2023 年 12 月 25 日制定
一般財団法人日本情報経済社会推進協会(JIPDEC)
プライバシーマーク推進センター
プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023 準拠 ver1.0】
本指針の位置づけ
本指針は、「プライバシーマーク制度基本綱領」第 7 条 4 項に規定する「指針」であり、事業者がプライバ
シーマーク制度において個人情報保護マネジメントシステムを構築、実施、改善、維持するために必要な事項を定めるものである。
本指針は、JIS Q 15001 や法令、国が定める指針その他の規範を踏まえ、付与機関が定める事業者向けの指針としてより解り易くすることを目的として作成した。
本指針の見方· 各要求事項は、項番（J から始まる番号）と表題（タイトル）で構成される。
✓ 表題の末尾のカッコ書きに示された記号は、JIS Q 15001:2023 の要求事項との対応を示すものである。
· 各要求事項は表形式で示されており、「No.」、「項目」、「参照項番」、「留意事項」から構成される。
✓ 「項目」とは、当該項番の要求事項（実施すべき内容）を示すものである。
✓ 「参照項番」とは、当該項目の要求事項に対し、他の項目を踏まえて対応する必要があるものについて、その項番を示すものである。
✓ 「留意事項」とは、当該項目の要求事項について、必要に応じて補足説明するものである。
適用範囲
本指針は、事業者が、自らの事業の用に供している個人情報に関して、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善するための要求事項について定める。本指針で定める要求事項は、事業の種類又は事業者の規模を問わず、全ての事業者に適用できることを意図している。この事業者は、個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下、「個人情報保護法」という。
）に定める個人情報取扱事業者、及び個人情報取扱事業者に準じる者（個人関連情報取扱事業者、仮名加工情報取扱事業者及び匿名加
工情報取扱事業者、並びに個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者による個人情報、仮名加工情報又は個人関連情報の取扱いとみなされる業務を行う範囲の者）を意味する。
（「事業の用に供している」の「事業」とは、一般社会通念上事業と認められるものをいい、営利事業だけを対象とする
ものではない。このため、例えば従業者の個人情報は、事業の用に供している個人情報である。）
準拠する規格
本指針は JIS Q 15001:2023 に準拠している。
用語及び定義（表題）
本指針で用いる主な用語及び定義は、JIS Q 15001:2023、及び個人情報保護法で用いられている表現に基づいている。

1 / 65

改訂履歴
版
1.0

制定・改定日2023 年 12 月 25 日

項番
－

位置

改定箇所・理由
JIS Q 15001 の改訂に伴う、全面見直し。

－

2 / 65

施行日
2024 年 10 月 1 日

目次
J.1

組織の状況（表題）…………………………………………………………………………………………………………………P.4～8
J.1.1 組織及びその状況の理解
J.1.2 利害関係者のニーズ及び期待の理解
J.1.3 法令、国が定める指針その他の規範
J.1.4 個人情報保護マネジメントシステムの適用範囲の決定
J.1.5 個人情報保護マネジメントシステム
J.2 リーダーシップ（表題）……………………………………………………………………………………………………………P.9～13
J.2.1 リーダーシップ及びコミットメント
J.2.2 個人情報保護方針
J.2.3.1 組織の役割、責任及び権限
J.2.3.2 個人情報保護管理者と個人情報保護監査責任者
J.2.4 管理目的及び管理策（一般）
J.3 計画（表題）…………………………………………………………………………………………………………………………P.14～20
J.3.1.1 個人情報の特定
J.3.1.2 リスク及び機会に対処する活動
J.3.1.3 個人情報保護リスクアセスメント
J.3.1.4 個人情報保護リスク対応
J.3.2 個人情報保護目的及びそれを達成するための計画策定
J.3.3 計画策定
J.3.4 変更の計画策定
J.4 支援（表題）…………………………………………………………………………………………………………………………P21～30
J.4.1 資源J.4.2 力量
J.4.3 認識J.4.4.1 コミュニケーション
J.4.4.2 緊急事態への準備
J.4.5.1 文書化した情報（一般）
J.4.5.2 文書化した情報の管理
J.4.5.3 文書化した情報（記録を除く）の管理
J.4.5.4 内部規程
J.4.5.5 文書化した情報のうち、記録の管理
J.5 運用（表題）………………………………………………………………………………………………………………………………P31
J.5.1 運用
J.6 パフォーマンス評価（表題）………………………………………………………………………………………………………P32～34
J.6.1 監視、測定、分析及び評価
J.6.2 内部監査
J.6.3 マネジメントレビュー
J.7 改善（表題）…………………………………………………………………………………………………………………………P35～36
J.7.1 不適合及び是正処置
J.7.2 継続的改善
J.8 取得、利用及び提供に関する原則（表題）………………………………………………………………………………………P37～53
J.8.1 利用目的の特定
J.8.2 適正な取得
J.8.3 要配慮個人情報などの取得
J.8.4 個人情報を取得した場合の措置
J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置
J.8.6 利用に関する措置
J.8.7 本人に連絡又は接触する場合の措置
J.8.8 個人データの提供に関する措置
J.8.8.1 外国にある第三者への提供の制限
J.8.8.2 第三者提供に係る記録の作成等
J.8.8.3 第三者提供を受ける際の確認等
J.8.8.4 個人関連情報の第三者提供の制限等
J.8.9 匿名加工情報
J.8.10 仮名加工情報
J.9 適正管理（表題）……………………………………………………………………………………………………………………P54～57
J.9.1 正確性の確保
J.9.2 安全管理措置
J.9.3 従業者の監督
J.9.4 委託先の監督
J.10 個人情報に関する本人の権利（表題）…………………………………………………………………………………………P58～64
J.10.1 個人情報に関する権利
J.10.2 開示等の請求等に応じる手続
J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など
J.10.4 保有個人データの利用目的の通知
J.10.5 保有個人データ又は第三者提供記録の開示
J.10.6 保有個人データの訂正、追加又は削除
J.10.7 保有個人データの利用又は提供の拒否
J.11 苦情及び相談への対応（表題）…………………………………………………………………………………………………………P65
J.11.1 苦情及び相談への対応

3 / 65

J.1 組織の状況（表題）J.1.1 組織及びその状況の理解（4.1）
項目No.
1
事業者は、個人情報を取り扱う事業に関して、個人情報保護マネジメントシス
テムに影響を与えるような外部及び内部の課題を特定すること。

参照項番
J.1.2（4.2）
J.1.3（4.1）
J.4.1（7.1）<<留意事項>>※ 「個人情報保護マネジメントシステムに影響を与えるような外部及び内部の課題を特定すること」とは、個
人情報の取扱いに関する法令、国が定める指針その他の規範、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源（人員・組織基盤・資金）、セキュリティ対策等の観点から、現状
のみならず、将来実施するであろう事業を踏まえて洗い出すことを求めている。

4 / 65

J.1.2 利害関係者のニーズ及び期待の理解（4.2）
項目
参照項番
No.
1
事業者は、次の事項を特定すること。
J.1.3（4.1）a)個人情報保護マネジメントシステムに関連する利害関係者
b)その利害関係者の、個人情報保護に関連する要求事項<<留意事項>>※ 利害関係者とは、本人及び個人情報保護マネジメントシステムに関連する個人、事業者及び団体（委託元（及び委託元の顧客）、委託先）等を指す。
※ 利害関係者の要求事項には、法令、官公庁等のガイドライン、事業者の所属団体による自主規制、商慣習に基づき遵守が求められる事項、取引先等との間の契約上の義務等を含めてもよい。

5 / 65

J.1.3 法令、国が定める指針その他の規範（4.1）
項目
参照項番
No.
1
事業者は、個人情報の取扱いに関する法令、国が定める指針その他の規範（以下、 J.2.4（4.4）
「法令等」という。
）を特定し参照する手順を内部規程として文書化すること。 J.4.5.4（7.5.1.1）
2
法令等を特定し参照すること。
<<留意事項>>※ 参照とは、特定した法令等の内容を事業者が遵守することを含む。

6 / 65

J.1.4 個人情報保護マネジメントシステムの適用範囲の決定（4.3）
項目
参照項番
No.
1
事業者は、自らの事業の用に供している全ての個人情報の取扱いを個人情報保護
マネジメントシステムの適用範囲として定め、その旨を文書化すること。
2
文書化した情報を利用可能な状態にすること。
<<留意事項>>※ 自らの事業の用に供している仮名加工情報、匿名加工情報、及び個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）においても、個人情報保護マネジメントシステムの適用範囲として定めること。

7 / 65

J.1.5 個人情報保護マネジメントシステム（4.4）
項目No.
1
事業者は、本指針に従って、必要なプロセス及びそれらの相互作用を含む、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、継続的に改善すること。
<<留意事項>>8 / 65

参照項番
J.1～J.11

J.2 リーダーシップ（表題）
J.2.1 リーダーシップ及びコミットメント（5.1）
項目
参照項番
No.
1
トップマネジメントは、次の事項について統率し、その結果について責任を持つ J.1.2（4.2）
こと。
J.1.5（4.4）a)事業者の戦略的な方向性と両立した、個人情報保護方針及び個人情報保護目的 J.2.2（5.2.1、5.2.2）を確立する。
J.2.3.1（5.3.1）b)個人情報保護マネジメントシステムの要求事項を事業者の業務手順に適切に組 J.3.2（6.3）
み入れる。
J.4.1（7.1）c)個人情報保護マネジメントシステムに必要な資源を確保する。
J.4.3（7.3）d)有効な個人情報保護マネジメント及び個人情報保護マネジメントシステム要求 J.5.1（8.1、8.2、8.3）
事項への適合の重要性を利害関係者に周知する。
J.7.2（10.1）e)個人情報保護マネジメントシステムを適切に運用できるようにする。
f)個人情報保護マネジメントシステムが計画通りに実施できるように、従業者を指揮･支援する。
g)継続的改善を促進する。
h)その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポートする。
<<留意事項>>※ トップマネジメントとは、最高位で事業者を指揮し、管理する個人又は人々の集まりのことで、事業者内で権限を委譲し、資源を提供する力を持つ者である。典型的には、代表者や、事業者内において権限を有する
取締役以上の役職を指す。
※ 個人情報保護目的とは、個人情報保護方針を達成するための目的ないし目標として、全社的若しくは部門毎等に定めるものである。
※ 利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。
※ 従業者とは、事業者の組織内にあって、直接若しくは間接に、組織の指揮監督を受けて組織の業務に従事している者などをいう。これには、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員など）だけでなく、雇用関係にない従事者（取締役、執行役、理事、監査役、監事、派遣社員など）も含まれる。

9 / 65

J.2.2 個人情報保護方針（5.2.1、5.2.2）
項目
参照項番
No.
1
トップマネジメントは、次の事項を考慮して、個人情報保護方針を策定すること。 J.1.3（4.1）a)事業の目的に対して適切であること。
J.2.4（4.4）b)J.2.1 で定めた個人情報保護目的を含むか、又は個人情報保護目的の設定のため J.3.2（6.3）の枠組みを示すこと。
J.7.1（10.2）c)個人情報保護に関連して適用される要求事項を実施すること。
J.7.2（10.1）
d)個人情報保護マネジメントシステムの継続的改善を実施すること。
J.9.2（A.10）
J.11.1 （ 7.4.2 、
2
個人情報保護方針を文書化した情報には、次の事項を含むこと。
a)事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関する A.26）
こと［特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、「目的外利用」という。
）を行わないこと及びそのための措置を講じることを含む。
］
b)個人情報の取扱いに関する法令、国が定める指針その他の規範の遵守
c)個人情報の漏えい、滅失又は毀損の防止及び是正に関する事項
d)苦情及び相談への対応に関する事項
e)個人情報保護マネジメントシステムの継続的改善に関する事項
f)トップマネジメントの氏名g)制定年月日及び最終改正年月日h)個人情報保護方針の内容についての問合せ先
3
トップマネジメントは、個人情報保護方針を文書化した情報を、事業者内に周知するとともに、一般の人が入手可能な措置を講じること。
<<留意事項>>10 / 65

J.2.3.1 組織の役割、責任及び権限（5.3.1）
項目No.
1
トップマネジメントは、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果を利害関係者に周知すること。
2
責任及び権限を、次の事項を実施するために割り当てること。
a)個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。
b)個人情報保護マネジメントシステムの運用の成果をトップマネジメントに報告させる。
3
役割及び役割に対する責任及び権限を、内部規程として文書化すること。
<<留意事項>>※ 利害関係者とは、従業者を指す。

11 / 65

参照項番
J.2.3.2（5.3.2）
J.4.1（7.1）
J.4.2（7.2）
J.4.5.4（7.5.1.1）

J.2.3.2 個人情報保護管理者と個人情報保護監査責任者（5.3.2）
項目No.
1
トップマネジメントは、本指針の内容を理解し実践する能力のある個人情報保護
管理者を事業者内部に属する者の中から指名し、個人情報保護マネジメントシス
テムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせること。
2
個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、トップマネジメントに個人情報保護マネジメントシステムの運用状
況を報告すること。
3
トップマネジメントは、公平、かつ、客観的な立場にある個人情報保護監査責任者を事業者内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせること。
4
個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、トップマネジ
メントに報告すること。
5
監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保すること。
<<留意事項>>※ 個人情報保護管理者と個人情報保護監査責任者とは異なる者であること。

12 / 65

参照項番
J.2.3.1（5.3.1）
J.2.4（4.4）
J.4.1（7.1）
J.4.2（7.2）
J.6.2（9.2.1、9.2.2）

J.2.4 管理目的及び管理策（一般）
（4.4）
項目
No.
1
管理策について、トップマネジメント又はトップマネジメントによって権限が与えられた者によって、事業者が定めた手段に従って承認すること。

参照項番<<留意事項>>※ 管理策とは、本指針に定める事項のうち、個人情報保護リスク対策に関する事項及び事業者が必要であると決定した事項が対象となり、リスクを修正するためのあらゆるプロセス、方針、実務、その他の処置を含む。

13 / 65

J.3 計画（表題）
J.3.1.1 個人情報の特定（6.1）
項目
参照項番
No.
1
自らの事業の用に供している全ての個人情報を特定するための手順を内部規程 J.1.4（4.3）
として文書化すること。
J.2.4（4.4）
J.4.5.4（7.5.1.1）
2
個人情報を管理するための台帳を整備すること。
J.8.8.4（A.18）
3
台帳には、少なくとも次の項目を含むこと。
J.8.9（A.28）
・個人情報の項目
J.8.10（A.27）
・利用目的
・保管場所
・保管方法
・アクセス権を有する者
・利用期限
・保管期限
・管理する個人情報の件数（概数でも可）
4
台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認し、最新の状態で維持すること。
<<留意事項>>※ 当該要求事項の目的は、事業の用に供する全ての個人情報を特定し、その取扱い状況を把握することにある。
台帳の整備はそのための手段であって、目的ではない。
※ 自らの事業の用に供している仮名加工情報、匿名加工情報、及び個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）においても、当該要求事項に基づいて実施すること。

14 / 65

J.3.1.2 リスク及び機会に対処する活動（一般）（6.2.1）
項目No.
1
事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクアセスメント及び個人情報保護リスク対応を行うこと。
a)事業者が意図した成果を達成できるようなマネジメントシステムの策定b)望ましくない影響の防止
c)個人情報保護マネジメントシステムの継続的な改善
2
事業者は、個人情報保護マネジメントシステムの計画の策定に当たって、次の事
項を含むこと。
d)リスクに対する対策の内容
e)d)の対策を個人情報保護マネジメントシステムの手順に含めて実施する方法
f)d)の対策の評価<<留意事項>>15 / 65

参照項番
J.1.1（4.1）
J.1.2（4.2）

J.3.1.3 個人情報保護リスクアセスメント（6.2.1、6.2.2）
項目
参照項番
No.
1
事業者は、個人情報保護リスクについて、次の事項を踏まえて、個人情報保護リ J.2.4（4.4）
スクアセスメント（個人情報保護リスクを特定、分析及び評価）をするための手 J.3.1.1（6.1）
順を定め、かつ実施すること。定めた手順及び実施した内容については、少なく J.3.1.2（6.2.1）
とも年一回、及び必要に応じて適宜に見直すこと。
J.4.5.4（7.5.1.1）
a)次の観点を、個人情報保護のリスク基準とする。
1)本人の権利利益の侵害
2)本指針に定める事項
3)法令及び国が定める指針その他の規範に関する事項
4)個人情報の漏えい、紛失、滅失・毀損、改ざん、正確性の未確保、不正・不適
正取得、目的外利用・提供、不正利用、開示等の求め等の拒否に関する事項
b)繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にする。
c)個人情報保護リスクを特定する。
1)事業者において、事業毎に、個人情報の取扱いを特定する。
2)個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する。
3)上記で特定したリスクのリスク所有者を特定する。
d)個人情報保護リスクを分析・評価する。
1)c)で特定したリスクと、a)のリスク基準とを比較する。
2)リスク対応の優先順位を明らかにする。
2
事業者は、個人情報保護のリスクを特定、分析及び評価をするための手順を内部規程として文書化すること。
3
文書化した情報を利用可能な状態にすること。
<<留意事項>>※ 個人情報保護リスクとは、個人情報の取扱いの各局面（個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄等に至る個人情報の取扱いの一連の流れ）において、適正な保護措置を講じない場合に想定されるリスクを指す。
※ 個人情報保護リスクは、例えば以下の観点において特定することができる。
➢ 個人情報ライフサイクル➢ 個人情報の性質➢ 個人情報に係る情報処理施設及び個人情報に係る情報システム（あらゆる情報処理のシステム、サービ
ス若しくは基盤、又はこれらを収納する物理的場所）➢ 事業者が既に講じている安全管理措置※ リスク所有者とは、当該リスクに関して対応を行う責任及び権限を有する者を指す。

16 / 65

J.3.1.4 個人情報保護リスク対応（6.2.1、6.2.3）
項目
参照項番
No.
1
事業者は、次の事項について、個人情報保護リスクへの対応手順を内部規程とし J.2.4（4.4）て文書化し、かつ実施すること。定めた手順及び実施した内容については、適宜 J.3.1.1（6.1）
見直すこと。
J.3.1.2（6.2.1）
a)個人情報保護リスクへの対応に当たっては、個人情報保護リスクアセスメント J.3.1.3（6.2.1、6.2.2）の結果を考慮して、必要な対応策（本指針及び事業者が必要であると決定した、 J.4.5.4（7.5.1.1）
個人情報保護に関するリスクを修正する対策を含む。）を策定すること。
b)a)を踏まえて、個人情報保護リスクへの対応計画を策定し、実施すること。
c)個人情報保護リスクへの対応計画及び実施した内容（現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理することを含む。
）について、原則として、トップマネジメントの承認を得ること。
2
事業者は、a)～c)を実施した記録を利用可能な状態にすること。
<<留意事項>>※ 残留リスクとは、リスク対応後に残っているリスクのことであり、受容するリスク（放置しておいてよいリスク）ではなく、現時点では困難であるが、短期的若しくは中長期的に対応していくリスクのことである。
なお、個人情報の不適切な取扱い（不正な取得・利用など）に関するリスクについては、法令遵守の観点から、全て対応する必要があるため、残留リスクとすることは認められない。
※ 残留リスクの管理とは、残留リスクについて文書化し、モニタリングし、レビューし、対応可能となった場
合に追加的対応の対象とすること等を指す。なお、残留リスクは、個人情報保護リスクの定期的な見直しを通じて、適切に管理することが重要となる。

17 / 65

J.3.2 個人情報保護目的及びそれを達成するための計画策定（6.3）
項目
参照項番
No.
1
事業者は、次の事項を含めて、個人情報保護目的を達成するために計画すること。 J.4.1（7.1）a)実施事項b)必要な資源c)責任者d)達成期限e)結果の評価方法<<留意事項>>※ 個人情報保護目的を達成するために必要となる計画は、J.3.3（計画策定）において、J.2.2（個人情報保護方針）、及び J.3.1.3（個人情報保護リスクアセスメント）の結果を踏まえて、本項の a)～e)を含めて策定すること。

18 / 65

J.3.3 計画策定（6.3）
項目No.
1
事業者は、個人情報保護マネジメントシステムを確実に実施するために、次の事
項を含めて、少なくとも年一回、及び必要に応じて適宜に必要な計画を立案し、文書化すること。
a)教育実施計画b)内部監査実施計画<<留意事項>>19 / 65

参照項番
J.2.4（4.4）
J.3.2（6.3）
J.4.3（7.3）
J.6.2（9.2.1、9.2.2）

J.3.4 変更の計画策定（6.4）
項目No.
1
事業者は、個人情報保護マネジメントシステムの変更の必要性に関する決定をしたとき、その変更を計画すること。
<<留意事項>>20 / 65

参照項番J.4 支援（表題）J.4.1 資源（7.1）
項目No.
1
事業者は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供すること。

参照項番
J.1.2（4.2）
J.2.3.1（5.3.1）<<留意事項>>※ 資源とは、人員、組織基盤（規程、体制、施設・設備など）、資金などを指す。
※ 利害関係者とは、J.1.2（利害関係者のニーズ及び期待の理解）で特定したものである。

21 / 65

J.4.2 力量（7.2）
項目
参照項番
No.
1
事業者は、次の事項を行うこと。
J.2.3.1（5.3.1）a)事業者の個人情報保護に影響を与える業務をその管理下で遂行する者に対し J.4.3（7.3）て、個人情報保護の観点から、従業者に必要とされる能力を決定する。
J.4.5.5（7.5.1.2）b)a)の者に対して、a)で決定した能力及び J.4.3 を充足するための処置を行い、必要な能力を備えることを確実にする。
c)b)を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価する。
d)a)～c)を実施した記録を利用可能な状態にする。
<<留意事項>>※ a)で決定した能力及び J.4.3 を充足するための処置とは、例えば、現在雇用している者に対する、教育訓練の機会提供、指導の実施、配置転換の実施などがあり、また、力量を備えた者の雇用、そうした者との契約締結などもある。

22 / 65

J.4.3 認識（7.3）
項目No.
1
事業者は、従業者に対して、少なくとも年一回、及び必要に応じて適宜に教育を実施する手順（教育の理解度を確認する手順を含む。）を内部規程として文書化すること。
2
事業者は、従業者に対して、次の事項を認識させること。
a)個人情報保護方針b)個人情報保護マネジメントシステムに適合することの重要性及び利点
c)個人情報保護マネジメントシステムに適合するための役割及び責任d)個人情報保護マネジメントシステムに違反した際に予想される結果<<留意事項>>※ 本項は、J.4.2（力量）と一体として捉えること。

23 / 65

参照項番
J.2.2（5.2.1、5.2.2）
J.2.4（4.4）
J.4.2（7.2）
J.4.5.4（7.5.1.1）

J.4.4.1 コミュニケーション（7.4.1）
項目
参照項番
No.
1
事業者は、個人情報保護マネジメントシステムを構築・運用するにあたり、次の J.1.2（4.2）
事項を考慮して、内外の利害関係者と意思疎通や情報共有を行うこと。
a)コミュニケーションの内容（何を伝達するか。
）
b)コミュニケーションの実施時期
c)コミュニケーションの対象者
d)コミュニケーションの実施者
e)コミュニケーションの実施手順
f)コミュニケーションの実施方法<<留意事項>>※ コミュニケーションとは、平常時における、本人を含む外部とのコミュニケーション（個人情報保護方針の公表、本人からの開示等の請求等への対応、苦情及び相談への対応等）及び内部とのコミュニケーション（報告・連絡・相談・承認等）や、緊急時における対応（主に、緊急事態への準備（J.4.4.2））がある。

24 / 65

J.4.4.2 緊急事態への準備（7.4.3、A.13）
項目
参照項番
No.
1
事業者は、緊急事態が発生した場合に報告等が必要となる関係機関及び利害関 J.2.4（4.4）
J.4.4.1（7.4.1）
係者をあらかじめ特定すること。
2
個人情報保護リスクを考慮し、その影響を最小限とするため、緊急事態を特定す J.4.5.4（7.5.1.1）
るための手順、及び特定した緊急事態にどのように対応するかの手順を内部規程として文書化すること。
3
緊急事態への準備及び対応に関する規定には、緊急事態が発生した場合に備え、次の事項を対応手順に含むこと。
a)緊急事態が発生した個人情報の内容を本人に速やかに通知すること。
b)二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、
発生原因及び対応策を、遅滞なく公表すること。
c)事実関係、発生原因及び対応策を、関係機関及び利害関係者に直ちに報告すること。
4
緊急事態が発生した場合、定めた手順に従って緊急事態への対応を実施すること。
<<留意事項>>※ 緊急事態へ対応する際は、事態の把握と調査が重要となる。十分な調査を行うことを前提に、調査後の対応手順を定めることを本項は求めている。
※ 緊急事態とは、個人情報保護リスク（J.3.1.3 の留意事項を参照）の脅威（事業者や本人等に損害を与える可能性がある、望ましくないインシデント（事故等）の潜在的な要因）が顕在化した状況を指す。
※ 関係機関とは、以下に該当するものを指す。
➢ プライバシーマーク付与機関（プライバシーマーク付与事業者は審査を受けた審査機関へ報告し、報告を受けた審査機関はその旨付与機関へ報告する）➢ 個人情報保護委員会（個人情報保護法に基づき、個人情報保護委員会の権限が事業所管大臣に委任されている分野で漏えい等事案が発覚した場合は、その指定された報告先に代える）➢ その他、法令で定められている報告先 等※ 関係機関（プライバシーマーク付与機関を除く）への具体的な報告等は、法令等に基づいて実施すること。
※ 利害関係者とは、委託元/委託先、企業グループ各社等を指す。
※ a)について、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。

25 / 65

J.4.5.1 文書化した情報（一般）（7.5.1）
項目No.
1
個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成すること。
a)個人情報保護方針b)内部規程c)内部規程に定める手順上で使用する様式
d)計画書
e)本指針が要求する記録f)その他、事業者が個人情報保護マネジメントシステムを実施する上で必要と判断した文書（記録を含む。
）<<留意事項>>26 / 65

参照項番
J.2.2（5.2.1、5.2.2）
J.2.4（4.4）
J.3.2（6.3）
J.3.3（6.3）
J.4.5.4（7.5.1.1）
J.4.5.5（7.5.1.2）

J.4.5.2 文書化した情報の管理（7.5.3）
項目No.
1
個人情報保護マネジメントシステム及び本指針で要求されている文書化した情報は、次の事項を確実にするために管理すること。
a)必要な時に、必要な所で、入手可能かつ利用に適した状態である。
b)十分に保護されている（例えば、機密性の喪失、不適切な使用及び完全性の喪失からの保護）。
2
文書化した情報の管理に当たっては、次の事項を実施すること。
c)配付、アクセス、検索及び利用
d)読みやすさが保たれることを含む、保管及び保存e)変更の管理（例えば、版の管理）f)保持及び廃棄3
個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理すること。

参照項番
J.4.5.1（7.5.1）
J.4.5.5（7.5.1.2）<<留意事項>>※ アクセスとは、文書化した情報の閲覧だけの許可に関する決定、文書化した情報の閲覧、変更の許可及び権限に関する決定などを意味する。

27 / 65

J.4.5.3 文書化した情報（記録を除く。）の管理（7.5.2）
項目
参照項番
No.
1
本指針が要求する全ての文書化した情報（記録を除く。
）を管理する手順を、次の J.2.4（4.4）
J.4.5.1（7.5.1）
事項を含む内部規程として文書化すること。
J.4.5.4（7.5.1.1）a)文書化した情報（記録を除く。
）の発行及び改正に関すること。
b)文書化した情報（記録を除く。
）の改正の内容と版数との関連付けを明確にする
こと。
c)必要な文書化した情報（記録を除く。
）が必要なときに容易に参照できること。
d)適切性及び妥当性に関する、適切なレビュー及び承認を行うこと。
2
文書化した情報（記録を除く。
）の管理を実施すること。
<<留意事項>>※ c)の「必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること。」とは、適切な形式（例
えば、言語、ソフトウェアの版、図表）及び媒体（例えば、紙、電子媒体）に関することを含む。

28 / 65

J.4.5.4 内部規程（7.5.1.1）
項目No.
1
次の事項を含む内部規程を文書化すること。
a)個人情報を特定する手順に関する規定b)法令、国が定める指針その他の規範の特定、参照及び維持に関する規定
c)個人情報保護リスクアセスメント及びリスク対応の手順に関する規定
d)事業者の各部門及び階層における個人情報を保護するための権限及び責任に関する規定e)緊急事態への準備及び対応に関する規定
f)個人情報の取得、利用及び提供に関する規定
g)個人情報の適正管理（データ内容の正確性の確保等、安全管理措置、従業者の監督、委託先の監督）に関する規定h)本人からの開示等の請求等への対応に関する規定
i)教育などに関する規定j)文書化した情報の管理に関する規定k)苦情及び相談への対応に関する規定l)監視、測定、分析及び評価、並びに内部監査に関する規定m)不適合及び是正処置に関する規定n)マネジメントレビューに関する規定o)内部規程の違反に関する罰則の規定
2
事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用される
ように内部規程を改正すること。
<<留意事項>>29 / 65

参照項番

J.4.5.5 文書化した情報のうち、記録の管理（7.5.1.2）
項目No.
1
個人情報保護マネジメントシステム及び本指針で要求されている記録の管理についての手順を内部規程として文書化すること。
2

次の事項を含む必要な記録を作成すること。
a)法令、国が定める指針及びその他の規範の特定に関する記録
b)個人情報の特定に関する記録
c)個人情報保護リスクアセスメント及び個人情報保護リスク対応に関する記録
d)次の事項を含む管理策で要求する記録
1)利用目的の特定に関する記録
2)保有個人データに関する開示等（利用目的の通知，開示，内容の訂正，追加又は削除，利用の停止又は消去，第三者提供の停止）の請求等への対応記録
3)第三者提供に係る記録
4)第三者提供に関する開示等の請求等への対応記録
5)個人情報の適正管理への対応記録e)教育などの実施記録
f)苦情及び相談への対応記録g)緊急事態への対応記録h)監視、測定、分析及び評価の記録
i)内部監査の記録j)マネジメントレビューの記録k)不適合及び是正処置の記録<<留意事項>>30 / 65

参照項番
J.2.4（4.4）
J.4.5.1 （7.5.1）
J.4.5.4（7.5.1.1）

J.5 運用（表題）J.5.1 運用（8.1、8.2、8.3）
項目No.
1
個人情報保護マネジメントシステムを確実に実施するために、運用の手順を内部規程として文書化すること。
2

事業者は、本指針の要求事項を満たすため及び J.3 で決定した活動について、計
画し、実施し、管理すること。

3

事業者は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとること。

4

事業者は、外部委託した業務がある場合は、管理の対象とすること。

5

事業者は No.2～4 についての記録を利用可能な状態にすること。

<<留意事項>>

31 / 65

参照項番
J.2.4（4.4）
J.3.4（6.4）
J.4.5.4（7.5.1.1）

J.6 パフォーマンス評価（表題）J.6.1 監視、測定、分析及び評価（9.1）
項目No.
1
各部門及び階層の管理者が定期的に、及び適宜に個人情報保護マネジメントシス
テムが適切に運用されていることを確認する手順を内部規程として文書化すること。
2
事業者は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定すること。
a)対象とする個人情報保護マネジメントシステムの運用状況b)a)で対象とした運用状況の監視、測定、分析及び評価の方法c)a)で対象とした運用状況の監視及び測定の実施時期d)a)で対象とした運用状況の監視及び測定の実施者e)a)で対象とした運用状況の分析及び評価の時期f)a)で対象とした運用状況の分析及び評価の実施者
3
各部門及び各階層の管理者は、定期的に、及び適宜に個人情報保護マネジメント
システムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行うこと。
4
事業者は、監視及び測定の結果の証拠となる文書化した情報を利用可能な状態にすること。
5
個人情報保護管理者は、定期的に、及び適宜にトップマネジメントに運用の確認の状況を報告すること。
<<留意事項>>32 / 65

参照項番
J.2.4（4.4）
J.4.5.4（7.5.1.1）

J.6.2 内部監査（9.2.1、9.2.2）
項目
参照項番
No.
1
内部監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関する責任 J.2.4（4.4）
及び権限を定める手順を内部規程として文書化すること。
J.3.2（6.3）
2
事業者は、個人情報保護マネジメントシステムが次の事項の状況にあるか否かに J.3.3（6.3）
ついて、少なくとも年一回、及び必要に応じて適宜に内部監査を実施すること。 J.4.5.4（7.5.1.1）a)事業者の内部規程（事業者自身が規定した要求事項を含む）が、本指針の要求事項に適合している。
b)個人情報保護マネジメントシステムが有効に実施され、維持されている。
3
個人情報保護監査責任者は、次の事項を行うこと。
c)内部監査実施計画を策定、確立、実施及び維持する。その内部監査実施計画は、関連するプロセスの重要性及び前回までの内部監査の結果を考慮する。
d)各内部監査について、監査目的、監査基準及び監査範囲を明確にする。
e)内部監査プロセスの客観性及び公平性を確保する監査員を選定し、内部監査実
施計画に従って、監査を実施する。
f)内部監査の結果を内部監査報告書としてまとめ、管理層及びトップマネジメン
トに報告する。
4
内部監査実施計画及び内部監査結果の証拠となる文書化した情報を利用可能な状
態にすること。
<<留意事項>>※ d)の監査範囲は、自らの事業の用に供する個人情報を取扱う全ての業務、従業者、情報システム等を含める
ことが重要となる。
※ 個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。

33 / 65

J.6.3 マネジメントレビュー（9.3.1、9.3.2、9.3.3）
項目No.
1
マネジメントレビューを実施する手順を内部規程として文書化すること。
2
トップマネジメントは、事業者の個人情報保護マネジメントシステムが、引き続き、適切、妥当かつ有効であることを確実にするために、少なくとも年一回、及び必要に応じて適宜にマネジメントレビューを実施すること。
3
マネジメントレビューの実施に当たっては、次の事項を含むこと。
a)前回までのマネジメントレビューの結果を踏まえた見直しの状況
b)個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
c)以下の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評価
1)不適合及び是正処置
2)監視及び測定の結果
3)内部監査結果
4)個人情報保護目的の達成
d)利害関係者からのフィードバックe)リスクアセスメントの結果及びリスク対応計画の状況
f)継続的改善の機会
4
マネジメントレビューからのアウトプットには、継続的改善の機会及び個人情報
保護マネジメントシステムのあらゆる変更の必要性に関する決定を含めること。
5
事業者は、マネジメントレビューの結果の証拠となる文書化した情報を利用可能な状態にすること。
<<留意事項>>※d)は、利害関係者のニーズ及び期待の理解の変化などが含まれる。

34 / 65

参照項番
J.1.1（4.1）
J.1.2（4.2）
J.1.4（4.3）
J.1.5（4.4）
J.2.1（5.1）
J.2.4（4.4）
J.3.1.3（6.2.2、6.2.2）
J.3.1.4（6.2.1、6.2.3）
J.3.2（6.3）
J.4.5.4（7.5.1.1）
J.6.1（9.1）
J.6.2（9.2.1、9.2.2）
J.7.1（10.2）
J.7.2（10.1）
J.11.1（7.4.2、A.26）

J.7 改善（表題）
J.7.1 不適合及び是正処置（10.2）
項目
参照項番
No.
1
事業者は、次の事項を含めて、不適合に対する是正処置を実施するための責任及 J.2.4（4.4）
び権限を定める手順を内部規程として文書化すること。
J.3.1.3（6.2.1、6.2.2）
a)その不適合に対処し、該当する場合には、必ず、次の事項を行う。
J.3.1.4（6.2.1、6.2.3）
1)その不適合を管理し、修正するための処置をとる。
J.4.4.2（7.4.3、A.13）
2)その不適合によって起こった結果に対処する。
J.4.5.4（7.5.1.1）b)次の事項によって、その不適合の原因を除去するための処置を検討する。
J.6.1（9.1）1)その不適合を調査及び分析する。
J.6.2（9.2.1、9.2.2）
2)その不適合の原因を特定する。
J.6.3（9.3.1，9.3.2、
3)類似の不適合の有無、又はそれが発生する可能性を検討する。
9.3.3）
c)是正処置を計画し、計画された処置を実施する。
J.11.1（7.4.2、A.26）d)実施された全ての是正処置の有効性を調査、分析及び評価する。
e)必要な場合には、個人情報保護マネジメントシステムの改善を行う。
2
不適合が明らかとなった場合、a)～e)の事項を実施すること。
3a)～e)の実施結果の証拠となる文書化した情報を利用可能な状態にするとともに、原則として、トップマネジメントが承認すること。
<<留意事項>>※ 不適合が明らかとなった場合とは、J.6（パフォーマンス評価）のほか、個人情報に関わる事故や苦情の発生等が契機となる。

35 / 65

J.7.2 継続的改善（10.1）
項目No.
1
事業者は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善すること。
<<留意事項>>36 / 65

参照項番
J.7.1（10.2）

J.8 取得、利用及び提供に関する原則（表題）
J.8.1 利用目的の特定（A.1）
項目
No.
1
個人情報の利用目的をできる限り特定し、その目的の達成に必要な範囲内において取扱いを行うこと。
2
利用目的は、取得した情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにすること。
<<留意事項>>37 / 65

参照項番
J.2.4（4.4）
J.3.1.1（6.1）
J.4.5.4（7.5.1.1）

J.8.2 適正な取得（A.4）
項目
No.
1
事業者は、適法かつ公正な手段によって個人情報を取得すること。
<<留意事項>>38 / 65

参照項番
J.2.4（4.4）
J.4.5.4（7.5.1.1）

J.8.3 要配慮個人情報などの取得（A.5）
項目
参照項番
No.
1
要配慮個人情報の取得に際しては、要配慮個人情報の取得、利用、又は提供（要 J.2.4（4.4）
配慮個人情報のデータの提供含む）する旨について、あらかじめ書面によって明 J.4.5.4（7.5.1.1）
示し、書面によって本人の同意を得ること。
2
要配慮個人情報を取得する際、あらかじめ書面によって本人の同意を得ることを要しないのは、以下の場合に限定すること。
a)法令に基づく場合
b)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときe)当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者及び個人情報保護委員会規則で定めた者によって公開された要配慮個人情報であるとき
f)本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合g)特定した利用目的の達成に必要な範囲内において、要配慮個人情報の取扱いの全部又は一部を委託することに伴って当該要配慮個人情報の提供を受けるときh)合併その他の事由による事業の承継に伴って要配慮個人情報の提供を受ける場合であって、承継前の利用目的の範囲内で当該要配慮個人情報を取り扱うときi) J.8.7 の d)によって、特定の者との間で共同して利用される要配慮個人情報を当該特定の者から提供を受けるとき
j)当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個
人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
k)学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮
個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
） （当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）
3
個人情報に、性生活、性的指向又は労働組合に関する情報が含まれる場合には、当該情報を要配慮個人情報と同様に取り扱うこと。
<<留意事項>>※ 要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。No.3 で示した情報は、この要配慮個人情報と同様に取り扱うことを求めている。
※ 要配慮個人情報の取得に際して同意を得るときは、J.8.5（J.8.4 のうち本人から直接書面によって取得する
場合の措置）に基づいて実施すること。
※ 学術研究機関とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者を指す。
※ 学術研究目的とは、学術研究の用に供する目的を指す。

39 / 65

J.8.4 個人情報を取得した場合の措置（A.6）
項目
参照項番
No.
1
個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除 J.2.4（4.4）
き、速やかにその利用目的を本人に通知し、又は公表すること。
J.4.5.4（7.5.1.1）
2
本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限定すること。
a)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)利用目的を本人に通知し、又は公表することによって当該事業者の権利又は正当な利益を害するおそれがある場合
c)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合d)取得の状況からみて利用目的が明らかであると認められる場合<<留意事項>>40 / 65

J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置（A.7）
項目
参照項番
No.
1
本人から、書面に記載された個人情報を直接取得する場合には、少なくとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得ること。
a)事業者の名称又は氏名b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先c)利用目的d)個人情報を第三者に提供することが予定される場合の事項－第三者に提供する目的－提供する個人情報の項目－提供の手段又は方法－当該情報の提供を受ける者又は提供を受ける者の事業者の種類、及び属性－個人情報の取扱いに関する契約がある場合はその旨
e)個人情報の取扱いの委託を行うことが予定される場合には、その旨
f)J.10.4～J.10.7 に該当する場合には、その請求等に応じる旨及び問合せ窓口
g)本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果h)本人が容易に知覚できない方法によって個人情報を取得する場合には、その旨
2
あらかじめ書面によって本人に明示し、書面によって本人の同意を得ないのは、以下の場合に限定すること。
・人の生命、身体若しくは財産の保護のために緊急に必要がある場合
・以下のいずれかに該当し、J.8.4 の措置を要しない場合
1)利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2)利用目的を本人に通知し、又は公表することによって当該事業者の権利又は正当な利益を害するおそれがある場合
3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合
4)取得の状況からみて利用目的が明らかであると認められる場合<<留意事項>>※ 本人から直接書面によって取得する場合、J.8.4（個人情報を取得した場合の措置）の措置が必要となる。

41 / 65

J.8.6 利用に関する措置（A.2、A.3）
項目
参照項番
No.
1
個人情報を利用する場合には、本人の同意の有無に関わらず、違法又は不当な行 J.2.4（4.4）
為を助長し、又は誘発するおそれのあるものを除くこと。
J.4.5.4（7.5.1.1）
2
特定した利用目的の達成に必要な範囲内で個人情報を利用すること。
3
特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少なくとも、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ること。
4
特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に、本人の同意を得ることを要しないのは、以下の場合に限定すること。
a)法令に基づく場合
b)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
c)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
d)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
e)当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
f)学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）<<留意事項>>※ 違法又は不当な行為とは、個人情報保護法その他の法令に違反する行為や、直ちに違法とは言えないものの、
個人情報保護法その他の法令の制度趣旨や公序良俗に反している等、社会通念上、適正とは認められない行為を指す。
※ 違法又は不当な行為を助長し、又は誘発する「おそれ」の有無は、社会通念上、蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法などの客観的な事情に加えて、個人情報の利用時点における事業者の認識及び予見可能性も踏まえる必要がある。

42 / 65

J.8.7 本人に連絡又は接触する場合の措置（A.8）
項目
参照項番
No.
1
個人情報を利用して本人に連絡又は接触する場合には、本人に対して、J.8.5 の J.2.4（4.4）a)～f)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本 J.4.5.4（7.5.1.1）
人の同意を得ること。
2
個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知し、本人の同意を得ることを要しない場合を、利用する個人情報が以下の場合に限定すること。
a)J.8.5 の措置において、あらかじめ、利用目的として個人情報を利用して本人に連絡又は接触することを含め、J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているときb)個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うときc)合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業者が、既に J.8.5 の a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用
目的の範囲内で当該個人情報を取り扱うときd)個人情報が特定の者との間で、適法かつ公正な手段によって、共同して利用されている場合であって、以下の 1)～5)に示す事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、共同して利用する者との間で共同利用について契約によって定めているとき
1)共同して利用すること
2)共同して利用される個人情報の項目
3)共同して利用する者の範囲
4)共同して利用する者の利用目的
5)共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名e) J.8.4 の d)に該当する場合に取得した個人情報を利用して、本人に連絡又は接触するとき
f)法令に基づく場合
g)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
h)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
i)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき<<留意事項>>※ d)の「適法かつ公正な手段によって、共同して利用されている場合」とは、特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、1)～5)までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときである。特に、共同して利用する者の範囲
については、「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することであることから、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
※ d)の「以下の 1)～5)に示す事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき」とは、共同利用する全ての事業者に対して求められる事項である。
共同して利用する者の利用目的の変更を行う場合には、共同利用する事業者のうち、いずれかの事業者がJ.8.6 で定める利用目的の変更の措置を行うとともに、変更した内容については、共同利用する全ての事業者が、本人に通知し、又は本人が容易に知り得る状態に置くこと。
※ 共同利用について契約によって定めるとは、共同して利用する者の間で、共同して利用する者の要件、各共同して利用する者の個人情報取扱責任者・問合せ担当者及び連絡先、共同利用する個人情報の取扱いに関する事項、共同利用する個人情報の取扱いに関する取決めが遵守されなかった場合の措置、共同利用する個人情報に関する事件・事故が発生した場合の報告・連絡に関する事項、共同利用を終了する際の手続等をあらかじめ取り決めておくとともに、その内容を契約書、確認書、覚書等の手段によって残すことを指す。
43 / 65

J.8.8 個人データの提供に関する措置（A.14）
項目
参照項番
No.
1
個人データを第三者に提供する場合には、あらかじめ、本人に対して、当該個人 J.2.4（4.4）
データを第三者に提供することに関して、J.8.5 の a)～d)に示す事項又はそれと J.4.5.4（7.5.1.1）
同等以上の内容の事項、及び取得方法を通知し、本人の同意を得ること。
2
個人データを第三者に提供する場合に、本人に通知し、本人の同意を得ることを要しない場合は、以下の場合に限定すること。
a)J.8.5 の規定によって、個人データを第三者に提供することに関して、既にJ.8.5 の a)～d)の事項又はそれと同等以上の内容の事項を本人に明示し、本人の同意を得ているとき、又は J.8.7 の規定によって、既に J.8.5 の a)～d)の事
項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ているときb)本人の同意を得ることが困難な場合、かつ本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、法令等が定める手続に基づいた上で、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たとき。ただし、第三者に提供される個人データが要配慮個人情報又は偽りその他不正の手段により取得された個人データ若しくは他の個人情報取扱事業者からこの項 b)の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場
合は、この限りでない。
1)第三者への提供を行う事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
2)第三者への提供を利用目的とすること
3)第三者に提供される個人データの項目
4)第三者に提供される個人データの取得の方法
5)第三者への提供の方法
6)本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
7)本人の求めを受け付ける方法
8)第三者に提供される個人データの更新の方法
9)当該届出に係る個人データの第三者への提供を開始する予定日c)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供されるとき
d)合併その他の事由による事業の承継に伴って個人データが提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときe)J.8.7 の d)によって、特定の者との間で共同して利用される個人データが当該特定の者に提供されるとき
f)法令に基づく場合
g)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
h)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
i)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときj)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
k)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）
l)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）<<留意事項>>44 / 65※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

45 / 65

J.8.8.1 外国にある第三者への提供の制限（A.15）
項目
参照項番
No.
1
外国にある第三者に個人データを提供する場合、以下のいずれかを満たすこと。 J.4.5.4（7.5.1.1）
ただし、J.8.8 の f)～l)のいずれかに該当する場合はこれに限らない。
J.8.8（A.14）a)あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合
b)個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保
護委員会規則で定める基準に適合する体制を整備している者への提供をする
場合c)個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第三者への提供をする場合
2
No.1 の a)によって外国にある第三者に個人データを提供する場合は、あらかじめ、次に掲げる事項について、当該本人に必要な情報を提供すること。
d)当該外国の名称e)適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
f)当該第三者が講ずる個人情報の保護のための措置に関する情報
g)d)～f)に定める事項が特定できない場合、その旨及びその理由h)g)に該当する場合であって、d)～f)の事項に代わる本人に参考となるべき情報がある場合には、当該情報
i)g)及び h)に該当する場合について情報提供できない場合には、g)及び h)に定める事項に代えて、その旨及びその理由3
No.1 の b)によって外国にある第三者に個人データを提供する場合には、あらか
じめ、次に掲げる事項について、必要な措置を講じること。
j)当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による定期的な確認k)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止l)本人の求めを受けた場合には、情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、遅滞なく、以下の情報の提供
1)当該第三者による体制の整備の方法
2)当該第三者が実施する相当措置の概要
3)j)による確認の頻度及び方法
4)当該外国の名称
5)当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
6)当該第三者による相当措置の実施に関する支障の有無及びその概要
7)6)の支障に関して、k)により講ずる措置の概要
4
No.3 の l)で、本人の求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知するとともに、その理由を説明すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。
※ e)は、当該外国における個人情報保護に関する制度の有無、及び当該外国の個人情報保護に関する制度についての指標となり得る情報の存在等が含まれる。なお、外国にある第三者への提供によって本人が受ける影響を予測できるように配慮するために、次に示す事項又はそれらと同等以上の内容も情報提供することが望ましい。
OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在
その他本人の権利利益に重大な影を及ぼす可能性のある制度の存在

46 / 65

J.8.8.2 第三者提供に係る記録の作成等（A.16）
項目
参照項番
No.
1
個人データを第三者に提供したときは、当該個人データの提供について必要な記 J.4.5.2（7.5.3）
録を作成すること。
J.4.5.3（7.5.2）
2
個人データを第三者に提供したときに、当該個人データの提供に関する記録の作 J.4.5.4（7.5.1.1）
J.4.5.5（7.5.1.2）
成を要しない場合を、以下の場合に限定すること。
a)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部 J.8.8（A.14）
又は一部を委託することに伴って当該個人データが提供されるとき
b)合併その他の事由による事業の承継に伴って個人データが提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときc)J.8.7 の d)によって、特定の者との間で共同して利用される個人データが当該特定の者に提供されるとき
d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
3
個人データを第三者に提供したことに関する記録を作成した場合、当該記録を必要な期間保管すること。
4
個人データを提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

47 / 65

J.8.8.3 第三者提供を受ける際の確認等（A.17）
項目
参照項番
No.
1
第三者から個人データの提供を受けるに際しては、必要な確認を行うこと。
J.4.5.2（7.5.3）
2
第三者から個人データの提供を受けるに際して、確認を要しないのは、以下の場 J.4.5.3（7.5.2）
J.4.5.4（7.5.1.1）
合に限定すること。
a)特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部 J.4.5.5（7.5.1.2）
J.8.4（A.6）
又は一部を委託されることに伴って当該個人データの提供を受けたとき
b)合併その他の事由による事業の承継に伴って個人データの提供を受けた場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときc)J.8.7 の d)によって、特定の者との間で共同して利用される個人データを当該特定の者から提供を受けたとき
d)法令に基づく場合
e)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh)個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
i)個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。
）
j)第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
3
第三者から個人データの提供を受けるに際して確認を行ったときは、必要な記録を作成すること。
4
第三者から個人データの提供を受けるに際して確認を行った記録は、必要な期間
保管すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。
※ 記録にあたっては、当該個人データの提供を受ける際に特定された利用目的を含め確認し、記録することが望ましい。合わせて、当該個人データの提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することが望ましい。

48 / 65

J.8.8.4 個人関連情報の第三者提供の制限等（A.18）
項目
No.
第三者が個人関連情報を個人データとして取得することが想定される場合、次1に示す事項又はそれと同等の事項を、あらかじめ、本人に対して通知又は明示し、本人が識別される個人データとして取得することを認める旨の同意を得ること。
《同意を取得する主体が個人関連情報の提供先である場合に、提供先が本人に対して通知又は明示する事項》
1)提供先の事業者の名称又は氏名
2)提供先の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
3)個人関連情報の提供を受けて個人データとして取得した後の利用目的
4)個人関連情報の項目
5)個人関連情報の取得方法
6)個人関連情報の取扱いに関する契約がある場合はその旨

234《同意を取得する主体が個人関連情報の提供元である場合に、提供元が本人に対して通知又は明示する事項》
1)提供元の事業者の名称又は氏名
2)提供元の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
3)個人関連情報の提供を受けて個人データとして取得した後の利用目的
4)個人関連情報の項目
5)提供する手段又は方法
6)個人関連情報の提供を受けて個人データとして取得する者
7)個人関連情報の取扱いに関する契約がある場合はその旨
第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供するに際しては、J.8.8 の f)～l)のいずれかに該当する場合を除き、あらかじめ、次に掲げる事項又はそれと同等以上の内容の事項について、確認を行うこと。
a)No.1 に基づき、当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
b)外国にある第三者への提供にあっては、a)の本人の同意を得ようとする場合
において、法令等で定めるところによって、あらかじめ、以下の 1)～3)に示
す事項について、当該本人に提供されていること。
1)当該外国の名称
2)当該外国における個人情報の保護に関する制度に関する情報
3)当該第三者が講ずる個人情報の保護のための措置に関する情報
個人関連情報を外国にある第三者に提供した場合には、J.8.8.1 で定めるところ
によって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じること。
以下の事項について、確認の記録を作成、保管すること。
《個人関連情報の提供元の確認の記録事項》
c)a)で本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、b)で本人に情報の提供が行われていることを確認した旨
d)個人関連情報を提供した年月日e)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
f)当該個人関連情報の項目《個人関連情報の提供先の確認の記録事項》
g)a)で本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、b)で本人に情報の提供が行われている旨h)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
i)当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本
49 / 65

参照項番
J.4.5.2（7.5.3）
J.4.5.3（7.5.2）
J.4.5.4（7.5.1.1）
J.4.5.5（7.5.1.2）
J.8.8.1（A.15）
J.8.8.2（A.16）
J.8.8.3（A.17）

人を特定するに足りる事項j)当該個人関連情報の項目<<留意事項>>※ 個人関連情報とは、生存する個人に関連する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものを指す。
※ No.1 の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合を指す。（提供先の第三者が、個人関連情報を直接個人データに紐付けて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人データとして取得する」に該当しない）※ No.1 の「想定される」とは、個人データとして取得することを現に想定している場合、又は一般人の認識（同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識）を基準として通常想定できる場合を指す。
※ No.1 で同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先であるが、同等の本人の権利利益の保護が図られることを前提に、提供元が代行してもよい。
※ No.2 は、個人関連情報の提供元が、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになるが、提供先の第三者から申告を受ける場合、提供元は、その申告内容を一般的な注意力をもって確認することで足りる。

50 / 65

J.8.9 匿名加工情報（A.28）
項目
参照項番
No.
1
匿名加工情報の取扱いを行うか否かの方針を定めること。
J.2.4（4.4）
2
匿名加工情報を取り扱う場合には、以下の事項に関する適切な取扱いを行う手 J.4.5.4（7.5.1.1）
順を内部規程として文書化すること。
a)適切な加工方法の決定、及び加工の実施b)加工方法等情報の安全管理措置
c)匿名加工情報を作成、及び提供することに関する公表
d)匿名加工情報の取扱いにおいて識別行為を防止する措置e)匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置、及び当該措置の公表
3
匿名加工情報を取り扱う場合には、定めた手順に従うこと。
<<留意事項>>※ 匿名加工情報とは、各区分ごとに定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものを指す。
一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
※ 匿名加工情報、及び加工方法等情報は、リスクアセスメントを実施した上で適切な取扱いを行うこと。
※ b)の加工方法等情報のうち、以下に示すような、その情報を用いて当該個人情報を復元することができるものについては、匿名加工情報の作成後は破棄すること。
➢ 氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表
➢ 氏名等の仮 ID への置き換えに用いた乱数等のパラメータ など※ e)については、取扱いのリスクを踏まえ実施すべきかを判断すること。

51 / 65

J.8.10 仮名加工情報（A.27）
項目
参照項番
No.
1
仮名加工情報の取扱いを行うか否かの方針を定めること。
J.2.4（4.4）
2
仮名加工情報を取り扱う場合には、適切な取扱いを行う手順を内部規程として J.4.4.2（7.4.3、A.13）
J.4.5.4（7.5.1.1）
文書化すること。
3
仮名加工情報を作成する場合には、他の情報と照合しない限り特定の個人を識 J.8.5（A.7）
別することができないようにするために必要なものとして、個人情報保護委員 J.9.4（A.12）
会規則で定める基準に従い、個人情報を加工すること。
4
仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じること。
5
仮名加工情報を利用する場合には、以下を実施すること。
a)利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行うことb)あらかじめその利用目的を公表している場合、又は J.8.4 の a)～d)のいずれかに該当する場合を除き、速やかに、その利用目的を公表すること
c)仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた
個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないこと
d)電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ
装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないこと
6
仮名加工情報を提供する場合には、以下の場合に限定すること。
e)仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措置を講じた上で委託する場合
f)仮名加工情報が特定の者との間で、適法かつ公正な手段によって、共同して利用されている場合であって、以下の 1)～5)に示す事項をあらかじめ公表するとともに、共同して利用する者との間で共同利用について契約によって定めているとき
1)共同して利用すること
2)共同して利用される仮名加工情報の項目
3)共同して利用する者の範囲
4)共同して利用する者の利用目的
5)共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
g)合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合
h)法令に基づく場合
7
仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行うこと。
8
仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去すること。
<<留意事項>>※ 仮名加工情報とは、各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報を指す。
一 個人情報保護法第 2 条第 1 項第 1 号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二 同条第 1 項第 2 号に該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
※ a)は、個人情報である仮名加工情報である場合の実施事項であるとともに、本人を識別しない、内部での分析・利用であることを条件とすることを含む。
※ b)は、個人情報である仮名加工情報について、その作成に用いた個人情報の利用目的とは異なる目的で利用する場合に、利用目的の公表を行うこと。
※ f)の「適法かつ公正な手段によって、共同して利用されている場合」とは、特定の者との間で共同して利用される仮名加工情報を当該特定の者に提供する場合であって、1)～5)までの情報を、提供に当たりあらかじめ公表しているときである。特に、共同して利用する者の範囲については、「共同利用の趣旨」は、本人か
52 / 65

※

※

※
※
※
※

ら見て、当該仮名加工情報を提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、
当該仮名加工情報を共同して利用することであることから、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
f)の「以下の 1)～5)に示す事項をあらかじめ公表する」とは、共同利用する全ての事業者に対して求められる事項である。また、共同して利用する者の利用目的を変更する場合には、あらかじめ、変更する内容について公表すること。
共同利用について契約によって定めるとは、共同して利用する者の間で、共同して利用する者の要件、各共同して利用する者の仮名加工情報取扱責任者・問合せ担当者及び連絡先、共同利用する仮名加工情報の取扱
いに関する事項、共同利用する仮名加工情報の取扱いに関する取決めが遵守されなかった場合の措置、共同利用する仮名加工情報に関する事件・事故が発生した場合の報告・連絡に関する事項、共同利用を終了する際の手続等をあらかじめ取り決めておくとともに、その内容を契約書、確認書、覚書等の手段によって残すことを指す。
No.8 は、取扱いのリスクを踏まえ実施すべきかどうかを判断すること。
漏えい等の報告等については、J.4.4.2（緊急事態への準備）を踏まえて対応すること。
仮名加工情報は個人情報であるか否かに関わらず、J.9.2（安全管理措置）、J.9.3（従業者の監督）、J.9.4（委託先の監督）、J.11.1（苦情及び相談への対応）を踏まえて対応すること。
なお、以下は適用除外される。
・ 利用目的の変更（本人を識別しない、内部での分析・利用であることを前提に、新たな利用目的で利用可能）・ 開示・利用停止の請求対応

53 / 65

J.9 適正管理（表題）J.9.1 正確性の確保（A.9）
項目No.
1
利用目的の達成に必要な範囲内において、個人データを、正確、かつ、最新の状態で管理すること。
2
個人データの管理（利用する必要がなくなった場合の消去を含む。
）は、定めた
手順に基づいて適切に行うこと。

参照項番
J.2.4（4.4）
J.3.1.1（6.1）
J.4.5.4（7.5.1.1）
J.8.1（A.1）
J.8.6（A.2、A.3）<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

54 / 65

J.9.2 安全管理措置（A.10）
項目
参照項番
No.
1
取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失又は毀損の防止 J.2.4（4.4）
その他の個人情報の安全管理のために、法令に基づき必要かつ適切な措置を講 J.3.1.3（6.2.1、6.2.2）
じること。
J.3.1.4（6.2.1、6.2.3）
2
外部サービスを利用する場合であって、当該サービス提供事業者が当該個人デ J.4.5.4（7.5.1.1）
ータを取り扱わないことになっているサービスを利用する場合は、適切な安全管理措置が図られるよう、あらかじめサービス内容の把握、評価等を行ったうえで選定すること。
<<留意事項>>※ 必要かつ適切な安全管理措置とは、個人情報が漏えい等の緊急事態が発生した場合に被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人情報の取扱状況、個人情報の性質及び量、記録した媒体の性質等に起因するリスクに応じた必要かつ適切な措置を講じることをいう。なお、個人情報保護法においても、同様の事項が個人データを対象として定められており、必要かつ適切な安全管理措置を講じていないことで法令に違反することがあることに留意する必要がある。
※ 学術研究目的で行う個人情報の取扱いについても、当該要求事項の対象となる。

55 / 65

J.9.3 従業者の監督（A.11）
項目No.
1
個人データを取り扱う従業者に対して必要かつ適切な監督を行うこと。

参照項番
J.2.4（4.4）
J.4.2（7.2）
J.4.5.4（7.5.1.1）<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。

56 / 65

J.9.4 委託先の監督（A.12）
項目
参照項番
No.
1
個人データの取扱いの全部又は一部を委託する場合、十分な個人データの保護 J.2.4（4.4）
水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選 J.3.1.3（6.2.1、6.2.2）
定すること。
J.3.1.4（6.2.1、6.2.3）
2
個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲 J.4.5.4（7.5.1.1）
内で委託契約を締結すること。
3
次に示す事項が盛り込まれた契約を締結すること。
a)委託者及び受託者の責任の明確化
b)個人データの安全管理に関する事項
c)再委託に関する事項
d)個人データの取扱状況に関する委託者への報告の内容及び頻度e)契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項f)契約内容が遵守されなかった場合の措置g)事件・事故が発生した場合の報告・連絡に関する事項
h)契約終了後の措置
4
全ての委託先を漏れなく特定すること。
5
委託契約書は当該個人データの保有期間にわたって保存すること。
6
委託契約に基づき、委託先を適切に監督すること。
<<留意事項>>※ 個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）において特定した個人情報については、
当該要求事項の対象となる。
※ 委託先選定基準には、次の内容を含むこと。
· 少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあること。
· 契約に規定する事項に対応可能なことを客観的に確認できること。

57 / 65

J.10 個人情報に関する本人の権利（表題）J.10.1 個人情報に関する権利
項目
参照項番
No.
1
保有個人データに関して、本人から開示等の請求等を受けた場合、J.10.4～J.10.7 J.2.4（4.4）の規定によって、遅滞なくこれに応じること。
J.4.5.4（7.5.1.1）
2
J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本人から開示等の請求 J.10.2（A.24、A.25）
J.10.3（A.19）
等を受けた場合、J.10.5 の規定によって、遅滞なくこれに応じること。
3
保有個人データ又は第三者提供記録に当たらないものとして、次に掲げるいずれ J.10.4（A.19、A.23）
J.10.5（A.20、A.23）
かに限定すること。
a)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、 J.10.6（A.21、A.23）
J.10.7（A.22、A.23）
本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの
b)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長する、又は誘発するおそれのあるもの
c)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれる
おそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
d)当該個人データ又は当該第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあるもの<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。

58 / 65

J.10.2 開示等の請求等に応じる手続（A.24、A.25）
項目
参照項番
No.
1
保有個人データ又は第三者提供記録の開示等の請求等に応じる手続として、次 J.2.4（4.4）の事項を文書化すること。
a)開示等の請求等の申出先b)開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方
式c)開示等の請求等をする者が、本人又は代理人であることの確認の方法
d)J.10.4 又は J.10.5 による手数料（定めた場合に限る。
）の徴収方法2
保有個人データ又は第三者提供記録の開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮すること。
3
本人からの請求などに応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めること。
<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
※ 事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。

59 / 65

J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など（A.19）
項目
参照項番
No.
1
保有個人データ又は第三者提供記録に関して、次の事項を本人の知り得る状態 J.2.4（4.4）（本人の求めに応じて遅滞なく回答する場合を含む。）に置くこと。
a)事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
b)個人情報保護管理者(若しくはその代理人)の氏名又は職名、所属及び連絡先
c)全ての保有個人データの利用目的(J.8.4 の a)～c)までに該当する場合を除く。)
d)保有個人データの取扱いに関する苦情の申出先e)当該事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先f)J.10.2 によって定めた手続
g)保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。

60 / 65

J.10.4 保有個人データの利用目的の通知（A.19、A.23）
項目
参照項番
No.
1
本人から、当該本人が識別される保有個人データについて、利用目的の通知を求 J.2.4（4.4）
められた場合、遅滞なくこれに応じること。
2
本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合であって、利用目的の通知を必要としないのは以下の場合に限定すること。
・J.8.4 の a)～c)のいずれかに該当する場合
・J.10.3 の c)によって当該本人が識別される保有個人データの利用目的が明らかな場合
3
No.2 の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。

61 / 65

J.10.5 保有個人データ又は第三者提供記録の開示（A.20、A.23）
項目
参照項番
No.
1
本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の J.2.4（4.4）
請求を受けた場合、法令によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開示すること。
2
本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合であって、全部又は一部の開示を必要としないのは以下の場合に限定すること。
a)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場
合b)当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
c)法令に違反する場合
3
No.1 の当該本人が指定した方法について、当該方法による開示が困難であるとして、書面での交付とした場合、若しくは、No.2 の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
<<留意事項>>※ 学術研究目的で行う保有個人データの取扱いも、本要求事項の対象となる。
※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。
※ 当該本人が識別される保有個人データ又は第三者提供記録が存在しないときは、その旨を本人に遅滞なく通知すること。

62 / 65

J.10.6 保有個人データの訂正、追加又は削除（A.21、A.23）
項目
参照項番
No.
1
本人から、当該本人が識別される保有個人データの訂正等（訂正、追加又は削除） J.2.4（4.4）の請求を受けた場合、法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行うこと。
2
本人から保有個人データの訂正等の請求を受けて訂正等を行った場合は、その旨及びその内容を本人に遅滞なく通知すること。
3
本人から保有個人データの訂正等の請求を受けたが応じなかった場合、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。

63 / 65

J.10.7 保有個人データの利用又は提供の拒否権（A.22、A.23）
項目
参照項番
No.
1
本人から当該本人が識別される保有個人データの利用停止等（利用の停止、消去 J.2.4（4.4）
又は第三者への提供の停止）の請求に応じること。
2
本人からの当該本人が識別される保有個人データの利用停止等の請求に応じた
場合、遅滞なくその旨を本人に通知すること。
3
本人からの当該本人が識別される保有個人データの利用停止等の請求に応じなかった場合は以下のいずれかに該当する場合に限定し、本人に遅滞なくその旨を通知するとともに、理由を説明すること。
a)当該保有個人データの利用停止等に多額の費用を要する場合等の理由により、利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき
b)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場
合c)当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
d)法令に違反する場合<<留意事項>>※ J.3.1.1（個人情報の特定）において特定した個人情報について、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断した場合には、当該要求事項の対象となる。

64 / 65

J.11 苦情及び相談への対応（表題）J.11.1 苦情及び相談への対応（7.4.2、A.26）
項目No.
1
個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行う手順を内部規程として文書化すること。
2
本人からの苦情及び相談を受け付けて、適切かつ迅速な対応を行うための体制を整備すること。
3
苦情及び相談の申出先（認定個人情報保護団体の対象事業者となっている場合
は、当該団体の苦情解決の申出先も含む）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くこと。
4
苦情及び相談への対応を実施すること。
<<留意事項>>65 / 65

参照項番
J.2.4（4.4）
J.4.4.1（7.4.1）
J.4.5.4（7.5.1.1）
J.10.3（A.19）