個人データの取扱いに関する責任者・責任部署の設置に関する事例集

2023 年 11 月
個人情報保護委員会事務局

第１ 個人データの取扱いに関する責任者・責任部署の設置に関する事例集を公表する背景「個人情報の保護に関する基本方針」（平成 16 年４月２日閣議決定、令和４年４月１日一部変更）においては、PIA（個人情報保護評価又はプライバシー影響評価）や、CPO（最高プライバシー責任者）・DPO（データ保護責任者）等の個人データの取扱いに関する責任者を設置すること等によるデータガバナンスの体制を構築することの重要性が指摘されている。
事業者（大企業）向けアンケート調査1によると、個人データの取扱いに関する責任者を設置している事業者は、全体の 88.6％を占めているところであるが、より実効的な個人データの取扱いに関する責任者の設置や活動につながることを期待して、本事例集を公表するものである。
第２ 個人データの取扱いに関する責任者の個人情報保護法の位置付け
個人情報取扱事業者は、個人情報保護法第 23 条に定める個人データの安全管理措置を講じなければならない。組織的安全管理措置として「組織体制の整備」を講じなければならず、その手法の一つとして「個人データの取扱いに関する責任者の設置及び責任の明確化」が挙げられる（個人情報の保護に関する法律についてのガイドライン（通則編）10－３（１））。
全社横断的な個人データの取扱いに関する責任者を設置することにより、事業者内で統一した考え方で事業を実施することができるとともに社内の知見等が同責任者の下に集約することが期待される。事業者においては、本事例集で紹介された事例を参考にしつつ、個人データの取扱いに関する責任者を設置し、その責任を明確化するとともに、当該責任者が実効的な活動をすることができる体制を整備することが望まれる。
第３ 各事例から分かる個人データの取扱いに関する責任者の実態
個人データの取扱いに関する責任者が全ての業務を実施できるものではな
く、責任者を支える部署（責任部署）を設置して、同部署が実際の業務を行うことが多い。各事例からわかる個人データの取扱いに関する責任者及び責任部署の実態は、以下のとおりである。

1「個人データの取扱いに関する責任者等についての実態調査株式会社アズコムデータセキュリティ）https://www.ppc.go.jp/files/pdf/dpo_report202103.pdf
2報告書」（令和３年３月、

１

業務内容（個人データの取扱いに関する責任者等の責任（役割））
個人データの取扱いに関する責任者等の責任（役割）については、各事業者によって大きく異なるが、各事例によれば、以下のような責任を持つことがある。
① 事業部門からの相談への対応や事業部門への助言② データ保護・プライバシー保護の観点からの事業の評価（PIA 等）③ データ保護・プライバシー・利活用に関わる施策・基準・規定等の策定・導入④ データの取扱状況の棚卸し及びリスク評価⑤ 外部の専門家（弁護士等）や経営層との相談・意見交換⑥ 社内教育２設置による効果
個人データの取扱いに関する責任者等の設置による効果としては、以下のようなものが挙げられる。
① データ保護・プライバシー保護の取組の推進② 社内の相談窓口の明確化③ 社内全体のデータ保護・プライバシー保護に関する意識の向上④ 全社的な個人情報の取扱いのルール等の見直し⑤ 事業部門とは異なった視点による助言や経営層への報告

3

第４ 事例集
本節では、A 社（サービス分野）、B 社（信用分野）、C 社（製造分野）、D 社（製薬分野）、E 社（通信分野）における個人データの取扱いに関する責任者及びその責任者を支える責任部署の概要（設置の背景、構成等）、業務内容、育成方法・人事評価制度及び設置による効果を紹介する（なお、今後必要に応じて事例を追加する場合がある。）。

4

事例１：A 社（サービス分野）
A 社の体制図

１ A 社における個人データの取扱いに関する責任者等（１）個人データの取扱いに関する責任者
A 社の個人データの取扱いに関する責任者は、リスクマネジメント担当執行役員である。2023 年９月時点のリスクマネジメント担当執行役員は、事業部門のプロダクト責任者を務めた後、コーポレート部門に異動してセキュリティ担当・法務担当を長年務めてきた経歴を持つ。
（２）個人データの取扱いに関する責任者を支える体制
A 社においては、「データプロテクション＆プライバシー部（DPP 部）」が個人データの取扱いに関する責任者（リスクマネジメント担当執行役員）を支える部署（責任部署）である。その他にも A 社は「クオリティコーディネート室（QC 室）」やプロダクトごとの「プライバシー責任者」を設置することにより、データ保護・プライバシー保護を推進している。
ア

データプロテクション＆プライバシー部（DPP 部）
5

DPP 部はデータ保護・プライバシー保護に向き合い、ユーザーとの信頼関係を再構築することを目的に法務室の中に設けられており、A 社におけるデータ保護・プライバシー保護施策の策定等2の業務を実施している。
2023 年９月時点の DPP 部の部長は、法務担当を長年務めてきた経歴を持つ。また、DPP 部が取り扱う案件について多様な観点から検討できるよう、同部のスタッフは様々なバックグランドを持つ者で構成されている。具体的には、日本の弁護士資格を有する者、エンジニア出身者、マーケティングや渉外に知見のある者等の 20 名超で構成される（他部との兼務者を含む。）。くわえて、外部有識者（大学教授・弁護士・コンサルタント）に対して、意見照会や支援依頼をするための体制を整えている。
イクオリティコーディネート室（QC 室）
クオリティコーディネート室（QC 室）は法務部門、財務部門、DPP 部等のコーポレート部門の要請を踏まえつつ円滑に事業が実施できるようにすることを目的としており、DPP 部の策定したデータ保護・プライバシー保護の方針を基に、事業実装可能な設計や推進を支援している。同室のスタッフは、事業部門の実態も踏まえた支援を行えるよう、A 社の各事業部門に精通した者で構成されている。

ウ

プロダクトごとのプライバシー責任者
A 社は、事業部門においてデータ保護・プライバシー保護の実装に責任を負う者を明確にするために、プロダクトごとにプライバシー責任者を設置している。プライバシー責任者は、プロダクトに関係する従業員にデータ保護・プライバシー保護施策を周知しつつ、これらをプロダクトに実装し維持する責任を担う。

２ 個人データの取扱いに関する責任者・責任部署の業務内容等（１）個人データの取扱いに関する責任者・責任部署の業務内容
DPP 部は、個人情報保護法の遵守に加え、フェアネスとプライバシーを守り、ユーザーからの信頼性を確保するために、データ保護・プライバシー保護施策に取り組んでいる。具体的な取組例としては、① 関係する規程類やデータ保護・プライバシー保護のために遵守すべき
2

A 社では、法令遵守に加えプライバシー保護対策をフェアネス・必要性・透明性・選択機会の４要素で行っている。
6

基準の作成② 全事業を対象としたデータ保護・プライバシー保護観点でのチェック③ プライバシー責任者に対するデータ保護・プライバシー保護施策の周知等が挙げられる。
上記②は、A 社において整備されている全事業を対象としたチェックプロセスにおけるチェックである。このプロセスは、事業の要件定義・開発・リリースといったフェーズ毎に、適法性、プライバシー、セキュリティ等の観点からチェックを行うものである。このプロセスにおいて、DPP 部はプライバシーや個人情報保護法等の観点からのチェックを担当しており、DPP 部が承認しない限り、このプロセスが終了せず、事業を次のフェーズに進めることができないようになっている。
このプロセスはすべての新規事業において実施されるものであるが、さらに、個人情報を取り扱う事業に関しては、抜け漏れなく確認できるよう、新規事業を始める場合だけでなく、既存事業において取り扱っている個人情報のライフサイクルに何らかの変更があった場合等にも、チェックプロセスを経る仕組みになっている。
（２）責任部署と個人データの取扱いに関する責任者の連携方法
A 社は、隔週開催のプライバシー関連のステアリングコミッティ（個人データの取扱いに関する責任者であるリスクマネジメント担当執行役員が座長となり、関連部署の担当者等が出席する会議体）を設置しており、同会議において DPP 部から検討中のプライバシー保護施策の方向性・実装方法等を説明し、経営層も含めた議論・方針決定を行っている。
また、DPP 部のメンバーについては、チャットやメールでリスクマネジメント担当執行役員に直接相談できる体制が整っているため、ステアリングコミッティの開催を待たずに相談することも可能である。
３ 育成方法、人事評価制度（１）育成方法（研修、OJT での工夫等）
業務実施に必要な知識を習得できるよう、DPP 部のスタッフには、全社向けのプライバシー研修コンテンツによる研修に加えて、２週間の研修を提供している。２週間の研修の主な内容は、①業務に関係する法令（個人情報保護法・電気通信事業法・特定電子メール法等）のインプット、②展開している事業・ビジネスモデル、社内のキーマン等のインプットである。②は、
DPP 部が重視している事業実装までを考えたデータ保護・プライバシー保護7

施策の検討が行えるよう実施している。
（２）人事評価制度
DPP 部のスタッフの人事評価は、事業部門の KPI とは切り離して、DPP 部として独立して実施している。これにより、DPP 部が事業部門から独立して業務遂行・判断を行うことが可能になっている。
４設置による効果
DPP 部の設置や DPP 部による規程類・遵守すべき基準の作成・周知等により、
A 社内部において、データ保護・プライバシー保護に関する要求の根拠や要求水準が明らかになり、法令改正、世の中からの期待の変化、ユーザーからの声や意見といった要素を基に継続的な見直しが実現可能な基盤を整えることができた。事業部門にとっても、プライバシー保護をプロダクト開発の企画開発段階から一要件として捉え、要求水準を参照したり要求元に問い合わせたりしながら、手戻りなく事業の検討を進めることが可能となった。

8

事例２：B 社（信用分野）
B 社の体制図

１ B 社における個人データの取扱いに関する責任者等（１）個人データの取扱いに関する責任者
B 社の個人データの取扱いに関する責任者は、コンプライアンス部担当執行役員である。2023 年９月時点のコンプライアンス部担当執行役員は、現在の役職に就任するまでに様々な事業部やリスク管理部門に所属した経歴を持つ。
（２）個人データの取扱いに関する責任者を支える体制
B 社においては、コンプライアンス部の情報管理室が個人データの取扱いに関する責任者（コンプライアンス部担当執行役員）を支える部署（責任部署）である。国内外の法令対応（GDPR、個人情報保護法等）や世間のプライバシーに関する意識の高まりを背景に、個人情報管理やプライバシーガバナンス構築を、海外法務を担う組織と連携しながら行っている。なお B 社では、個人情報の流失を最大の脅威と考えており、情報セキュリティリスク3に最も重きを置いて取組を進めている。
また、情報管理室は、お客様からの個人情報に関する苦情・相談や開示
3

B 社では、プライバシーに関するリスクを、情報セキュリティリスクの 1 つと定義している。
9

請求等の対応に関する基準等を策定しており、実際にお客様に対応する「お客様相談室」が上記基準等を基にマニュアル等を作成し、窓口対応を実施している。
外部との連携に関しては、複数の弁護士事務所と顧問契約を締結して常に相談できる体制の整理、業界団体の個人情報保護専門部会への参加、同業他社との情報共有・相談等を行っている。
２ 個人データの取扱いに関する責任者・責任部署の業務内容等（１）個人データの取扱いに関する責任者・責任部署の業務内容
情報管理室は、データ保護・プライバシー保護に関する具体的な取組として、・個人情報に関係する各種法令の解釈・社内での対応基準やデータ利活用に係る基準策定（必要に応じて顧問弁護士に確認）
・商品・サービスの立案時にリスクの洗い出し・評価を行う会議の実施（SCM：Service Control Meeting）等を行っている。
SCM は、PIA（個人情報保護評価又はプライバシー影響評価）に相当する取組であり、例えば、以下のような場合に実施する。
・新規サービスや新業務の立ち上げ
・新規システムの導入・更改
・委託先の新規追加・変更・廃止
・海外へのデータ移転・保存
なお、データを利用する案件や、プライバシーに影響を与える可能性のある案件は全て SCM にかけることとされている。SCM の実施件数は、年間約数 100 件程度に及ぶ。
上記の SCM 実施基準に該当する案件については、事業に関連して発生する 12 種類のリスクについて、具体的なリスク評価・対応策を各リスク主管部で検討する。12 種類のリスクのうち情報セキュリティリスクは情報管理室が主管しており、同室においてリスク評価・対応策の検討をしている。SCM においてリスク主管部署が指摘した事項を解決しない限り、原則として事業部は案件を実施できないこととされている。

10

（２）責任部署と個人データの取扱いに関する責任者の連携方法
情報管理室は、月１回開催される「情報セキュリティ部会4」で個人デー
タの取扱いに関する責任者に対して、情報管理の現状報告、各種リスクへの対応状況の報告等を実施している。また、同室は、四半期に１度開催される「内部管理委員会5」にて個人データの取扱いに関する責任者を含む経営陣に対して、同様の報告等を実施している。情報管理室で問題があると判定された案件は、各種会議に上程して経営陣の判断を仰いでいる。
３ 育成方法、人事評価制度（１）育成方法（研修、OJT での工夫等）
情報管理室に異動してきた者を対象に、個人情報や情報セキュリティに関する研修を実施している。その後は、SCM 等の実務での経験・学習を通じて、専門知識を習得できるようにしている。
（２）人事評価制度
情報管理室に所属する者の人事評価は、事業部側の業績とは切り離して独立に実施している。この人事評価制度により、情報管理室が、事業部側から独立してリスク評価等の業務を遂行することを可能としている。
４

設置による効果
情報管理室の設置により、データ保護・プライバシー保護に関して明確な目標・タスクを設定して、取組を着実に進めることができている。
また、設置により事業部側が感じているメリットとして、社内の相談窓口が明確になっていることが挙げられる。各事業部は、企画中の案件に個人情報やプライバシー関係の不安がある場合には、情報管理室に相談したり、SCM のプロセスにかけたりすることで、ワンストップで法務・セキュリティ・プライバシーに関するチェックを受けることができている。

4

情報セキュリティに関する部署が参加する会議。コンプライアンス部の情報管理室、システム企画部、総務部、監査部、総合リスク統括部等が参加する。
5
全社の役員が参加してリスク全般に関する報告・協議を行う会議。情報セキュリティリ
スクの 1 つとして、プライバシーに関するリスクの報告・協議も実施されている。
11

事例３：C 社（製造分野）
C 社の体制図

１ C 社における個人データの取扱いに関する責任者等（１）個人データの取扱いに関する責任者
C 社では、本社プライバシー担当執行役員の責任の下、グループ全体をカバーするプライバシー・個人データ保護体制を敷いている。2023 年 9 月
時点のプライバシー担当執行役員は、法務領域を長年担当してきた経歴を持つ。
プライバシー担当執行役員は、各グループ（事業領域や国・地域により分けられたグループ）にプライバシー・個人データ保護責任者（「プライバシーオフィサー」）を任命している。プライバシーオフィサーは、それぞれ担当する事業領域又は国・地域のプライバシー・個人データ保護について責任を負う。
（２）個人データの取扱いに関する責任者を支える体制
グループ全体におけるプライバシー・個人データ保護に関する全体的な方針は本社プライバシー担当執行役員が決定する。本社法務（コンプライ
アンス・プライバシー）部門は、グループ全体でのプライバシー・個人データ保護を推進する責任部署として、本社プライバシー担当執行役員を補佐する。本社プライバシー担当執行役員が決定した全体方針の下、各プラ12

イバシーオフィサーは自らが担当する事業領域や国・地域において、具体的なプライバシー・個人データ保護施策を策定し、それぞれの運営組織を通じて当該施策を推進する。
日本においては、グループ内の各社（又は各組織）にプライバシー推進責任者が置かれ、またプライバシー推進責任者を補佐する役割としてプライバシー推進担当者が設置されており、個々の施策の実行をしている。プライバシー推進担当者は必要に応じて、自社又は本社の法務（コンプライアンス・プライバシー）部門等と連携しながら個々の施策を実行する。専門的な助言が必要となる場合は、弁護士等の外部有識者へ助言を求めながら進めていくこともある。
当該体制は、グローバルで個人情報保護に対する機運が高まりかつ日本国内でも個人情報保護法の制定・施行が行われた 2000 年代初頭に最初の体制が構築された。以降、外部環境の変化等も踏まえながら、継続して当該体制の維持・強化が行われている。
２ 個人データの取扱いに関する責任者・責任部署の業務内容等（１）個人データの取扱いに関する責任者・責任部署の業務内容
本社法務（コンプライアンス・プライバシー）部門及び各プライバシーオ
フィサーは、法改正等の外部環境の変化をキャッチアップしつつ、プライバシー・個人データ保護に関わる一連の施策の策定・導入を行っている。具体的な施策内容としては、法規制等の環境変化に伴う要求事項の変更、内容の確認及び対応、各データの取扱い状況の棚卸し（データの可視化作業）、リスクの評価及び対応、社員向けの教育の実施等が挙げられる。
このうち、各データの取扱い状況の棚卸し及びリスク評価及び対応に関しては、① 新しくサービスを企画する場合、又は既存サービスに大きな内容の変更が生じた場合等に、個人データの取扱い内容を登録② 登録された内容を基に当該取扱いで生じるリスクの内容を評価③ 当該評価結果に基づいて、リスクに対する対応をケース毎に実施というプロセスで構成される。また、当該プロセスについては、プライバ
シーテック（個人のプライバシーを守る技術）を導入するなどの試みで、効率化・標準化の検討も同時に行っている。
（２）責任部署と個人データの取扱いに関する責任者の連携方法
各グループ会社において、プライバシー・個人データ保護方針に大きく影響する案件、リスクが大きいと判断される案件が発生した場合は、プライバ
13

シー・個人データ保護体制を通じ直ちに上位者に判断や指示を仰ぐことになっており、経営陣を含めて対応方針を議論しやすい環境が整っている。
３ 育成方法、人事評価制度（１）育成方法（研修、OJT での工夫等）
全ての社員に対して、情報セキュリティやプライバシーに関する研修を受講することを義務付けている。近年では、データ保護・プライバシー保護を巡る外的環境の動きも激しく変化し続けているため、いち早く外的環境の変化等を把握した上で、研修内容をアップデートするように努めている。
また、各社においてプライバシー・個人データ保護を推進する担当者に対しては、より深い内容の研修が組まれている。
（２）人事評価制度
プライバシー・個人データ保護担当者への評価は、各活動の進捗等を基に総合的に行われている。
４

設置による効果
社内にプライバシー・個人データ保護体制を敷くことにより、各社・各組織が実際の事業の企画立案や展開を行っていく上で、責任部署の所在が明らかになり、プライバシー・個人データ保護に関わる相談や質問をしやすい環境が整備された。また、会社全体としてプライバシー・個人データ保護に対する意識を高めることができた。

14

事例４：D 社（製薬分野）
D 社の体制図

１ D 社における個人データの取扱いに関する責任者等（１）個人データの取扱いに関する責任者
D 社の個人データの取扱いに関する責任者は General Counsel 兼 Chief
Compliance Officer である執行役員である。同責任者は海外事業を含めた会社全体の法務及びコンプライアンス業務を統括する立場にあるところ、個人情報保護は法務の一環として位置づけられているため、同執行役員が責任者としての役割を果たしている。2023 年９月時点の同執行役員は、企業法務分野を中心に業務を行ってきた経歴を持つ。
（２）個人データの取扱いに関する責任者を支える体制
D 社においては、General Counsel 兼 Chief Compliance Officer である
執行役員が担当する個人情報保護に関する業務を同社の法務部門が支えて15おり、法務部門が責任部署となる。
D 社においては従来、法務部門が事業の法的チェックを行っており、個人情報保護法はその中でチェックされていた。もっとも、2020 年頃、社内の個人情報保護体制を強化することになったため、「グローバル個人情報保護ポリシー」を定めて、社内の個人情報保護体制を強化するとともに、現在では法務部門の中に、グローバルな観点から個人情報保護施策を検討する専任の人員（１名）を設置している。
具体的な社内体制としては、個人情報保護法をはじめとする法令遵守を担当する責任部署（法務部門）とセキュリティを担当する IT 部門が協力して個人情報保護を図っている。また、D 社の事業部門や本部ごとに「データマネージャー」を設置し、責任部署（法務部門）が定めた社内ルールの事業部門・本部内での徹底や、当該事業部門や本部が保管しているデータの棚卸しなどを担当させている。
２ 個人データの取扱いに関する責任者・責任部署の業務内容等（１）個人データの取扱いに関する責任者・責任部署の業務内容
D 社においては、責任部署（法務部門）が法令遵守の観点から、IT 部門がセキュリティの観点から社内ルールや施策を策定している。
また、責任部署（法務部門）は、事業部門が行う新規事業について相談を受ける機会があるため、その中で個人情報保護の観点からチェックや助言などを行う。さらに、社内のデータの棚卸しを中心となってすすめ、実際に棚卸しを行うデータマネージャーに対して指示・教育をするほか、データの棚卸し結果を踏まえて、既存事業に対する助言などを行う。
（２）責任部署と個人データの取扱いに関する責任者の連携方法
コンプライアンス委員会を年２回開催し、個人情報保護を含む全社のコンプライアンス状況や新たに取り組むべき課題等を共有する他、必要に応じて経営陣と協議している。また、責任部署（法務部門）内でもディスカッションの機会を設けており、その中で担当者同士が連携している。
３ 育成方法、人事評価制度（１）育成方法（研修、OJT での工夫等）
責任部署（法務部門）のメンバーに対しては、社外セミナーの受講、法務関連の専門雑誌の購読、情報提供サイトへの登録等を促し、自主的に情報収集してスキルを取得することができるようにしている。また、外部コンサル
タント会社や他社との情報交換による情報収集も行っている。
16

（２）人事評価制度
D 社において、法務・コンプライアンス部門は事業部門や製造部門から明確に分離されており、法務・コンプライアンス部門を統括する個人データの取扱いに関する責任者は CEO に直属している。そのため、責任者や責任部署メンバーの人事評価について事業部門から影響を受けることはなく、法務・コンプライアンス部門の中で完結する。
４

設置による効果
責任部署（法務部門）において、2020 年頃に上記のような体制を構築した
上でデータの棚卸しや各種社内ツール（教育ツール等）を作成する等したとこ
ろ、社内の個人情報保護に対する意識は向上した。例えば、事業部門が新規事業を開始する際やアンケート調査等を行う際に、事業部門から個人情報保護の観点で問題がないかという相談を受けることが増えている。

17

事例５：E 社（通信分野）
E 社の体制図

１ E 社における個人データの取扱いに関する責任者等（１）個人データの取扱いに関する責任者
E 社の個人データの取扱いに関する責任者は、CDO（Chief Data Officer：最高データ責任者）の常務執行役員であり、グループ横断での顧客データの連携・利活用を担当する組織の責任者である。
また、データ保護・プライバシー保護に関わる組織(CDO 室）が設置された際には、セキュリティだけでなく、事業経験のある人間を登用することとなり、その全体責任者として CDO が設置された。
（２）個人データの取扱いに関する責任者を支える体制
E 社においては、CEO 直下に設置された CDO 室が個人データの取扱い責任者（CDO）を支える部署（責任部署）である。
18

E 社においては、全社的な責任部署である CDO 室の設置に先がけて、データ保護に関わる責任者ならびに組織として、法人向け業務を担当する各事業部門に DMO（Data Management Office）を設置した。各事業部門においてデータの利活用やサービス開発を担当する部署から実務経験者を選任してDMO とした。DMO は、ビジネスに寄り添った視点から事業部門内の個別案件の相談やデータの棚卸の進捗管理等に取り組んでいる。事業部門ごとに DMOを設置した背景には、社内に多くの事業と組織を抱える中で現場との連携を促進しつつ、各事業部門（コンシューマ事業、法人事業等）において質的に異なるデータを適切に取り扱う狙いがあった。
その後、全社的な責任部署として CDO 室が設置された。現在は DMO が一次的に受けた個別案件の相談について、より客観的な立場から二次的に判断する等、DMO と連携しながら、顧客データの活用について法令視点と事業視点のバランス確保に取り組んでいる。CDO 室には各事業やサービスへの理解と、データやシステム、情報に関する法令に対して知見を有した人材が必要であり、幅広い部門から人材を集めている。
外部との連携に関しては、弁護士と顧問契約を締結して常に相談できる体制を整備しており、重要案件では複数の弁護士に助言を要請している。また、海外法の動向把握やガバナンス体制の客観性確保のため、コンサルティング企業に助言を求めることがある。
２ 個人データの取扱いに関する責任者・責任部署の業務内容等（１）個人データの取扱いに関する責任者・責任部署の業務内容
CDO 室は以下の 4 つのミッションを定めている。
① 個人情報の取扱いのポリシーや社内ルールの策定（法令対応含む）② 顧客とのコミュニケーションの在り方の決定や外部発信③ プライバシー・通信の秘密・個人情報の観点から個別の案件を判断④ 全社の安全なデータ取扱いの仕組みや個人情報等の利用台帳の管理システム基盤の運営
データ保護・プライバシー保護に関する具体的な取組例としては、CDO 室設置以前からの事業を含む、全ての既存事業及び新規事業について、データの把握や棚卸を実施している。また、個人情報を含むデータを利用する案件について、社内のポリシーやルール、法令に反していないかを事前に確認し、利用可否を判断している。
（２）責任部署と個人データの取扱いに関する責任者の連携方法
CDO 室は、特に情報セキュリティやサイバーセキュリティを担当する CISO
19

（Chief Information Security Officer：最高情報セキュリティ責任者）
及び情報システムや IT ガバナンスを担当する CIO（Chief InformationOfficer：最高情報責任者）と連携し、CDO 室が中心となって適切なデータの利活用のルール策定や判断を推進している。
また、CISO や CIO は配下のセキュリティ部門と IT 部門に加え、各事業部門の幹部、各 DMO が参加する会議体を隔週で開催し、CDO 室からの情報発信や新たな課題に対する依頼事項等について議論している。
さらに、CDO 室は、監査部門・リスク管理部門とは必要に応じて連携できる体制を構築している。
３ 育成方法、人事評価制度（１）育成方法（研修、OJT での工夫等）
CDO 室では OJT と研修を組み合わせている。CDO 室に新たなスタッフが配属された場合には、CDO 室にいるスタッフが法令改正等の直近の重要テーマについて作成した資料を基に研修を行うほか、新入社員が新たなスタッフとして配属された場合には、CDO 室にいるスタッフの指導の下、個人情報保護法に関する資料を作成させる等、自己学習の機会を設けている。
法令に関する資料では、分かりやすさと正確性のバランスを取るため、顧問弁護士に内容確認を依頼している。
（２）人事評価制度
CDO 室に所属する者の人事評価は、事業部門側の業績とは切り離して、独立に実施している。この人事評価制度により、CDO 室が、事業部門側から独立して案件相談等の業務を遂行することを可能としている。
４

設置による効果
責任部署が設置されたことで、個人情報の取扱いに関して相談先や承認を得るべきルートが明確になり、事業部門側で案件に関して不安があれば相談できるようになった。また、各事業部門の DMO とは別に全社組織として設置することで、全社的な個人情報の取扱いルールや仕組みの見直しが可能になった。特に法改正等、大掛かりな取組について全社を巻き込んで対応していく中で、従業員のデータに対する意識が高まり、データ保護・プライバシー保護に関する取組が様々な事業部門に広がった。

20