人情報が特定の者との間で共同して利用され、共同して利用する

d)個人情報が特定の者との間で共同して利用され，共同して利用する者

者が、既に共同して利用することに関して、J.8.5 の a)～f)に示す

が，既に A.3.4.2.5 の a)～f) に示す事項又はそれと同等以上の内容

事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同の事項を明示又は通知し，本人の同意を得ている場合であって，次に意を得ている場合であって、以下の 1)～6)に示す事項又はそれと同示す事項又はそれと同等以上の内容の事項を，あらかじめ，本人に通等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容知するか，又は本人が容易に知り得る状態に置いているとき(以下，

易に知り得る状態に置いているとき(以下、「共同利用」という。)“共同利用”という。)

1)共同して利用すること－共同して利用すること

2)共同して利用される個人情報の項目－共同して利用される個人情報の項目

3)共同して利用する者の範囲－共同して利用する者の範囲

4)共同して利用する者の利用目的－共同して利用する者の利用目的

5)共同して利用する個人情報の管理について責任を有する者の氏名－共同して利用する個人情報の管理について責任を有する者の氏名又又は名称及び住所並びに法人にあっては、その代表者の氏名

は名称

6)取得方法－取得方法e)J.8.4 の d)に該当し利用目的などを本人に明示、通知又は公表する

e)A.3.4.2.4 の d)に該当するため，利用目的などを本人に明示，通知又ことなく取得した個人情報を利用して、本人に連絡又は接触するとは公表することなく取得した個人情報を利用して，本人に連絡又は接46 / 80

き触するときf)J.8.3 の a)～d)のいずれかに該当する場合

f)A.3.4.2.3 のただし書き a)～d) のいずれかに該当する場合
3. 共同して利用する者から個人情報を取得する場合であって,共同して利用する者が A.3.4.2.7d)の措置を講じない場合，本人に対して，
A.3.4.2.5 の a)～f)に示す事項又はそれと同等以上の内容の事項，及び取得方法を通知し，本人の同意を得ていること。

《留意事項》《留意事項》※※

d)の「個人情報が特定の者との間で共同して利用され、共同して利用す審査項目１．の通知及び同意の取得については，規格は書面による通知る者が、既に共同して利用することに関して、J.8.5 の a)～f)に示す事

及び書面による同意の取得に限定していないため，口頭によることも考項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得えられる。この場合，審査項目１．に示す事項(A.3.4.2.5 の a)～f)にている場合」とは、共同利用する事業者のうち、いずれかの事業者が実示す事項又はそれと同等以上の内容の事項，及び取得方法)を本人に通施することが求められる事項である。

知していることを確認する。例えば，コールセンター業務において，オd)の「以下の 1)～6)に示す事項又はそれと同等以上の内容の事項を、

ペレーターが顧客に通知し顧客の同意を取得する場合のマニュアルが整あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いてい備すること等が考えられる。

るとき」とは、共同利用する全ての事業者に対して求められる事項であ

※

・

・

審査項目２．は，「本人への通知書面(A.3.4.2.7)」及び，「個人情報のる。

特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳共同して利用する者の利用目的の変更を行う場合には、共同利用する事に記載されているが本人への通知及び同意の取得が行われていない個人

業者のうち、いずれかの事業者が J.8.6 で定める利用目的の変更の措置

情報の有無を確認する。確認の結果，本人への通知及び同意の取得を行を行うとともに、変更した内容については、共同利用する全ての事業者っていない場合は，当該個人情報が A.3.4.2.7 のただし書きに該当す

47 / 80

が、本人に通知し、又は本人が容易に知り得る状態に置くこと。
※

ることを確認する。

共同利用の実施においては、共同して利用する者の間で、共同して利用・する者の要件、各共同して利用する者の個人情報取扱責任者・問合せ担

審査項目３．は，審査項目２．において d)に該当しない場合の審査項目である。

当者及び連絡先、共同利用する個人情報の取扱いに関する事項、共同利用する個人情報の取扱いに関する取決めが遵守されなかった場合の措置、共同利用する個人情報に関する事件・事故が発生した場合の報告・連絡に関する事項、共同利用を終了する際の手続等をあらかじめ取り決
めておくことが望ましい。

J.8.8 個人データの提供に関する措置（A.3.4.2.8）

A.3.4.2.8 個人データの提供に関する措置

1. 個人データを第三者に提供する場合には、あらかじめ、本人に対し

1. 個人データを第三者に提供する場合には，あらかじめ，本人に対して，て、当該個人データを第三者に提供することに関して、J.8.5 の a)～

A.3.4.2.5 の a) ～d)に示す事項又はそれと同等以上の内容の事項，及d)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知

び取得方法を通知し，本人の同意を得ていること。

し、本人の同意を得ること。
2. 個人データを第三者に提供する場合に、本人に通知し、本人の同意を

2. 本人に通知し，本人の同意を得ることを要しない場合は，以下の場合に得ることを要しない場合は、以下の場合に限定すること。

限定していること。

a)J.8.5 の規定によって、個人データを第三者に提供することに関し

a)A.3.4.2.5 又は A.3.4.2.7 の規定によって，既に A.3.4.2.5 の a)～d)て、既に J.8.5 の a)～d)の事項又はそれと同等以上の内容の事項をの事項又はそれと同等以上の内容の事項を本人に明示又は通知し，本本人に明示し、本人の同意を得ているとき、又は J.8.7 の規定によ人の同意を得ているときって、既に J.8.5 の a)～d)の事項又はそれと同等以上の内容の事項

48 / 80

を本人に通知し、本人の同意を得ているときb)本人の同意を得ることが困難な場合であって、法令等が定める手続b)本人の同意を得ることが困難な場合であって，法令等が定める手続にに基づいた上で、次に示す事項又はそれと同等以上の内容の事項

基づいた上で，次に示す事項又はそれと同等以上の内容の事項を，あを、あらかじめ、本人に通知し、又はそれに代わる同等の措置を講らかじめ，本人に通知するか，又はそれに代わる同等の措置を講じてじているときいるとき

1)事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
2)第三者への提供を利用目的とすること

1)第三者への提供を利用目的とすること

3)第三者に提供される個人データの項目

2)第三者に提供される個人データの項目

4)第三者への提供の手段又は方法

3)第三者への提供の手段又は方法

5)本人の請求などに応じて当該本人が識別される個人データの第三

4)本人の請求などに応じて当該本人が識別される個人データの第三者者への提供を停止することへの提供を停止すること

6)取得方法5)取得方法7)本人からの請求などを受け付ける方法

6)本人からの請求などを受け付ける方法

8)その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
c)法人その他の団体に関する情報に含まれる当該法人その他の団体のc)法人その他の団体に関する情報に含まれる当該法人その他の団体の役

役員及び株主に関する情報であって、かつ、本人又は当該法人その員及び株主に関する情報であって，かつ，本人又は当該法人その他の他の団体自らによって公開又は公表された情報を提供する場合であ団体自らによって公開又は公表された情報を提供する場合であって，って、法令等が定める手続に基づいた上で、b)の 1)～8)で示す事項b)の 1)～6) で示す事項又はそれと同等以上の内容の事項を，あらか49 / 80

又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、じめ，本人に通知するか，又は本人が容易に知り得る状態に置いてい又は本人が容易に知り得る状態に置いているときるときd)特定した利用目的の達成に必要な範囲内において、個人データの取d)特定した利用目的の達成に必要な範囲内において，個人データの取扱扱いの全部又は一部を委託するとき

いの全部又は一部を委託するときe)合併その他の事由による事業の承継に伴って個人データを提供する

e)合併その他の事由による事業の承継に伴って個人データを提供する場場合であって、承継前の利用目的の範囲内で当該個人データを取り合であって，承継前の利用目的の範囲内で当該個人データを取り扱う

扱うとき

とき

f)個人データを共同利用している場合であって、共同して利用する者

f)個人データを共同利用している場合であって，共同して利用する者のの間で、J.8.7 に規定する共同利用について契約によって定めてい間で，A.3.4.2.7 に規定する共同利用について契約によって定めてい

るとき

るとき

g)J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合
3. 2 項 b)の適用に当たっては、以下の 1)～3)を除くこと。

g)A.3.4.2.3 のただし書き a)～d) のいずれかに該当する場合
3. 個人データを共同利用している場合，共同して利用する者の間で，

1)要配慮個人情報

A.3.4.2.7 に規定する共同利用について契約によって定めていること。

2)偽りその他不正の手段により取得されたデータ
3)個人情報保護法第二十七条第二項、又は J.8.8 の 2 項 b)により提供された個人データ（提供されたデータに対して、その全部又は一部を複製し、又は加工したものを含む）《留意事項》※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）・50 / 80

個人データに対する審査項目であっても，A.3.3.1 において特定した個において特定した個人情報については、当該要求事項の対象となる。
※

f)は、共同利用の実施に関する取決め（J.8.7 の留意事項）を持って代人情報については，個人データと同等に取り扱う。
・替してもよい。

審査項目１．の通知及び同意の取得については，書面による通知及び書面による同意の取得が原則である。

・

審査項目２．は，「本人への通知書面(A.3.4.2.8)」及び，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳に記載されているが本人への通知及び同意の取得が行われていない個人
情報の有無を確認する。確認の結果，本人への通知及び同意の取得を行っていない場合は，当該個人情報が A.3.4.2.8 のただし書きに該当することを確認する。

・

審査項目３．は，審査項目２．において f)に該当する場合の審査項目である。

J.8.8.1 外国にある第三者への提供の制限（A.3.4.2.8.1）

A.3.4.2.8.1 外国にある第三者への提供の制限

1. 外国にある第三者に個人データを提供する場合、以下のいずれかを満

1. 外国にある第三者に個人データを提供する場合，あらかじめ外国にあるたすこと。ただし、J.8.3 の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合はこれに限らない。

第三者への提供を認める旨の本人の同意を得ていること。
2. 本人の同意を要しないのは，A.3.4.2.3 の a)～d) のいずれかに該当すa)あらかじめ外国にある第三者への提供を認める旨の本人同意がある場合

る場合及びその他法令等によって除外事項が適用される場合に限定していること。

b)個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な

51 / 80

ものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供をする場合
c)個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第三者への提供をする場合
2. 1 項の a)によって外国にある第三者に個人データを提供する場合は、
あらかじめ、法令等の定めるところによって、次に掲げる事項について、当該本人に必要な情報を提供すること。
d)当該外国の名称e)当該外国における個人情報の保護に関する制度に関する情報
f)当該第三者が講ずる個人情報の保護のための措置に関する情報
g)d)～f)に定める事項が特定できない場合、その旨及びその理由h)g)に該当する場合であって、d)～f)の事項に代わる本人に参考となるべき情報がある場合には、当該情報
i)g)及び h)に該当する場合について情報提供できない場合には、g)及び h)に定める事項に代えて、その旨及びその理由
3. 1 項の b)によって外国にある第三者に個人データを提供する場合には、あらかじめ、法令等の定めるところによって、次に掲げる事項について、必要な措置を講じること。
j)当該第三者による相当措置の実施状況並びに相当措置の実施に影響

52 / 80

を及ぼすおそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による定期的な確認k)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止l)本人の求めを受けた場合には、情報提供することにより当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、
遅滞なく、以下の情報の提供
1)当該第三者による体制の整備の方法
2)当該第三者が実施する相当措置の概要
3)j)による確認の頻度及び方法
4)当該外国の名称
5)当該第三者による相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその概要
6)当該第三者による相当措置の実施に関する支障の有無及びその概要
7)前号の支障に関して、k)により講ずる措置の概要

4. 3 項の l)で、本人の求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知す

53 / 80るとともに、その理由を説明すること。
《留意事項》《留意事項》※

・

人情報については，個人データと同等に取り扱う。

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の対象となる。

個人データに対する審査項目であっても，A.3.3.1 において特定した個・審査項目２．は，「本人の同意書面」及び，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳(A.3.3.1)により，台帳に記載されているが本人の同意の取得が行われていない個人情報の有無を確認する。確認の結果，本人の同意の取得を行っていない場合は，当該個人情報がA.3.4.2.8.1 のただし書きに該当することを確認する。

J.8.8.2 第三者提供に係る記録の作成など（A.3.4.2.8.2）

A.3.4.2.8.2 第三者提供に係る記録の作成など

1. 個人データを第三者に提供したときは、当該個人データの提供につい1. 個人データを第三者に提供した場合，記録を作成，保管していること。

て必要な記録を作成すること。
2. 個人データを第三者に提供したときに、当該個人データの提供に関す

2. 記録を作成しなかったのは，A.3.4.2.3 の a)～d) のいずれかに該当す

る記録の作成を要しない場合を、以下の場合に限定すること。

る場合，又は以下の場合に限定していること。

a)特定した利用目的の達成に必要な範囲内において、個人データの取a)個人情報取扱事業者が利用目的の達成に必要な範囲内において個人デ扱いの全部又は一部を委託するとき

ータの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

b)合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り

54 / 80b)合併その他の事由による事業の承継に伴って個人データが提供される
場合

扱うとき
c)個人データを共同利用している場合であって、共同して利用する

c)特定の者との間で共同して利用される個人データが当該特定の者に提者の間で、J.8.7 に規定する共同利用について契約によって定めて供される場合であって，その旨並びに共同して利用される個人データ

いるときの項目，共同して利用する者の範囲，利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について，
あらかじめ，本人に通知するか，又は本人が容易に知り得る状態に置いているとき。

d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼす
おそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個人情報取扱事業者が学術研究機関等である場合であって、個人デ

55 / 80

ータを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
3. 個人データを第三者に提供したことに関する記録を作成した場合、当該記録を必要な期間保管すること。
4.

個人データを提供したときに、提供先が実施する第三者提供を受ける
際の確認等に対し、適切に応じること。

《留意事項》※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）・において特定した個人情報については、当該要求事項の対象となる。

個人データに対する審査項目であっても，A.3.3.1 において特定した個
人情報については，個人データと同等に取り扱う。

・

審査項目１．の「記録」に含める事項については，B.3.4.2.8.2 を参考にすることができる。

J.8.8.3 第三者提供を受ける際の確認など（A.3.4.2.8.3）

A.3.4.2.8.3 第三者提供を受ける際の確認など

56 / 80

1. 第三者から個人データの提供を受けるに際しては、必要な確認を行う

1. 第三者から個人データの提供を受けるに際しては，確認を行った記録をこと。

作成し,保管していること。

2. 第三者から個人データの提供を受けるに際して、確認を要しないの

2. 確認の記録を作成,保管していないのは，A.3.4.2.3 の a)～d)のいずれは、以下の場合に限定すること。

かに該当する場合，又は A.3.4.2.8.2 の a)～c)のいずれかに該当する

a)特定した利用目的の達成に必要な範囲内において、個人データの取場合に限定していること。

扱いの全部又は一部を委託されたとき
b)合併その他の事由による事業の承継に伴って個人データを提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき
c)個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7 に規定する共同利用について契約によって定めているとき
d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼす

57 / 80

おそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個⼈情報取扱事業者が学術研究機関等である場合であって、個⼈データを学術研究⽬的で提供する必要があるとき（個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）（個⼈情報取扱事業者と第三者が共同して学術研究を⾏う場合に限る。）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
3. 第三者から個人データの提供を受けるに際して確認を行ったときは、必要な記録を作成すること。
4.

第三者から個人データの提供を受けるに際して確認を行った記録は、必要な期間保管すること。

《留意事項》
・《留意事項》
58 / 80

個人データに対する審査項目であっても，A.3.3.1 において特定した個

※

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、当該要求事項の対象となる。

人情報については，個人データと同等に取り扱う。
・

審査項目１．の「記録」に含める事項については，B.3.4.2.8.3 を参考にすることができる。

J.8.8.4 個人関連情報の第三者提供の制限など［新設］

1. 個人関連情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を内部規程として文書化すること。
2. 第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供するに際しては、J.8.3の a)～d)、又は、J.8.3 の j)～l)のいずれかに該当する場合を除き、あらかじめ、次に掲げる事項又はそれと同等以上の内容の事項について、法令等の定めるところによって、確認を行うこと。
a)当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
b)外国にある第三者への提供にあっては、a)の本人の同意を得ようとする場合において、法令等で定めるところによって、以下の 1)～3)に示す事項について、あらかじめ、当該本人に提供されていること。
1)当該外国における個人情報の保護に関する制度

59 / 80

2)当該第三者が講ずる個人情報の保護のための措置
3)その他当該本人に参考となるべき情報
3. 個人関連情報を外国にある第三者に提供した場合には、J.8.8.1 で定めるところによって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じること。
4. 法令等の定めるところによって、以下の事項について、確認の記録を作成、保管すること。
《個人関連情報の提供元の確認の記録事項》
c) a)で本人の同意が得られていることを確認した旨及び外国にある
個人情報取扱事業者にあっては、b)で本人に情報の提供が行われていることを確認した旨
d)個人関連情報を提供した年月日e)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名f)当該個人関連情報の項目《個人関連情報の提供先の確認の記録事項》
g)a)で本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、b)で本人に情報の提供が行われている旨h)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代

60 / 80

表者の氏名i)当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本人を特定するに足りる事項j)当該個人関連情報の項目《留意事項》※

個人関連情報とは、生存する個人に関連する情報であって、個人情報、
仮名加工情報及び匿名加工情報のいずれにも該当しないものを指す。

※

2 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合を指す。
（提供先の第三者が、個人関連情報を直接個人デー
タに紐付けて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人データとして取得する」に該当しない）※

2 項の「想定される」とは、個人データとして取得することを現に想定している場合、又は一般人の認識（同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識）を基準として通常想定できる場合を指す。

※

a)で同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先であるが、同等の本人の権利利益の保護が図られることを前

61 / 80

提に、提供元が代行してもよい。
※

2 項は、個人関連情報の提供元が、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになるが、提供先の第三者から申告を受ける場合、提供元は、その申告内容を一般的な注意力をもって確認することで足りる。

J.8.9 匿名加工情報（A.3.4.2.9）

A.3.4.2.9 匿名加工情報

1. 匿名加工情報の取扱いを行うか否かの方針を定めること。

1. 匿名加工情報の取扱いを行うか否かの方針が存在すること。

2. 匿名加工情報を取り扱う場合には、法令等の定めるところによって、

2. 匿名加工情報を取り扱う場合，匿名加工情報の取扱いの手順を内部規程

以下の事項に関する適切な取扱いを行う手順を内部規程として文書化として文書化していること。

すること。
a)適切な加工方法の決定、及び加工の実施b)加工方法等情報の安全管理措置
c)匿名加工情報を作成、及び提供することに関する公表
d)匿名加工情報の取扱いにおいて識別行為を防止する措置e)匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置、及び当該措置の公表
3. 匿名加工情報を取り扱う場合には、定めた手順に従うこと。

《留意事項》《留意事項》

62 / 80

※

匿名加工情報とは、各区分ごとに定める措置を講じて特定の個人を識別・することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの

審査項目１．の「匿名加工情報の取扱いを行うか否かの方針」について
は，B.3.4.2.9 を参考にすることができる。

・

確認方法・エビデンスの「方針の有無」とは,方針を文書化した情報をを指す。

求めるものではなく，トップマネジメント等が方針を説明することでも一よい。

個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記・述等を復元することのできる規則性を有しない方法により他の記述

審査項目２．は，審査項目１．で匿名加工情報を取り扱う方針がある場
合に確認を行う。

等に置き換えることを含む。）。
二

同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。

※

匿名加工情報、及び加工方法等情報は、リスクアセスメントを実施した
上で適切な取扱いを行うこと。

※

e)については、取扱いのリスクを踏まえ実施すべきかを判断すること。

J.8.10 仮名加工情報［新設］

1. 仮名加工情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を内部規程として文書化すること。
2. 仮名加工情報を作成する場合には、他の情報と照合しない限り特定の63 / 80

個人を識別することができないようにするために必要なものとして、
個人情報保護委員会規則で定める基準に従い、個人情報を加工すること。
3. 仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じること。
4. 仮名加工情報を利用する場合には、以下を実施すること。
a)利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行うことb)あらかじめその利用目的を公表している場合及び法令に基づく場合
を除き、速やかに、その利用目的を公表すること
c)仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報
を他の情報と照合しないこと
d)電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないこと
5. 仮名加工情報を提供する場合には、以下の場合を除き、仮名加工情報

64 / 80

である個人データを第三者に提供しないこと。
e)仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措置を講じた上で委託する場合
f)仮名加工情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用する場合（J.8.5 の a)～f)に示す事項
又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、以下の 1)～6)に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く場合）
1)共同して利用すること
2)共同して利用される仮名加工情報の項目
3)共同して利用する者の範囲
4)共同して利用する者の利用目的
5)共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
6)取得方法g)合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合h)法令に基づく場合
6. 仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行うこ

65 / 80

と。
7. 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去すること。

《留意事項》※

仮名加工情報とは、各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報を指す。
一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二 同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

※

a)は、本人を識別しない、内部での分析・利用であることを条件とする
ことを含む。

※b)は、作成に用いた個人情報の利用目的とは異なる目的で利用する場合

66 / 80

に、利用目的の公表を行うこと。
※

7 項は、取扱いのリスクを踏まえ実施すべきかどうかを判断すること。

※

漏えい等の報告等については、J.4.4.2（緊急事態への準備）を踏まえて対応すること。

※

なお、以下は適用除外される。
・利用目的の変更（本人を識別しない、内部での分析・利用であることを前提に、新たな利用目的で利用可能）
・開示・利用停止の請求対応

J.9 適正管理（表題）［新設］

J.9.1 正確性の確保（A.3.4.3.1）

A.3.4.3.1 正確性の確保

1. 利用目的の達成に必要な範囲内において、個人データを、正確、か

1. 個人データを，正確，かつ，最新の状態で管理していること。

つ、最新の状態で管理すること。
2. 個人データの管理（利用する必要がなくなった場合の消去を含む。）※

2. 利用する必要がなくなった個人データの消去を含む管理を、規定に基づは、定めた手順に基づいて適切に行うこと。

いて適切に行っていること。

《留意事項》《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）・において特定した個人情報については、当該要求事項の対象となる。

個人データに対する審査項目であっても，A.3.3.1 において特定した個
人情報については，個人データと同等に取り扱う。

・67 / 80

審査項目２．では，「個人情報の特定に関する記録(A.3.5.3 a))」とし

ての台帳(A.3.3.1)に記載された保管期限が過ぎた個人情報について，「適正管理に関する規定(A.3.3.5 g))に定めた記録」(利用する必要がなくなったデータの消去記録 など)を確認する。

J.9.2 安全管理措置（A.3.4.3.2）

A.3.4.3.2 安全管理措置

1. 取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失又は1. 取り扱う個人情報の個人情報保護リスクに応じた安全管理措置を講じてき損の防止その他の個人情報の安全管理のために、法令に基づき必要いること。

かつ適切な措置を講じること。

《留意事項》※《留意事項》

必要かつ適切な安全管理措置とは、個人情報が漏えい等の緊急事態が発・生した場合に被る権利利益の侵害の大きさを考慮し、事業の規模及び性記録(A.3.5.3 c))」に記載された対策が，「内部規程(A.3.3.5 a)～o)を質、個人データの取扱状況、個人情報の性質及び量、記録した媒体の性含む)」に反映されていることを前提としている（A.3.3.3 審査項目

質等に起因するリスクに応じた必要かつ適切な措置を講じることをい３．参照）。

う。なお、この定義は個人情報保護法で定められている事項であり、必・要かつ適切な安全管理措置を講じていないことで法令に違反することがあることに留意する必要がある。
※

審査項目１．は，「個人情報保護リスクの認識，分析及び対策に関する確認方法・エビデンスの「内部規程に定めた措置の実施状況」は,現地審査時に現場を視察することにより確認する。

・

学術研究目的で行う個人データの取扱いについても、当該要求事項の対象となる。

68 / 80

附属書Ｃは安全管理措置を決定するための参考であり,審査項目１．は附属書Ｃに示す事項を一律に実施するよう求めるものではない。

J.9.3 従業者の監督（A.3.4.3.3）

A.3.4.3.3 従業者の監督

1. 個人データを取り扱う従業者に対して必要かつ適切な監督を行うこ

1. 個人データを取扱う従業者に対して必要かつ適切な監督を行っていること。

と。

《留意事項》
・

個人データに対する審査項目であっても，A.3.3.1 において特定した個
人情報については，個人データと同等に取り扱う。

J.9.4 委託先の監督（A.3.4.3.4）

A.3.4.3.4 委託先の監督

1. 個人データの取扱いの全部又は一部を委託する場合、十分な個人デー

1. 委託先選定基準に基づいて委託先を選定していること。

タの保護水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選定すること。
2. 個人データの取扱いの全部又は一部を委託する場合、特定した利用目

2. 委託先と，特定した利用目的の範囲内で委託契約を締結していること。

的の範囲内で委託契約を締結すること。
3. 次に示す事項が盛り込まれた契約を締結すること。

3. 次に示す事項が盛り込まれた契約を締結していること。

a)委託者及び受託者の責任の明確化

a)委託者及び受託者の責任の明確化

b)個人データの安全管理に関する事項

b)個人データの安全管理に関する事項

c)再委託に関する事項

c)再委託に関する事項

d)個人データの取扱状況に関する委託者への報告の内容及び頻度d)個人データの取扱状況に関する委託者への報告の内容及び頻度e)契約内容が遵守されていることを委託者が、定期的に、及び適宜にe)契約内容が遵守されていることを委託者が，定期的に，及び適宜に確69 / 80

認できる事項確認できる事項f)契約内容が遵守されなかった場合の措置

f)契約内容が遵守されなかった場合の措置g)事件・事故が発生した場合の報告・連絡に関する事項

g)事件・事故が発生した場合の報告・連絡に関する事項

h)契約終了後の措置h)契約終了後の措置

4. 全ての委託先を漏れなく特定すること。

4. 全ての委託先が漏れなく特定されていること。

5. 委託契約書は当該個人データの保有期間にわたって保存すること。

5. 委託契約書が当該個人データの保有期間にわたって保存されていること。
6. 委託契約に基づき，委託先を適切に監督していること。

6. 委託契約に基づき、委託先を適切に監督すること。

《留意事項》※《留意事項》

個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）・において特定した個人情報については、当該要求事項の対象となる。
※

委託先選定基準には、次の内容を含むこと。

人情報については，個人データと同等に取り扱う。
・・少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあること。

個人データに対する審査項目であっても，A.3.3.1 において特定した個

審査項目１．は，選定に先立ち委託先選定基準が「適正管理に関する規定(A.3.3.5 g))」に規定されていることが前提となる。

・・契約に規定する事項に対応可能なことを客観的に確認できること。

審査項目２．では，委託する業務の範囲が，委託する個人データの利用目的を超えていないことを確認する。委託する業務の範囲は，委託契約書により確認する。委託した個人データの利用目的は，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳等により確認する。

・

審査項目３．の b)，c)に含まれる事項については，B.3.4.3.4 を参考にすることができる。

70 / 80

・

審査項目５．では，委託契約期間終了後の個人データについて,その保有期間中の委託契約書の有無を確認する。個人データの保有期間は，「個人情報の特定に関する記録(A.3.5.3 a))」としての台帳等で確認する。

・

審査項目６．は，委託者が，委託契約書に規定された事項に基づき，委託先に対して契約内容が遵守されていることの確認を行っていることを確認するための審査項目である。よって，確認方法・エビデンスの「委託先の監督に関する記録」は，委託契約書に規定された事項に基づき確認する。

J.10 個人情報に関する本人の権利（表題）［新設］

J.10.1 個人情報に関する権利（A.3.4.4.1）

A.3.4.4.1 個人情報に関する権利

1. 保有個人データに関して、本人から開示等の請求等を受けた場合、

1. 本人から開示等の請求等を受け付けた場合，政令で定める期間以内に消J.10.4～J.10.7 の規定によって、遅滞なくこれに応じること。

去する個人情報も含めて，A.3.4.4.4～A.3.4.4.7 の規定によって,遅滞なくこれに応じていること。

2. J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本人から開示等の請求等を受けた場合、J.10.5 の規定によって、遅滞なくこれに応じること。
3. 保有個人データ又は第三者提供記録に当たらないものとして、次に掲

2. 保有個人データに当たらないものとして，次に掲げるいずれかに限定しげるいずれかに限定すること。

ていること。

71 / 80

a)当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、本人又は第三a) 当該個人データの存否が明らかになることによって，本人又は第三者の生命、身体又は財産に危害が及ぶお者の生命，身体又は財産に危害が及ぶおそれのあるもの

それのあるものb)当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、違法又は不当b) 当該個人データの存否が明らかになることによって，違法又は不当な行為を助長する、又は誘発するおそれな行為を助長する，又は誘発するおそれのあるもののあるもの
c)当該個人データ又は当該第三者提供記録の存否が明らかになること
によって，国の安全が害

c) 当該個人データの存否が明らかになることによって，国の安全が害されるおそれ、他国若しくは国際機関とされるおそれ，他国若しくは国際機関との信頼関係が損なわれるおの信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉

それ又は他国若しくは国際機関との交渉上不利益を被るおそれのあ上不利益を被るおそれのあるもの

るもの

d)当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、犯罪の予防、

d)当該個人データの存否が明らかになることによって，犯罪の予防，鎮鎮圧又は捜査その他の公共の安全及び秩

圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあ

序維持に支障が及ぶおそれのあるもの

るもの《留意事項》
・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目２．は，審査項目１．で開示等の請求等が発生したが対応していないものについて，A.3.4.4.1 の a)～d)のいずれかに該当すること

72 / 80

を確認する。

J.10.2 開示等の請求等に応じる手続（A.3.4.4.2）

A.3.4.4.2 開示等の請求等に応じる手続

1. 保有個人データ又は第三者提供記録の開示等の請求等に応じる手続と

1. 保有個人データの開示等の請求等に応じる手続として，次の事項が文書して、次の事項を文書化すること。

化されていること。

a)開示等の請求等の申出先a)開示等の請求等の申出先b)開示等の請求等に際して提出すべき書面の様式その他の開示等の請b)開示等の請求等に際して提出すべき書面の様式その他の開示等の請求

求等の方式

等の方式

c)開示等の請求等をする者が、本人又は代理人であることの確認の方

c)開示等の請求等をする者が，本人又は代理人であることの確認の方法

法d)J.10.4 又は J.10.5 による手数料（定めた場合に限る。）の徴収方法

d)A.3.4.4.4 又は A.3.4.4.5 による手数料(定めた場合に限る。)の徴収
方法

2. 保有個人データ又は第三者提供記録の開示等の請求等に応じる手続を

2. 保有個人データの開示等の請求等に応じる手続を定めるに当たっては，定めるに当たっては、本人に過重な負担を課するものとならないよう

本人に過重な負担を課するものとならないよう配慮していること。

配慮すること。
3. 本人からの請求などに応じる場合に、手数料を徴収するときは、実費

3. 本人からの請求などに応じる場合に，手数料を徴収するときは，実費をを勘案して合理的であると認められる範囲内において、その額を定め勘案して合理的であると認められる範囲内において，その額を定めてい

ること。

ること。

《留意事項》

73 / 80

・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目１．の「代理人」にあたる者については，B.3.4.4.2 を参考にすることができる。

J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など

A.3.4.4.3 保有個人データに関する事項の周知など（A.3.4.4.3）
1. 保有個人データ又は第三者提供記録に関して、次の事項を本人の知り

1. 保有個人データに関し，次の事項を本人の知り得る状態(本人の請求な得る状態（本人の請求などに応じて遅滞なく回答する場合を含む。）にどに応じて遅滞なく回答する場合を含む。)に置いていること。

置くこと。
a)組織の氏名又は名称及び住所並びに法人にあっては、その代表者のa)組織の氏名又は名称

氏名b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先b)個人情報保護管理者(若しくはその代理人)の氏名又は職名，所属及び連絡先c)全ての保有個人データの利用目的(J.8.4 の a)～c)までに該当する場合を除く。)

c)全ての保有個人データの利用目的(A.3.4.2.4 の a)～c) までに該当する場合を除く。)

d)保有個人データの取扱いに関する苦情の申出先d)保有個人データの取扱いに関する苦情の申出先e)当該組織が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先e)当該組織が認定個人情報保護団体の対象事業者である場合にあっては，当該認定個人情報保護団体の名称及び苦情の解決の申出先f)J.10.2 によって定めた手続

f)A.3.4.4.2 によって定めた手続

74 / 80g)保有個人データの安全管理のために講じた措置（本人の知り得る状
態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）《留意事項》
・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

J.10.4 保有個人データの利用目的の通知（A.3.4.4.4）

A.3.4.4.4 保有個人データの利用目的の通知

1. 本人から、当該本人が識別される保有個人データについて、利用目的

1. 本人から，当該本人が識別される保有個人データについて，利用目的のの通知を求められた場合、遅滞なくこれに応じること。

通知を求められた場合，遅滞なくこれに応じていること。

2. 本人から、当該本人が識別される保有個人データについて、利用目的

2. 本人から，当該本人が識別される保有個人データについて，利用目的のの通知を求められた場合であって、利用目的の通知を必要としないの通知を求められた場合であって，利用目的の通知を必要としないのは以は以下の場合に限定すること。

下の場合に限定していること。

・J.8.4 の a)～c)のいずれかに該当する場合

・A.3.4.2.4 のただし書き a)～c) のいずれかに該当する場合

・J.10.3 の c)によって当該本人が識別される保有個人データの利用目

・A.3.4.4.3 の c) によって当該本人が識別される保有個人データの利的が明らかな場合

用目的が明らかな場合

3. 2 項の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通3. A.3.4.4.4 のただし書きのいずれかに該当する場合，本人に遅滞なくそ知するとともに、理由を説明すること。

の旨を通知するとともに，理由を説明していること。

75 / 80

《留意事項》
・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目２．及び審査項目３．は，審査項目１．の確認の結果，保有個人データについて，利用目的の通知に応じなかった場合に確認する。

J.10.5 保有個人データ又は第三者提供記録の開示（A.3.4.4.5）

A.3.4.4.5 保有個人データの開示

1. 本人から、当該本人が識別される保有個人データ又は第三者提供記録

1. 本人から，当該本人が識別される保有個人データの開示の請求を受けたの開示の請求を受けた場合、法令によって特別の手続が定められてい場合，法令の規定によって特別の手続が定められている場合を除き，本る場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当人に対し，遅滞なく書面によって開示していること。

該本人が指定した方法（当該方法による開示に多額の費用を要する場
合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開示すること。
2. 本人から、当該本人が識別される保有個人データ又は第三者提供記録

2. 本人から，当該本人が識別される保有個人データの開示の請求を受けたの開示の請求を受けた場合であって、全部又は一部の開示を必要とし場合であって，全部又は一部の開示を必要としないのは以下の場合に限ないのは以下の場合に限定すること。

定していること。

a)本人又は第三者の生命、身体、財産その他の権利利益を害するおそa)本人又は第三者の生命，身体，財産その他の権利利益を害するおそれれがある場合がある場合

b)当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場
合b)当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合
c)法令に違反する場合

76 / 80

c)法令に違反する場合

3. A.3.4.4.5 のただし書きのいずれかに該当する場合，本人に遅滞なくそ

3. 1 項の当該本人が指定した方法について、当該方法による開示が困難の旨を通知するとともに，理由を説明していること。

であるとして、書面での交付とした場合、若しくは、2 項の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。

《留意事項》※《留意事項》

学術研究目的で行う保有個人データの取扱いも、本要求事項の対象とな・る。

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目２．及び審査項目３．は，審査項目１．の確認の結果，保有個人データの開示の請求に応じなかった場合に確認する。

J.10.6 保有個人データの訂正、追加又は削除（A.3.4.4.6）

A.3.4.4.6 保有個人データの訂正，追加又は削除

1. 本人から、当該本人が識別される保有個人データの訂正等（訂正、追1. 本人から，当該本人が識別される保有個人データの訂正等(訂正，追加

加又は削除）の請求を受けた場合、法令の規定により特別の手続が定又は削除)の請求を受けた場合，法令の規定により特別の手続が定めらめられている場合を除き、利用目的の達成に必要な範囲内において、れている場合を除き，利用目的の達成に必要な範囲内において，遅滞な遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人デー

く必要な調査を行い，その結果に基づいて，当該保有個人データの訂正

タの訂正等を行うこと。

等を行っていること。

2. 本人から保有個人データの訂正等の請求を受けて訂正等を行った場合

2. 本人から保有個人データの訂正等の請求を受けて訂正等を行った場合は、その旨及びその内容を本人に遅滞なく通知すること。

は，その旨及びその内容を本人に遅滞なく通知していること。

77 / 80

3. 本人から保有個人データの訂正等の請求を受けたが応じなかった場

3. 本人から保有個人データの訂正等の請求を受けたが応じなかった場合，合、その旨及びその理由を本人に遅滞なく通知すること。

その旨及びその理由を本人に遅滞なく通知していること。
《留意事項》
・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目２．は，審査項目１．の確認の結果，保有個人データの訂正等の請求に応じた場合に確認する。

・

審査項目３．は，審査項目１．の確認の結果，保有個人データの訂正等の請求を受けたがこれに応じなかった場合に確認する。

J.10.7 保有個人データの利用又は提供の拒否権（A.3.4.4.7）

A.3.4.4.7 保有個人データの利用又は提供の拒否権

1. 本人から当該本人が識別される保有個人データの利用停止等（利用の1. 本人から当該本人が識別される保有個人データの利用停止等(利用の停停止、消去又は第三者への提供の停止）の請求に応じること。

止，消去又は第三者への提供の停止)の請求に応じていること。

2. 本人からの当該本人が識別される保有個人データの利用停止等の請求

2. 本人からの当該本人が識別される保有個人データの利用停止等の請求にに応じた場合、遅滞なくその旨を本人に通知すること。

応じた場合，遅滞なくその旨を本人に通知していること。

3. 本人からの当該本人が識別される保有個人データの利用停止等の請求

3. 本人からの当該本人が識別される保有個人データの利用停止等の請求にに応じなかった場合は J.10.5 の a)～c)に該当する場合に限定するこ

応じなかった場合は A.3.4.4.5 の a)～c)に該当する場合に限定してい

と。

ること。

4. J.10.5 の a)～c)のいずれかに該当する場合、本人に遅滞なくその旨通4. A.3.4.4.5 の a)～c)のいずれかに該当する場合，本人に遅滞なくその旨知するとともに、理由を説明すること。

を通知するとともに，理由を説明していること。

78 / 80

《留意事項》
・

保有個人データに対する審査項目であっても，A.3.4.4.1 に定めた個人情報については，保有個人データと同等に取り扱う。

・

審査項目２．は，審査項目１．の確認の結果，保有個人データの訂正等の請求に応じた場合に確認する。

・

審査項目３．は，審査項目１．の確認の結果，保有個人データの訂正等の請求を受けたがこれに応じなかった場合に確認する。

J.11 苦情及び相談への対応（表題）［新設］

J.11.1 苦情及び相談への対応（A.3.6）

A.3.6 苦情及び相談への対応

1. 個人情報の取扱い及び個人情報保護マネジメントシステムに関して、

1. 個人情報の取扱い及び個人情報保護マネジメントシステムに関して，本本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行う手

人からの苦情及び相談を受け付けて，適切かつ迅速な対応を行う手順が順が内部規程として文書化すること。

内部規程として文書化されていること。

2. 苦情及び相談への対応を実施すること。

2. 苦情及び相談への対応を実施していること。

3. 苦情の申立て先を、本人にとって明確にすること。

3. 苦情の申立て先が，本人にとって明確であること。

4. 認定個人情報保護団体の対象事業者となっている場合は、当該団体の4. 認定個人情報保護団体の対象事業者となっている場合は，当該団体の苦苦情解決の申出先も明示すること。

情解決の申し出先も明示していること。

5. 本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行うた

5. 本人からの苦情及び相談を受け付けて，適切かつ迅速な対応を行うためめの体制を整備すること。

の体制の整備を行っていること。

79 / 80

《留意事項》
・

審査項目３．は，A.3.4.4.3 の d) について，苦情の申立て先を明確にする措置が取られていることにより確認する。

・

審査項目４．は，A.3.4.4.3 の e) について，認定個人情報保護団体の苦情解決の申し出先を明確にする措置が取られていることにより確認する。

80 / 80