個人情報保護に関する
民間の自主的取組の在り方に関する調査
調査報告書

2022 年 3 月
一般社団法人日本情報経済社会推進協会

1目次
1. 全体概要 ....................................................................................................... 4
1.1. はじめに .................................................................................................. 4
1.1.1. 背景 ................................................................................................. 4
1.1.2. 目的 ................................................................................................. 6
1.2. 事業概要 ................................................................................................ 7
2. PIA 事例の調査・分析 ................................................................................... 92.1. 調査の概要 ............................................................................................. 92.2. 調査項目の整理 ...................................................................................... 9
2.2.1. PIA とは ........................................................................................... 9
2.2.2. PIA の実施プロセス ........................................................................ 10
2.2.3. PIA 実施に係る要素の整理............................................................. 11
2.3. 調査対象の選定 .................................................................................... 14
2.4. 調査の実施 ........................................................................................... 15
2.4.1. ヒアリング調査 ................................................................................. 15
2.4.2. デスクトップ調査 .............................................................................. 16
2.5. 調査結果 .............................................................................................. 17
2.5.1. PIA 実施に至った経緯.................................................................... 17
2.5.2. 実施体制 ........................................................................................ 18
2.5.3. 実施基準 ........................................................................................ 20
2.5.4. 実施方法 ........................................................................................ 21
2.5.5. 実施コスト ....................................................................................... 23
2.5.6. PIA 実施の効果 ............................................................................. 25
2.5.7. 参考にしたガイドライン類 ................................................................. 26
2.5.8. その他（課題等） .............................................................................. 26
3. データマッピングマニュアルの作成 ............................................................... 28
3.1. データマッピングマニュアル作成のための調査の概要 ............................. 28
3.2. アンケート調査 ...................................................................................... 30
3.2.1. 調査項目 ........................................................................................ 30
3.2.2. 調査対象 ........................................................................................ 31
3.2.3. 調査結果 ........................................................................................ 32
3.3. ヒアリング調査 ........................................................................................ 42
3.3.1. 調査項目 ........................................................................................ 42
3.3.2. 調査対象 ........................................................................................ 43
3.3.3. 調査結果 ........................................................................................ 432

3.4. アンケート調査結果及びヒアリング調査結果から得た考察 ........................ 44
3.5. データマッピングマニュアル ................................................................... 45
3.5.1. 概要 ............................................................................................... 45
3.5.2. データマッピングマニュアル ............................................................. 45

3

1. 全体概要
1.1. はじめに
個人情報保護に関する民間の自主的取組の在り方に関する調査（以下、「本事業」という。）の背景と目的を概観し、事業概要の全体像を示す。
1.1.1. 背景
IoT・AI・ビッグデータを活用した未来の社会の姿として、2016 年 1 月に政府が策定した第 5 期科学技術基本計画 1では、“Society5.0”が提唱された。Society5.0 とは、狩猟社会（Society1.0）、農耕社会（Society2.0）、工業社会（Society3.0）、情報社会（Society4.0）に続く新たな社会を指す。サイバー空間（仮想空間）とフィジカル空間（現実空間）を高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会とされている。これまでの情報社会（Society4.0）では、サイバー空間に存在するクラウドサービス（データベース）にインターネットを経由してア
クセスし、情報やデータを入手し、分析が行われてきた。一方、Society5.0 では、フィジカル空間のセンサーからの膨大な情報がサイバー空間に集積され、サイバー空間
においてビッグデータを AI が解析し、その結果がロボットなどを通じて人間にフィードバックされることが想定されている。この仕組みによって、新たな価値や産業が社会にもたらされることが期待されている。
他方、Society5.0 におけるサーバ空間に集積されるデータには、個人情報も含まれることから、Society5.0 実現に必要な取組として、個人情報保護への対応についても、第 5 期科学技術基本計画には記されている。
このような状況下において、個人情報保護委員会は、2019 年 12 月 13 日に公表した「個人情報保護法 いわゆる 3 年ごと見直し 制度改正大綱」において、2015 年改正法制定以降の社会・経済情勢の変化を踏まえ、今次の見直しにあたっての共通の視点を以下のように整理し、取りまとめた。


1

第一に、情報を提供する個人の、自らの情報の取扱いに対する関心や、関与への期待が高まっており、個人情報保護法第 1 条の目的に掲げている「個人の権利利益を保護」するために必要十分な措置を整備することに配意しながら制度を見直す必要がある。
第二に、平成 27 年改正法で特に重視された保護と利用のバランスをとることの必要性は、引き続き重要であり、個人情報や個人に関連する情報を巡る技術革新の成果が、経済成長等と個人の権利利益の保護との両面で行き渡るような制度を目指すことが重要である。

https://www8.cao.go.jp/cstp/kihonkeikaku/5honbun.pdf
4









第三に、デジタル化された個人情報を用いる多様な利活用が、グローバルに展開されており、国際的な制度調和や連携に配意しながら制度を見直す必要がある。
第四に、海外事業者によるサービスの利用や、国境を越えて個人情報を扱うビ
ジネスの増大により、個人が直面するリスクも変化しており、これに対応する必要がある。
第五に、AI・ビッグデータ時代を迎え、個人情報の活用が一層多岐にわたる
中、本人があらかじめ自身の個人情報の取扱いを網羅的に把握することが困難になりつつある。このような環境の下で、事業者が個人情報を取り扱う際に、本人の権利利益との関係で説明責任を果たしつつ、本人の予測可能な範囲内で適正な利用がなされるよう、環境を整備していくことが重要である。
なお、制度の見直しに当たり、個人情報を巡っては、技術的側面、社会的側面において、急激な変化が進展しつつあることを踏まえ、柔軟な対応を可能とする枠組みが望ましい。また、新たな産業の創出などを促進する観点からは、事業者自身による自らの事業等の実態に即した個人情報保護のための取組が率先して行われる必要があり、そのような自主的取組が法制度等と相まって、活力ある経済社会及び豊かな国民生活を実現していくことが重要である。

個人情報の保護に関する法律（以下、「個人情報保護法」という。）には、認定個人情報保護団体制度を含め、民間事業者の自主的な対応を尊重する制度設計が織り込まれており、「個人情報保護法 いわゆる 3 年ごと見直し 制度改正大綱」においてても「新たな産業の創出などを促進する観点からは、事業者自身による自らの事業等の実態に即した個人情報保護のための取組が率先して行われる必要があり」と共通の視点が整理されている。加えて、「特に、デジタル技術を活用した新たな利用分野では個人情報保護に関する問題が発生しやすいが、このような分野ではビジネスモデルの変革や技術革新等も著しいことが多いことから、法の規定を補完する形で、民間主導で自主ルールが策定、運用されることは望ましく、これらの取組を更に促進していく必要がある。」と記載しており、個人情報保護評価（Privacy Impact Assessment、以下、「PIA」という。）の取組を推進していくことが考えられるとしている。また、個人情報保護委員会においては、これまで事業者における PIA の実施及び個人データの取扱いに関する責任者の設置について、現状把握のための調査・分析を実施しており、
2021 年 7 月 1 日に、事業者、消費者、認定個人情報保護団体をはじめとする関係
団体等の関係者に PIA の意義や手順を伝えることを目的に「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」 2を公表している。更に、PIA に関

2https://www.ppc.go.jp/files/pdf/210630_shiryou-2-2.pdf
5しては、2017 年に第 1 版として発行された ISO/IEC 29134 を基に、技術的内容
及び構成を変更することなく作成した日本産業規格として、JIS X 9251:2021（情報技術―セキュリティ技術―プライバシー影響評価のためのガイドライン） 3（以下、「JISX 9251」という。）が発行されている。
個人データに関しては、「個人情報保護法 いわゆる 3 年ごと見直し 制度改正大綱」にて整理された共通の視点において、「第三に、デジタル化された個人情報を用いる多様な利活用が、グローバルに展開されており、国際的な制度調和や連携に配意しながら制度を見直す必要がある。」「第四に、海外事業者によるサービスの利用や、国境を越えて個人情報を扱うビジネスの増大により、個人が直面するリスクも変化しており、これに対応する必要がある。」と示されており、3 年ごと見直し規定に基づく初めての法改正となる令和 2 年改正において、越境データ移転に係る情報提供の充実が求められることとなった。
1.1.2. 目的
個人情報保護委員会は、2021 年 7 月 1 日に公表した「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」2 において、国内では一部の事業者
が PIA を実施しているものの、社会に十分に浸透しているとはいえないと記しており、その理由として、PIA の意義や実施方法が十分に理解されていないことが一因と考えられるとしている。したがって、本事業では、PIA 等の個人情報保護に関する民間の自主的取組の実態について調査し、整理・分析することで、民間における PIA の取組を促進・拡大するための施策の検討につなげることを目的としている。
また、越境データ移転規制への対応を含め、事業者が個人情報保護法の遵守状
況等を確認するためには、社内に存在するデータの項目、利用目的及び所在等を把握し、取得から廃棄までの取扱状況を管理できている状態を実現することが重要であるため、本事業ではこの手法の一つであるデータマッピング（自社が保有・利用等しているデータを棚卸して、可視化する作業）のマニュアルを作成することを目的としている。

3https://webdesk.jsa.or.jp/books/W11M0090/?bunsyo_id=JIS%20X%209251:20
21
6

1.2. 事業概要
以下に本事業の概要を示す。
図表 1 事業概要項目

実施内容（１） PIA 事例の 
調査・分析
（２） デ ー タ マ ッ 
ピングマニュアル の 作成国内外の事業者における PIA 実施状況を把握するため、ISO/IEC 29134 等の国際規格、国内規格（JISX9251）、各業界団体が定める PIA に関するガイドラインや自社基準等に沿って実施された PIA について、10 件以上調査・分析を行う。
 具体的には、電気通信分野においては、PIA を実施している事業者が多く存在するところ、国内外の PIA 規格の実施手順等について調査する。国内外のその他の業種においても、PIA の実施例を調査する。
 個社のヒアリング調査に当たっては、PIA の実施に至った経緯（ビジネスモデルや技術との関連も踏まえ自主的に実施したか、実施を要求する外部規範が存在するか等の背景）、実施基準（実施するか否かの閾値等）、実
施方法（実施のタイミング、作業期間、評価項目等）、実
施体制（PIA 専門の部署があるか、個人情報の保護に関する責任者が横断的に確認しているか等）、実施コス
ト、PIA 実施の効果、参照したガイドライン類、課題等についても聴取し、その結果を分析する。対象とする事業者や調査数については、個人情報保護委員会事務局（以下、「委員会事務局」という。）と協議の上、決定する。
調査結果は、定期的（月 2 回程度を目安）に委員会事務局に報告することとする。
越境データ移転規制への対応を含め、事業者が個人情報保護法の遵守状況等を容易に確認できるようにするための、
データマッピングのマニュアルを作成する。マニュアルについては、中小企業から大企業まで広く事業者が使用・参照することができるよう、越境データ移転の場面を複数類型化しつつ想定した上で、上記項目を把握するための社内対応手順を簡潔に整理した内容とする。
 作成に当たっては、委員会事務局と協議の上、選定し7

た、越境データ移転を多く行っていると考えられる事業者 30 社程度にアンケート調査を実施。また、アンケート
回答企業の中から数社ヒアリング調査を実施。委員会事務局と調整のうえ、優良な取組として他の事業者にも横展開可能な要素を抽出する。
 なお、同アンケート調査・ヒアリング調査においては、日欧間の個人データの越境移転について標準契約条項（SCC）を用いている企業が、新 SCC 制度への移行後（2022 年 12 月に現行 SCC は廃止予定）に十分性認定の活用に切り替える予定であるかについても、併せて調査する。
図表 2 事業の全体像

8

2. PIA 事例の調査・分析
2.1. 調査の概要
個人情報保護法の規定する義務は、あらゆる分野を対象とする法の性格上、必要最小限度の規律であることから、事業者においては、個人情報保護法の遵守の範囲に留まらず、自身が取り扱う個人情報等の性質、利用方法、取扱いの実態等に即した個人の権利利益の保護について自主的な取組が期待されている。特にデジタル技術を活用した新たな利用分野では、ビジネスモデルの変革や技術革新も著しいことから、法の規定を補完する形で、民間主導で自主ルールが策定・運用されることが望ましいとされていることは既に述べた通りである。
他方、国内では一部の事業者が PIA を実施しているものの、社会に十分に浸透しているとはいえず、その理由として、PIA の意義や実施方法が十分に理解されていな
いことが一因と考えられている。
そこで、PIA 事例の調査・分析では、事業者における PIA の取組を促進・拡大するための施策の検討につなげるために、国内外における事業者の PIA 実施状況を調査し、事業者の PIA 実施の一助になる要素の整理・分析を行った。

2.2. 調査項目の整理
PIA の実施プロセスを概観した後、PIA 実施に必要な要素を整理し、調査項目として整理する。
2.2.1. PIA とは
個人情報保護委員会が公表した「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」によると、PIA とは、「個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法」とされており、「事業の企画・設計段階から個人情報等保護の観点を考慮するプロセスを、事業のライフサイクルの中に組み込むことともいえる」とされている。
JIS X 9251 では、PIA を「個人識別可能情報の処理に関する潜在的なプライバシ
ー影響の、特定、分析、評価、協議、伝達及び対応の計画を立てるための全体的なプロセスであって、組織のより広範なリスクマネジメントの枠組みに組み込まれたもの」と定義し、「個人識別可能情報を処理するプロセス、情報システム、プログラム、ソフトウェアモジュール、デバイス、その他の取組みにおけるプライバシーに対する潜在的な影響をアセスメントするための手段であり、利害関係者と協議してプライバシーリスクに対応するために必要な行動を起こすための手段」であり、「取組みの可能な限り早い段階から始まるプロセスであり、取組みの結果に影響を及ぼす機会がまだあることか
9

ら、プライバシー・バイ・デザイン 4を確実にするものである。PIA は、プロジェクトが展開されるまで、さらに、その後も継続するプロセスである。」としている。
2.2.2. PIA の実施プロセス
個人情報保護委員会が公表した「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」によると、PIA の一般的なプロセスを大別すると、①準備、②リスクの特定・評価、③リスクの低減に分けることができるとしている。
① 準備
PIA 実施の要否を検討した後、PIA を実施するための体制の整備や、個人情報等を取り扱う事業における当該個人情報等のフローを確認する等の多角的かつ幅広い情報収集・整理を行うプロセスである。
② リスク特定・評価①の準備をもとに、評価者が個人情報等の取扱いに係るリスクを具体的に特定・評価し、重大なリスクの所在や、リスクを低減するための対応を要する事項を洗い出すプロセスである。
③ リスクの低減②で評価者が特定・評価したリスクを低減するための具体的な計画・対策を、設計者等が策定し実行するプロセスである。
図表 3 「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」
における PIA の一般的なプロセス
実施プロセス①準備

概要
PIA の実施要否の検討、体制の整備、個人情報等のフローの整理、関係法令等の整理

プライバシー・バイ・デザイン（Privacy by Design）は、1990 年代にカナダのオンタ
リオ州 情報・プライバシー・コミッショナーであるアン・カブキアン博士が提唱した概念で、「技術」、「ビジネス・プラクティス」、「物理設計」のデザイン（設計）仕様段階からあらかじめプライバシー保護の取組を検討し、実践すること。
プライバシー・バイ・デザインの基本原則は以下 7 つから成る。
1.事後的ではなく、事前的；救済的でなく予防的
2.初期設定としてのプライバシー
3.デザインに組み込まれるプライバシー
4.全機能的—ゼロサムではなく、ポジティブサム
5.最初から最後までのセキュリティ—すべてのライフサイクルを保護
6.可視性と透明性—公開の維持
7.利用者のプライバシーの尊重—利用者中心主義を維持する
https://www.jipdec.or.jp/library/word/csm0kn0000000czi.html
410

実施プロセス概要②リスク特定・評価

リスクの特定・評価（個人情報等のフローを用い、事業内容に応じた評価項目を設定し、リスク要因を特定し、影響度や発生可能性の観点から評価する。）③リスクの低減

対応方針の決定、PIA 報告書のとりまとめ等（必要に応じて、有識者を含む第三者機関によるチェックも行う。）

また、JIS X 9251 では、以下のように実施プロセスが整理されており、各プロセスにおける要素が示されている。
図表 4 JIS X 9251 における PIA 実施プロセス
実施プロセス概要① PIA 実施の便益

事業者が PIA を実施する理由や要因は一体何であるのか② PIA 報告の目的事業者が実施した PIA を利害関係者に対して、どういった目的でどの範囲まで共有する必要があるのか③ PIA を実施する
責任事業者が PIA を実施する際に、どこまでを責任範囲として定めて、PIA を実施するのか④ PIA の規模事業者が PIA を実施する際に、事前に起こりうる影響を考慮し、どれくらいの規模で PIA を実施するのか⑤ PIA の必要性の決定

事業者が PIA を実施する際に閾値となる線引きをどのような基準で、どこに設定するのか⑥ PIA の準備

事業者が PIA を実施する際に、どういったチームで、誰を利害関係者に設定し、どのような PIA 実施計画を立てるのか⑦ PIA の実行

事業者が PIA を実施する際の評価基準やリスク対応方法
及び対策をどのように設計するのか⑧ PIA のフォローア 事業者が PIA 実施後に、実施結果報告書やレビューをどップのように実施し、どこまでの範囲に公開するのか
2.2.3. PIA 実施に係る要素の整理
前項で、個人情報保護委員会が公表した「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」と JIS X 9251 に示されている PIA 実施プロセス
における要素を概観した。
これらを整理すると、次のようになる。

11

図表 5 「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」と JIS X 9251 における実施プロセスの対応関係「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」① 準備

PIA の実施要否の検討、体制の整備、個人情報等のフローの整理、関係法令等の整理

JIS X 9251
① PIA 実事業者が PIA を実施す
施の便益 る理由や要因は一体何であるのか② PIA 報事業者が実施した PIA
告の目的 を利害関係者に対して、どういった目的でどの範囲まで共有する必要があ
るのか③ PIA を実 事業者が PIA を実施す
施する責 る際に、どこまでを責任任
範囲として定めて、PIAを実施するのか④ PIA の規模事業者が PIA を実施する際に、事前に起こりうる影響を考慮し、どれくらいの規模で PIA を実施
するのか⑤ PIA の事業者が PIA を実施す
必要性の る際に閾値となる線引き
決定をどのような基準で、どこに設定するのか② リスク特定・評価⑥ PIA の準備事業者が PIA を実施する際に、どういったチーム
で、誰を利害関係者に設定し、どのような PIA 実
施計画を立てるのか

リスクの特定・評価（個人 ⑦ PIA の情報等のフローを用い、実行
事業内容に応じた評価項目を設定し 、リ スク要因を特定し、影響度や発生可能性の観点から評事業者が PIA を実施する際の評価基準やリスク対応方法及び対策をどのように設計するのか12

「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」

JIS X 9251

価する。）
③ リスクの低減対応方針の決定、PIA
報告書のとりまとめ等（必要に応じて、有識者を含む第三者機関によるチェックも行う。）⑧ PIA のフォローアップ

事業者が PIA 実施後に、実施結果報告書やレビューをどのように実施し、どこまでの範囲に公開するのか

他方、民間事業者の業態・組織体制・規模等は多種多様であり、法律などによって一律の基準や方法論を設けることが困難である 5。
そこで、「PIA の取組の促進について ―PIA の意義と実施手順に沿った留意点―」と JIS X 9251 の対応関係を考慮し、PIA 実施プロセスの要素を整理し、PIA を現実に実施している事業者において、実施プロセスの要素がどのように設定され、整備されているかを明らかにすることで、より多くの事業者にとって PIA の意義や実施方法が理解しやすいものになるのではないかと考えられる。
このような観点から、調査項目を以下のようにまとめ、PIA 事例の調査を行うことにした。なお、後述するが、調査はヒアリング調査とデスクトップ調査を予定していたことから、ヒアリング調査にあたっては、PIA の実施に至った経緯、PIA を実施したことによる社内外への影響、参考にしたガイドライン等、その他課題などについてもヒアリング調
査項目に加え、実施した。
図表 6 調査項目
項目
PIA の実施に
至った経緯

分析内容





5

PIA をどこで知ったのか、なぜ興味を持ったのか
社内の理解を得ることはできたか
ビジネスモデルや技術との関連も踏まえ自主的に実施したか実施を要求する外部規範が存在するか等の背景 等

個人情報保護委員会が公表した「PIA の取組の促進について ―PIA の意義と実施⼿順に沿った留意点―」においても、「PIA の実施方法は、事業の規模、性質や取り扱われる個人情報等の内容等によって様々であると考えられる。」と指摘されてい
る。
13

項目

分析内容



サービス等の計画の中で、どのタイミングで PIA を実施する
ことを、どのレベル（経営など）で決定しているのか
実施するか否かの閾値 等

実施方法





実施のタイミング
作業期間
評価項目 等

実施体制







PIA 専門の部署があるか責任者が横断的に確認しているか
担当者や責任者などをどのように確保しているのか
担当者や責任者などをどのような基準で選定しているのか
社内に不足する人的リソースをどのように確保しているのか
等

実施コスト





資金的な措置はどのようにしているのか
実際にどれくらいの費用がかかっているのか
PIA に対する費用対効果の評価はどのようにみられているのか 等

PIA 実施の
効果






社内へ公表を行っているか
社外へ公表を行っているか
社内への効果（影響）はあるか
社外への効果（影響）はあるか 等

参照した
ガイドライン類

どのようなガイドライン等の情報を参照したか
PIA に関する情報をどのように取得したのか
PIA の実施に JISX9251 などの規格が寄与する面があるのか 等

その他（課題等）



その他（課題等）

実施基準



2.3. 調査対象の選定
民間事業者による PIA 実施報告書等は公開されていないことが多いことから、国内については、一般財団法人日本情報経済社会推進協会（以下、「当協会」という。）の14

認定個人情報保護団体事務局にある事業者相談や、PIA を推進する関係団体との連携において取組を把握している事業者を中心に選定した。
外国についても、民間事業者による PIA 実施報告書等は公開されていないことが多いが、デスクトップ調査を中心に、法律等により公開が義務付けられている民間事業者が提供する公的サービスの PIA 実施報告書を含め、PIA を実施していることが確認できた事業者を選定した。
加えて、上記により選定された事業者の中から、以下の分野で事業を行う事業者を中心に対象にした。その理由は以下の通りである。
 電気通信事業分野
電気通信分野の事業者は、多くの個人データを取扱い、PIA を実施しているところが多く存在することから、通信キャリア等の事業者を調査対象に選定した。
 IT 事業分野
昨今、BtoB、BtoC などのあらゆる分野において、クラウドサービス利用が進み、個人データがクラウド上で取り扱われることが多くなっており、IT 事業分野での PIA 実施が望まれていることから IT 事業者を調査対象に選定した。
 金融業分野
金融庁が金融事業者の情報システムを検査する際に参考にする、「金融機関等コンピュータシステムの安全対策基準・解説書」で解説されているリスクアセスメント基準には、PIA で求められる要素も含まれることから、金融事業者を調査対象に選定した。
 その他
その他、PIA を実施する事業者の数は多くないが、その中でも PIA 事例の分析に役立ちそうな PIA を実施する事業者を選定した。

2.4. 調査の実施
2.3.で選定した事業者に対し、ヒアリング調査とデスクトップ調査を実施した。
2.4.1. ヒアリング調査
ヒアリング調査は、7 社に実施した。その概要を以下に示す。
図表 7 ヒアリング調査の結果概要
国内外

分野

概要

国内

電気通信事業2018 年に制定したパーソナルデータ憲章の 6 つの行
動原則に基づき、PIA の実施対象に合わせて担当部署を変え、PIA を実施している。

国内

その他

2019 年に社長直下の社内横断的な CDO 室を発足
15

国内外

分野

概要

（製造業）

し、CDO 室と各事業部門の責任者が協力して PIA を実施している。

電気通信事業2020 年に発足した社長直下のデータガバナンス室を中心に、各部門長とガバナンス室長が協力して PIA を実施している。

国内

電気通信事業

GDPR が施行されて以降、グローバル CEO を中心にプライバシーの文化醸成を行い、各国の専門家が参加するハブと各国の支社の専門家が参加するスポークが協力して PIA を実施している。

国内

その他
（製造業）

情報セキュリティ部門が各部門に働きかけて、キャンペ
ーンごとに取引先のデータ管理を含めた PIA を実施し
ている。

IT 事業

社内で PIA の実証実験に取り組んでおり、これまで実施してきた実証結果から、社内で PIA を含めたプライバシ
ー保護制度の導入を検討している。

金融業

GDPR 施行以降、社内でデータ保護影響評価を採用
し、新しいサービス導入時のコンプライアンス体制強化を推進している。

国内

国外

国外

2.4.2. デスクトップ調査
デスクトップ調査は、5 社に実施した。その概要を以下に示す。
図表 8 デスクトップ調査の結果概要
国内外

分野

概要

IT 事業

データ処理者として作成した PIA 結果をガイドブックに反映し、顧客のデータ保護が実現できていることなどを紹介している。

国外

IT 事業

Snowflake がデータ処理者として実施した PIA 結果を基に、顧客がデータ保護影響評価を実施できるシートを提供している。

国外

その他
（医療）

My m health を採用する公共機関向けに、展開するシステム内で処理するデータフローに沿って、ステークホ
ルダー図を作成している。

国外

16

国外

IT 事業

Privacy by design foundation が提供する IRMA サ
ービスが処理するデータのパターン其々で PIA を実施し、公開している。

国外

その他（サービス業）

社内プロジェクトで採用する K2 システムの閾値プライ
バシー評価を行い、プライバシー影響に加えて、悪い
影響を最小化する対策も記載している。

2.5. 調査結果
今回実施したヒアリング調査では、多くの事業者が模索中ではあるとしながらも、社内に組織を構築し、PIA を実施していたが、PIA 実施のために整備した社内組織やルールなどは、同じ業界の同程度の規模の事業者ですら異なっており、まさに各社各様であった。
そのようなヒアリング調査結果の中から、新たに PIA に取り組む事業者の参考になる要素を抽出し、調査項目に沿って、以下の通りに整理した。
2.5.1. PIA 実施に至った経緯
事業者が PIA の実施に至るまでの経緯として、以下の要素がヒアリング調査を通して確認できた。
PIA を実施している事業者の多くは、国内外の個人情報に関する法制度の変化や消費者の不安や懸念を払拭するために、個人情報保護法の遵守にとどまらない範囲も含めた対応の重要性が増していることから、PIA が求められる状況であるとの認識を持っていた。また、自社の事業において顧客情報に触れる機会が増えたことを PIA実施に至った経緯の一つとして挙げていた。
このような内外の状況変化要因を受けた、経営層やコンプライアンス部門が旗振り役となり、PIA 実施に至ったという回答が多かったが、事業内容や事業規模によって経営層が旗振り役の場合が多い、コンプライアンス部門が旗振り役の場合が多いなどの違いが生じる傾向はなかった。

17

図表 9 PIA 実施に至った経緯

2.5.2. 実施体制
PIA を実施する為には適切な体制を整えておくことが不可欠である。今回ヒアリング調査を実施した事業者のケースでは、PIA を実施する組織を社内に整備し、PIA の運用にあたっているケースが多い。また、PIA を実施する組織以外についても、PIAを実施するにあたり、それぞれに担う役割がある。
 事業部門事業部門内では、PIA に関する特定の担当者が置かれる。PIA を実施するか否かの検討を行う起点になるのが事業部門であるため、事業部門の担当者の意識によって PIA が上手く機能するかどうかが変わってくる。
 データガバナンス部門
PIA においてはデータガバナンス部門が中心となって評価等の作業を行った
り、事業部門等が中心となって評価等の作業を行う場合であっても、データガバナ
ンス部門がその評価結果に問題がないかを確認する等の場合が多い。
データガバナンス部門は、法務部門やセキュリティ部門などのメンバーが併任する形で、PIA の中核を担う組織として、ヒアリング調査を実施した多くの事業者で設置されている。一部、併任ではなく、専任のメンバーを置いている場合や社長直下に組織を置く場合もある。
また、データガバナンス部門を設置している場合でも、必要に応じて社内の他部門からの専門性を有するメンバーを招集し、プロジェクトチームを設置するなどしてPIA を実施するケースもある。社内のメンバーだけで対応が難しい場合には、外部有識者を含む第三者機関や顧問弁護士などに意見を求める等の対応を行う。ビジ18

ネスモデルの変更を伴うなど、データガバナンス部門で判断できない場合は、経営層の判断を仰ぐ。
 法務部門・セキュリティ部門
PIA を実施する際には、データガバナンス部門だけで対応が難しい場合、デー
タガバナンス部門と併任しているメンバー以外の法務部門やセキュリティ部門のメンバーが専門的な助言を行うなど、データガバナンス部門と協力して PIA 実施にあたるケースも多い。
また、社内にデータガバナンス部門がない場合は、法務部門やセキュリティ部門が横断的な PIA に関する情報管理を行うなど、前述のデータガバナンス部門の役割を担うケースもある。
 外部有識者を含む第三者機関
顧問弁護士が助言を行うケースが多いが、個人情報保護法制や情報セキュリティ
分野の有識者を外部有識者として招聘し、第三者機関として委員会などを設置し、専門的な助言を受けるケースもある。第三者機関は定期的に開催する場合もあれ
ば、必要に応じて招集するケースもあり、事業者によって運用方法は異なる。
 経営層
データガバナンス部門で判断が難しい重大なリスクが特定された場合やビジネスモデルの変更やシステム投資を伴うような場合は、経営層で判断するケースが多い。
PIA に関する議論を行うため、経営層を含む会議が月に 1 回、隔週という形で定期的に開催されているケースも見られる。
今回ヒアリング調査を実施した多くの事業者では、経営層はリスクの特定・評価や判断材料の準備などに関与することはほとんどなく、判断を行うのみである。
 その他
広報部門とデータガバナンス部門が連携し、新規事業のプレスリリースなどを行う
前に、広報部門が当該事業について PIA が行われているかどうかをデータガバナ
ンス部門に確認を行うとケースもある。PIA の実施が必要なケースであったにも関わらず、PIA が実施されていない場合は、ローンチが延期される。

19

図表 10 実施体制の全体イメージ

2.5.3. 実施基準
事業者が PIA を実施するか否かを判断する基準として閾値を設定している。閾値
は、取り扱う情報の種類、量、利用目的などに応じて設定されており、閾値による評価に基づき、PIA を実施するかを決定する。
なお、閾値がどのように設定されるかは、事業内容や事業規模などによって影響を受ける部分がある点に留意が必要である。
さらに、PIA を実施するとしても、どの部門が中心になって実施するかについて判断する基準としての閾値を設定している事業者もある。


取得件数
顧客情報の取得件数によっては、PIA を実施しない場合もあるというケースもあるが、今回ヒアリング調査を実施した多くの事業者では取得件数に関わらず、新規で顧客情報を取得する場合は PIA を実施している。一部、取得件数が少なく、短期間のキャンペーンなどで数十名程度の少数の個人情報を取得する場合など、リス
クが低いと考えられる場合には PIA を実施しない事業者も存在する。
 利用期間商品のマーケティングや定期的にキャンペーンを実施する機会が増えたことにより、長期的だけでなく、短期的に顧客から預かる情報が膨大になったことから、長期的に利用する顧客情報だけでなく、顧客情報を短期的に取得する場合も PIA の実
20

施対象に含めている事業者もある。
 利用目的
事業内容等によって利用目的は異なるが、今回ヒアリング調査を実施した事業者のほとんどでは、新規で個人情報を取得する際、その利用目的を問わず、PIA を実施している。但し、取得件数が少ない場合には実施しない場合もあることは前述の通りである。
他方、登録済みの会員データを利用目的の範囲内で利用する場合や既存サービスにおける通常の会員登録の場合は PIA を実施しないという事業者もある。
 データ分類
多くの事業者は、データ分類を行う際には、個人識別符号や要配慮個人情報な
どの法律による分類と情報セキュリティなどの安全管理のために社内で実施するとされている措置を基準に分類が行われ、リスクが高いと考えられる場合には取得件数の多少に関係なく PIA を実施してる。
 委託先
委託先によっては十分にセキュリティ対策を実施していない事業者も存在するため、委託先に求めるセキュリティ基準を閾値として設定しているケースが多い。
 越境データ移転
顧客から預かった情報を、外国に移転するかどうかを閾値に設定しているケースも多い。また、日本と同等のデータ保護水準を満たすことが難しい国へのデータ移転が必要になる場合もあるため、移転先の国の法制度レベルに合わせて閾値の基準を設定している事業者が多い。
2.5.4. 実施方法
PIA を実施する場合であっても、前項の閾値評価に応じ、①事業部門が中心となる
簡易的な対応の場合、②データガバナンス部門や法務部門が中心となって対応する
場合に分かれる。なお、上記①・②のいずれの場合であっても、重大なリスクが特定された場合やビジネスモデルの変更やシステム投資を伴う対応が必要となる可能性がある場合は、経営層が判断を行うフローとする事業者が多い。
 簡易的な対応の場合
情報の取扱いの確認や法律上問題ないか否かの確認など、社内で定められた所定の評価基準を使用し、チェックリスト形式でテンプレート化された評価シートに基づき評価を行う。この評価シートは自社の事業内容や事業目的に照らし合わせ、リスクを特定し、その対策を確認する内容となっていることから、評価シートで確認された内容に問題がなければ、リスクがないと評価される。簡易的な対応の場合、評価シートをチェックする作業は、事業部門が行い、その結果をデータガバナンス部
門や法務部門へ申請し、評価結果に問題がないかを確認する形で処理を行う。部
21

門間のやり取りは、主にメールで行われるが、申請からデータガバナンス部門でのチェックに至るまでシステム環境を整備し、一元的に管理している事業者もいくつか存在している。
実施期間は、開始から完了までおよそ 1～2 週間という事業者が多い。
 簡易的な対応で難しい場合
簡易的な対応では判断が難しい情報の取扱いや法律上の問題がある場合は、事業部門での対応が難しいため、データガバナンス部門や法務部門で個人情報等のフロー（業務フローとデータフローの両面から確認する事業者もあった）を確認しつつ、関係法令やセキュリティ上の問題などに照らし合わせ、事業内容や事業目的に応じた複合的な評価作業を行い、リスク要因を特定し、事業への影響度や発生可能性の観点から、リスクへの対応策についてデータガバナンス部門や法務部門の部門長クラスが判断を行う。評価方法は、簡易的な対応とは異なり、事業部門がデータガバナンス部門に対して必要な情報を事前に記載して申請を行い、会議にかけている事業者が多い。なお、会議には、データガバナンス部門だけでなく、法務部門、セキュリティ部門、カスタマーサポート部門や広報部門も参加して、審査にあたるケースもある。
実施期間としては、開始から完了まで 1～2 ヶ月を要している事業者が多く、デー
タガバナンス部門での対応が必要な PIA は月に 15 件～20 件程度という事業者が多かったが、中には年間 300 件を超えるという事業者もある。
 経営判断が必要な場合
重大なリスクが特定された場合やビジネスモデルの変更やシステム投資を伴う対応が必要となる可能性があるなどデータガバナンス部門や法務部門でも判断が難しい場合に、データガバナンス部門や法務部門で対応案を検討した後、最終的な判断を経営層が行うという事業者が多かった。
PIA に関して、経営層は判断を行うのみであるが、その判断の材料を収集し、対応案を検討する時間も含めると、経営層の判断が下されるまで数カ月を要するケー
スもある。

22

図表 11 閾値評価別対応イメージ①

図表 12 閾値評価別対応イメージ②

2.5.5. 実施コスト
PIA を円滑に運用するためのコストとして、システム投資を行ったという事業者も一部あるが、主にはデータガバナンス部門の人件費、社内に PIA を周知するための費
用、外部有識者の招聘費用など挙げる事業者が多い。
 システム費用
PIA を効率的に処理していくために、PIA の申請システムを導入したり、事業部
門やデータガバナンス部門などが過去に実施した PIA の結果を検索できるデータ
ベースを導入している事業者も少なからず存在する。その他、プライバシーテック企業が提供する PIA 管理ツールの導入を検討している事業者もある。
23



人件費
PIA を運営するための人件費確保を挙げる事業者が多かった。PIA を実施する
場合、事業部門においても PIA を担当するメンバーを置く必要がある事に加え、法務部門やセキュリティ部門を併任するメンバーでデータガバナンス部門を社内に設置する場合、併任を担うメンバーの業務量が増加することから、各部門の人員を増強する必要が生じる場合もある。専任でメンバーを置く場合、データガバナンス部門を新たに設ける場合には、DX 推進事業の一環として人件費を確保しているケースが多い。
 社内への PIA 周知費用事業部門が多岐にわたる場合、各事業部門への啓蒙が行き届いていないという課題を抱えている事業者があったり、新規事業の立ち上げや新たな顧客情報取得の際に PIA を実践してもらえないという課題を抱えている事業者もあった。こうした事業者は、PIA の周知を図るため、社内向けの研修や社内メールマガジンの配信を用いて、定期的に PIA の意義や必要性を周知したり、社内向け広報資料を作成し、社内に掲示するなど、様々な方法を用いて周知活動を行っていた。このような周知活動では研修用コンテンツや広報用資料の作成などに費用が発生している。
 外部有識者への支払い費用など
顧問弁護士に対しての支払いとして顧問費用を挙げた事業者が多かった。その他、社内用資料の作成や運営システムの仕様検討の段階において、専門性を有す
るコンサルティング会社へ依頼するケースもある。第三者機関に招聘した有識者に対して、顧問弁護士とは異なり、開催の度に謝金支払を行うなど、対応方法は様々であった。
図表 13 主な実施コストイメージ24

2.5.6. PIA 実施の効果
PIA 実施結果を公表している事業者は多くないが、PIA を実施した事業を担当する事業部門に限定して PIA 実施結果を開示したり、データベースに整理し、社内向けに限定して検索可能にしているケースが見られる。
また、社内向けにも PIA 実施結果を見られるようにしていない場合でも、実際にPIA の実施に関わることで、事業部門等の間で意識変化が見られたという意見が挙げられることも多い。
その結果は、以下の通りである。
 事業部門PIA 実施後に、データガバナンス部門から PIA 実施結果が開示されるケースが多い。開示結果を受け、事業部門内でも徐々に PIA の意義を理解し、PIA に対する意識の高まりが醸成される変化が生じているという意見が多い。
 データガバナンス部門
事業者によっては、PIA 実施のために、これまでは併任のメンバーによって構成していたデータガバナンス部門を独立した専任の部門として設置したり、専任のメンバーを置くなどの動きも出てきている。また、事業の委託先や外国へのデータ移転先といった部分も PIA の実施範囲に含めようとする動きが見られる。
 経営層
取締役等の経営層が、PIA の実施プロセスに参加するケースも徐々に増えてきており、新規事業の立ち上げや既存事業を強化する際に、経営層の意識改革にも少しずつつながってきている。
図表 14 PIA 実施の効果

25

その他、販売店舗に顧客管理システムを導入したが、PIA を実施したところ、顧客情報取得の際に、顧客に対し、販売店舗の全てで顧客情報の閲覧が可能であることを伝えていなかったが、ある販売店舗で取得した顧客情報を他の販売店舗の従業員も閲覧できることが判明した。このことから、システムの改変を行い、顧客情報へのアクセス権限の制限を行い、セキュリティ対策の強化を行った事例もある。
外国の事例として、クラウドサービス提供事業者は、外国でのサービス提供も前提とすることから、EU の一般データ保護規則（GDPR）等のクラウドサービス提供事業者
が拠点を置く国以外の法令遵守のため、「データ管理者としての PIA」と「データ処理者としての PIA」を別々に実施しているケースが多く、後者に関しては、サービス利用ガイダンスとして公表し、顧客に安心してサービスを利用してもらえるように取り組んでいる事例もある。
2.5.7. 参考にしたガイドライン類
PIA を実施するにあたり、個人情報保護法のほか、「PIA の取組の促進について―PIA の意義と実施手順に沿った留意点―」などの公表資料、JIS X 9251 などを参考にしている事業者が多い。その他、ガイドライン等の文書ではないが、プライバシー
テック企業が提供する PIA 管理ツールなどを利用し、PIA の実施を検討する企業もある。
2.5.8. その他（課題等）
PIA に取組む中で、事業者が直面している課題としては、以下のようなものがある。
 事業部門の意識向上
事業部門に対する啓蒙を課題として掲げている事業者が多い。社内研修等で周知活動を進めているものの、多くの事業者は、事業部門が PIA の重要性を理解す
るには、事業部門の部門長クラスが PIA の重要性を理解する必要があると考えているが、現時点において、事業部門の部門長クラスに PIA の重要性がそこまで広く浸透していない状況に課題意識を持っている。
一方で、データガバナンス部門と事業部門間の部門長レベルで連携が取れ始めてきている事業者もおり、事業部門長クラスの意識が変わっていくことで、事業部門
内へ幅広く浸透していくのではないかと期待されている。
 PIA に関する教育の必要性
上記にも関係するが、PIA の意義や実施方法などに関する認知度は、現場レベ
ルでは低い。新規事業の立ち上げでなく、普段の業務を遂行していく上でも、PIAの意義を意識することで、個人情報の取扱いが変わると思うが、まだまだそういった変化は見られない。
 委託先の評価
26

PIA を実施する際のステークホルダーに委託先を含めるケースも徐々に見られるようになってきてはいるが、評価基準の設定等が難航している。現在の対応策としては、自社で採用しているセキュリティ基準を委託先に要求し、自社と同等のセキュリ
ティ基準で委託先を評価する場合が多い。情報管理に関しては、モニタリングや監査を実施したり、契約書で規定を定めるなどの取組を推進しているが、委託先の数や外国の委託先との関係まで考えると、検討すべき課題は多く存在する状況である。
 省庁統一のガイドライン
要望ではあるが、言葉の定義や各文書の位置付けに迷うことも多く、一事業者が全ての関係法令及びガイドライン等を確認し、整理することが難しいことから、省庁統一のガイドラインがあれば、より対応を行いやすいという声もある。

27

3. データマッピングマニュアルの作成
3.1. データマッピングマニュアル作成のための調査の概要
データマッピングとは、事業者において、社内に存在するデータの項目、利用目的
及び所在等を社内部門横断的に把握し、取得から廃棄までの取扱状況を管理するために、自社が保有・利用等しているデータを棚卸して可視化する作業であり、適切な法令遵守を含む有効なデータガバナンスを実現していくために有用な手法である。
個人情報保護法の遵守を目的とするデータマッピングは、個人情報等を取り扱うすべての事業者にとって、国内における個人データの利用における個人情報保護法の規律の遵守状況を確認するために有用である。しかし、これにとどまらず、個人データ
を外国で利用する場合、例えば、個人データを外国にある第三者に提供する場合や外国で個人データを取り扱う場合の個人情報保護法の規律の遵守状況を確認するためにもデータマッピングを行うことは有用である。これらの外国に関する個人情報保護法の規律を遵守するためには、自社がどの業務プロセスにおいてどのようなデータをどこから（日本国内／外国）取得し、どこで（日本国内／外国）保管・管理し、また、どこ（日本国内／外国）に提供しているか等を把握することが重要であり、データマッピン
グは、これらの把握を可能にするものである。
データマッピングマニュアル（以下、「本マニュアル）という。）では、特に上記の個人
データを外国にある第三者に提供する場合や、外国で個人データを取り扱う場合の個人情報保護法の規律の遵守状況を確認することに留意して、作成されている。すな
わち、デジタル化された個人情報を用いる多様な利活用が、中小企業から大企業まで幅広い事業者によってグローバルに展開されていることを鑑み、個人情報保護法の令
和 2 年改正において、個人データの越境移転に係る情報提供の充実等、個人データの外国にある第三者への提供に関する規律が強化された。その他にも、ガイドライン（通則編）10-7 において、個人データを外国で取り扱う場合には外的環境を把握した上で安全管理措置を講じるべきことが明確化されるとともに、保有個人データに関し、安全管理措置を公表等することが義務付けられた。そのため、外的環境を把握した上で講じた安全管理措置の内容を公表等することが必要になる等、事業者においては、
個人情報の保護のために、従前よりも対応すべき項目が増えている。このことを受け、多くの事業者では、新たに求められることとなった越境データ移転等に関する規律等の適切かつ円滑な遵守のための対応が急務となっている。このような理由から、個人
データの越境移転等の規律の遵守に役立つことに留意して、本マニュアルを作成する。

28

図表 15 越境データ移転に係る改正の概要（法第 28 条）

なお、事業者において、個人データの項目、利用目的等を含む取扱状況を確認できるように手段を整備する手段として、すでに、いわゆる「個人情報取扱台帳」を作成している場合も考えられる。そのような事業者においては、本マニュアルを参考として、
当該台帳の形式を確認するとともに、必要に応じて台帳の形式を修正することを期待している。
また、マニュアル作成にあたって、欧州データ保護会議（EDPB）が 2021 年 6 月
18 日に発表した『EU レベルの個人データ保護を確実に遵守するための移転ツールを補足する措置に関する勧告 01/2020』（EDPB adopts recommendations on
supplementary measures following schrems II） 6（以下、「EDPB 勧告」という。）にある 6 つのステップを参考にした。

https://edpb.europa.eu/system/files/202106/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferst
ools_en.pdf
629図表 16 EDPB が公表している第三国への越境データ移転の 6 つのステップ

すなわち、上記の６つのステップ及び下記で述べる調査の結果を踏まえると、まず、データの可視化（データマッピング作業）を行った上で（上記ステップ１参照）、その後、個人情報保護法を遵守しているかの確認等をする（上記ステップ２参照）、との手順が有用であると考えた。
よって、本マニュアルは、上記の作業の前段として、作成目的の設定を行った後、データマッピングを行い、それを用いて個人情報保護法を遵守しているかの確認をする手順としている。
図表 17 本マニュアルと EDPB 勧告の対応イメージ（参考）
EDPB 勧告

本マニュアルの項目（１）作成目的の設定―（２）データの分類（３）確認項目の設定

ステップ１（４）個人情報保護法の遵守の確認

ステップ２

3.2. アンケート調査
アンケート調査では、実際に越境データ移転を行っている事業者から優良な取組として他の事業者にも横展開可能な要素を抽出することを目的に、インターネットによる調査を実施した。
3.2.1. 調査項目
EDPB が公表している第三国への越境データ移転の 6 つのステップの最初のステップである「どのデータを第三国へ移転するかを把握する」を行うためには、自社内にある個人データの項目、利用目的及び所在や状況を把握する必要がある。
そこで、事業者がどのように社内の個人データの項目、利用目的及び所在や状況
30を把握しているかを明らかにするために、自社内でのデータの保管方法、データへのアクセスに関する内容、越境データ移転を把握する仕組みの有無、社内担当部署の有無、越境データ移転において実施している対策、個人データの越境データ移転に関しての現状の事業者の認識などについて、調査項目を検討した。
加えて、日欧間の個人データの越境データ移転について SCC を用いている企業
が、新 SCC 制度への移行後（2022 年 12 月に現行 SCC は廃止予定）に十分性認定の活用に切り替える予定であるか、個人情報保護法の令和 2 年改正・令和 3 年改正への対応状況についても、併せて調査項目を検討した。
具体的な質問内容については、3.2.3 調査結果で示す。
3.2.2. 調査対象
事業規模の大小に関わらず、デジタル化された個人情報の利活用が進んでいることから、大企業だけでなく中小企業も含めた事業者を対象に調査を実施する必要がある。また、越境データ移転の場面を類型化し、社内対応手順の整理を想定することも考慮すると、実際に越境データ移転を行っている事業者から回答を得る必要がある。
そこで、大企業だけでなく、中小企業も含め越境データ移転を行っている事業者が多く参加していると考えられる団体等の会員企業などに対し、メールマガジンや DMを用いて、アンケート調査を実施した。具体的に対象とした団体は下表の通りである。
図表 18 調査対象
団体名

事業者数

理由

（一財）日本情報経済社
会推進協会

メールマガジン等購読者
16,722 社

越境データ移転に関するセミナーを開催した場合、2000 社以上が参加しており、質問にも越境データ
移転に関する相談が多い。

JEITA（電子情報技術産業協会）会員企業 348 社

グローバルな取引を行う事業者が多く、越境デー
タ移転の勉強会に招かれる事も多い事から一定数
越境データ移転を行っている事業者がいると考えられる。

（一社）ピープルアナリティ 会員企業 148 社
クス＆ＨＲテクノロジー協

主に外国の人事情報等の移転の議論が行われてお

31

団体名

事業者数

会

理由
り、一定数越境データ移転を行っている事業者がいると考えられる。

3.2.3. 調査結果
アンケート調査の結果は以下の通りとなった。
 調査方法：インターネット調査
 調査期間：2021 年 2 月 1 日～2 月 15 日
 有効回答数：246 社（回答率 1.4％）
Q1

貴社で取り扱う個人データ（顧客データ、従業員データなど）に関して、以下の選択肢に該当する取組を行っていますか。
あてはまるものを全て選択ください。
（MA n = 246 ）

回答件数（件）該当割合（%）

1 外国にある支社・事業所と個人データのやり取りがある。

10

4.1

2 外国にある現地法人・関連会社などと個人データのやり取りがある。

23

9.3

3 委託関係にある外国の企業へ個人データ管理を委託している。

14

5.7

4 委託関係がない外国の企業へ個人データを送っている。

52.0

5 外国企業がサービスを提供するクラウドサービスを利用している。

35

14.2

6 外国との個人データのやり取りはない。

191

77.6

8

7 その他
合計

Q2

ー

貴社は、以下のどの国で個人データの保管を行っていますか。

（SA n = 55 ）

回答件数（件）割合（%）

1 国内のみ22

40.0

2 国外のみ

0

0.0

3 国内外

28

50.9

4 分からない
合計

Q3

3.3

286

5

9.1

55

100.0

「国内のみ」と回答した企業様にお尋ねします。
国内で保管している個人データに、海外本社・海外支社・海外現地法人・海外委託先企業なども含む外国企業からのアクセスはありますか。
（SA n = 22 ）

回答件数（件）

割合（%）

1 はい

6

27.3

2 いいえ

14

63.6

3 分からない

2

9.1

22

100.0

合計

32

Q4

「国外のみ」「国内外」と回答した方にお尋ねします。
国外で保管している個人データに対する別企業からのアクセスや別企業へのデータ移転の状況について、当てはまるものを選んで下さい。
（SA n = 28 ）

回答件数（件）割合（%）

1 別企業からのアクセスがある。

9

32.1

2 別企業へデータ移転を行っている。

2

7.1

3 別企業からのアクセスもあり、かつ、データ移転を行っている。

5

17.9

4 別企業からのアクセスはない

9

32.1

5 分からない

3

10.7

28

100.0

合計

Q5

貴社又は貴社グループ会社において、外国に移転している個人データの管理・把握に関して、当てはまるものを選んで下さい。
（SA n = 55 ）

回答件数（件）割合（%）

1

管理・把握する仕組みが、貴社・グループ会社含め全体に存在す
る。

30

54.5

2

管理・把握する仕組みを持つ貴社事業部・事業所又は貴社グルー
プ会社が一部存在する。

10

18.2

3 管理・把握する仕組みは、自社・グループ会社含め一切ない。

6

10.9

4 その他

9

16.4

55

100.0

合計

Q6

「個人データについて管理・把握する仕組みがある」と回答された企業様にお伺いします。
貴社又は貴社グループにおいては、前の質問でご回答いただいた仕組みがおおむね仕組み通りに運用されていますか。仕組み通りに運用されていない場合は、その理由を記載下さい。
（SA n = 40 ）

回答件数（件）割合（%）

1 おおむね仕組み通りに運用されている。

38

95.0

2 仕組み通りに運用されていない。

0

0.0

3 分からない
合計

33

2

5.0

40

100.0

Q7

「管理・把握する仕組みが、貴社・グループ会社含め全体に存在する。」と回答された企業様にお伺いします。
外国に移転している個人データについて、以下のどちらの方法で管理・把握を行っていますか。
（SA n = 30 ）

回答件数（件）割合（%）

1

自社の事業部・事業所ごと又はグループ会社ごとに管理・把握する仕組みになっている。

20

66.7

2

自社の事業部・事業所又はグループ会社について、本社等が一括して管理・把握する仕組みになっている。

10

33.3

30

100.0

合計

Q8

貴社又は貴社グループにおいて外国へ移転している個人データをどのように管理・把握していますか。あてはまるものを選んでください。
（MA n = 55 ）
回答件数（件）該当割合（%）

1 外国への個人データの移転について社内規定を整備している。

34

61.8

2 外国への個人データの移転について教育を実施している。

27

49.1

事業を行うに際して、または移転先との契約等を締結するに際して、3 外国に移転する個人データの有無、移転する個人データの内容等を検討する社内フローの整備を行っている。

23

41.8

4

移転先との契約書等において移転する個人データを特定するような社内フローの整備を行っている。

21

38.2

5

個人データを外国に移転した際には、個人情報管理部署に報告す
る社内フローを整えている。

12

21.8

20

36.4

6

10.9

15

27.3

6 個人データを外国に移転した際には、台帳を作成している。

7

システム、ツールを利用して外国への個人データの移転を管理、把握している。

8 その他
合計

158

34

ー

Q9

外国への個人データの移転の管理をしている社内組織は設置されていますか。
（SA n = 55 ）

回答件数（件）割合（%）

1 外国への個人データの移転を管理している社内組織がある。

28

50.9

2 外国への個人データの移転を管理している社内組織はない。

22

40.0

3 分からない
合計

5

9.1

55

100.0

Q10 「外国への個人データの移転を管理している社内組織がある。」と回答された企業様にお尋ねします。
貴社ではどの部署が外国への個人データ移転の管理責任を担っていますか。専属か兼業を含め当てはまる部署を全て選んで下さい。
（MA n = 28 ）
回答件数（件）該当割合（%）
14.3

総務部門

4

1

専属

0

0.0

2

兼業

4

14.3

法務部門

8

28.6

3

専属

1

3.6

4

兼業

7

25.0

19

67.9

情報セキュリティ部門
5

専属

3

10.7

6

兼業

16

57.1

管理部門

6

21.4

7

専属

3

10.7

8

兼業

3

10.7

人事部門

3

10.7

専属

0

0.0

9
10

兼業

3

10.7

その他

5

17.9

11

専属

1

3.6

12

兼業

4
合計

45

Q11 「その他」と回答された企業様にお尋ねします。
外国への個人データ移転の管理責任を担う部署「その他」の具体的名称をご記入ください。
・ サービスシステム運用部署
・ 営業事務・ 事業部門、広報部門など
・ 情報リスクマネジメント部
・ 年賀事業本部年賀生産部

35

14.3
ー

Q12 貴社では、外国へ個人データを移転するにあたり、何か特別な措置を行っていますか。当てはまるものを全て選んで下さい。
（MA n = 55 ）
回答件数（件）該当割合（%）

1

データについての措置を行っている。 （例：データ保管時にデータを仮名加工情報へ加工する・データの暗号化を行っているなど）

12

21.8

2

システムについて措置を行っている。 （例：データ管理システムおよびサービスの完全性・可用性の確保を行っているなど）

23

41.8

3

組織について措置を行っている。 （例：事故発生時の復旧体制を整備しているなど）

23

41.8

4

契約などで措置を行っている。 （例：定期的な監査をしているな
ど）

32

58.2

アクセス制御を行っている。 （例：契約書等でアクセスできる範囲
5 等を個別に設定し、業務上必要な者が業務上必要な場合にのみアクセスできる旨を定めているなど）

31

56.4

6 その他

7

12.7

7 あてはまるものはない

6

10.9

合計

134

36

ー

Q13 貴社において、外国へ個人データを移転するにあたり、外部の専門家などに貴社のデータガバナンスのための「定期的な助言」を求めていますか。当てはまるものを全て選んで下さい。
（MA n = 55 ）
回答件数（件）該当割合（%）

1 国内の弁護士や行政機関に助言を求めている。

14

25.5

2 個人データの移転先国の弁護士に助言を求めている。

7

12.7

3 個人データの移転先国の行政機関に助言を求めている。

0

0.0

4

弁護士や行政機関関係者ではないが、コンサルティング会社等の国内の有識者や専門家に助言を求めている。

11

20.0

5

弁護士や行政機関関係者ではないが、コンサルティング会社等の移転先国の有識者や専門家に助言を求めている。

3

5.5

6 外部に助言を求めていない。

16

29.1

7 分からない

5

9.1

8 その他

10

18.2

9 あてはまるものはない

5

9.1

合計

71

ー

Q14 外国へ個人データを移転するにあたり、貴社のデータガバナンスの観点から「定期的な情報収集」を行うため参考にしているものとして、当てはまるものを選んで下さい。
（MA n = 55 ）
回答件数（件）該当割合（%）

企業が提供するPrivacy information managerなどのプライバ
1
シー管理プログラムサービスを用いて、情報収集をしている。

13

23.6

自社でインターネット等を検索し、公表されている資料を参考にして
いる。

19

34.5

3 その他

12

21.8

4 参考にしているものは特にない。

16

29.1

2

合計

60

37

ー

Q15 外国へ個人データを移転するにあたり、移転先の国が採用している認定制度の利用やガイドラインなどを参照していますか。
当てはまるものを全て選んで下さい。
（MA n = 55 ）
回答件数（件）該当割合（%）

1

1.8

5

9.1

6

10.9

6

10.9

0

0.0

6

10.9

7 上記以外の制度やガイドラインを参考にしている。

9

16.4

8 認定制度の利用やガイドラインの参照はしていない。

33

60.0

1 BCR（拘束的企業準則）の認定を取得している。
2

BCR（拘束的企業準則）の認定は取得していないが、自社の取組の参考にしている。

3 SCC（標準契約条項）の認定を取得している。
4

SCC（標準契約条項）の認定は取得していないが、自社の取組の参考にしている。

5 APECのCBPR認証を取得している。
6

APECのCBPR認証は取得していないが、自社の取組の参考にして
いる。

合計

66

ー

Q16 外国へ個人データを移転する際、その移転先となる企業などに対し、どのように監督していますか。
（MA n = 55 ）
回答件数（件）該当割合（%）

契約書等において、移転先となる企業などに対して、日本の個人情
1報に基づき求められる措置を具体的に定めている。

25

45.5

2

契約書等において、移転先となる企業などが日本の個人情報保護法を順守するように求めている。

27

49.1

3

移転先となる企業などに対して、個人データの管理について定期的な書面による報告を求めている。

12

21.8

4

移転先となる企業などに対して、個人データの管理について定期的に現地調査を実施している。

6

10.9

5

個人データの管理について問題が生じた場合には通知等を受け取ることとしている。

24

43.6

15

27.3

6 その他
合計

ー

109

Q17 貴社では、令和２年・令和３年改正個人情報保護法の施行に対応するための検討・対応を行っていますか。
（SA n = 246 ）

回答件数（件）割合（%）

1 行っている

212

86.2

2 行っていない

34

13.8

246

100.0

合計

38

Q18 令和２年・令和３年改正個人情報保護法の施行への対応を「行っている」と回答した企業にお尋ねします。
越境移転の規制の強化について、具体的にどのような検討・対応を行っていますか。
（MA n = 212 ）

回答件数（件）該当割合（%）

1 社内規則の改定を検討又は実施している。

140

66.0

2 社内の業務フローの改定を検討又は実施している。

58

27.4

3 社内の書式の改定、新たな書式の策定を検討又は実施している。

91

42.9

4 その他

40

18.9

合計

329

ー

Q19 令和２年・令和３年改正個人情報保護法の施行への対応を「行っていない」と回答された企業様にお伺いします。
対応を行っていない理由として、当てはまるものを選んで下さい。
（SA n = 34 ）
回答件数（件）1 担当部署が改正を知らなかった。
2

担当部署は改正内容は知っているが、対応は必要とは考えていな
い。

3 その他
合計

割合（%）

2

5.9

20

58.8

12

35.3

34

100.0

Q20 貴社は、標準契約条項（Standard Contractual Clauses: SCC）に依拠されていますか。
（SA n = 246 ）

回答件数（件）

割合（%）

1 はい

14

5.7

2 いいえ

232

94.3

246

100.0

合計

39

Q21 すでに日本はEUから十分性認定（※）を受けているため、EU域内から日本に個人データを越境移転する際に、SCCの締結は求められていません。そうした中で、貴社がSCCを利用している理由として当てはまるものを以下から全てお選びください。
（MA n = 14 ）
回答件数（件）該当割合（%）

1

十分性認定発効（2019年1月）前からSCCを利用しているた
め。

9

64.3

2

十分性認定とSCCを二重に利用することで、保険としての効果を期待しているため。

535.7

3 十分性認定には定期的な見直しがあるため。

4

28.6

4 SCCの方がメリットがあるため。

00.0

日本以外の国へ再移転をしており日欧間で十分性認定に依拠した5 としても、結局は日本と第三国間でSCCを締結する必要があるた
め。

3

21.4

6 十分性認定への対応が困難なため。

0

0.0

7 その他

3

21.4

合計

24

ー

Q22 2021年6月4日に、欧州委員会より、SCCの改定版（「新SCC」）が公表されました。現行のSCCは2021

年9月に廃止され、また、現行のSCCに依拠した個人データの移転は2022年12月に終了し、すべて新SCCに移行することが必要とされています。これに対して貴社はどのように対応しますか。 以下からお選びください。また、その理由についてもご教示ください。
（SA n = 14 ）

回答件数（件）割合（%）

1 EU域内のデータ移転元との間で新SCCを結び直す。

9

64.3

2 十分性認定に依拠したデータ移転に切り替える。

0

0.0

3 その他

5

35.7

14

100.0

合計

40

Q23 日本に対して十分性認定がなされた後のSCCの利用や、新SCC制定への対応について、法律事務所その他の第三者の意見を参照していますか。
（SA n = 14 ）

回答件数（件）

割合（%）

8

57.1

1 はい
2 いいえ
合計

6

42.9

14

100.0

Q24 第三者の意見を参照していると回答された企業様にお尋ねします。
参照されている意見と、当該意見の提供元である第三者について、可能な限り以下にご記入ください（第三者については、具体的な名称でなく「法律事務所」といった種別の記述でも結構です）。
・ グループ本社
・ 法律事務所

Q25 個人情報の越境移転（含む再移転）に伴い、定められている約款、締結されている契約につきまして、可能ならば実例をご記入ください。
・ Data Processing Agreement with SAP・ DTA・EU得意先から求められるSCC等個人情報の取扱いに関する契約 海外グループ会社の場合は、国内本社と同じポリシーを制定し、これが契約に当たる。

・ SCCを参照したIntra-Group Data Sharing Agreement
・ SCC契約書
・ webサイトから個人情報収集時の利用規約を制定している。
・ 現状、発生見込みはないものの、今後の業務の中で、必要かどうかを検討する予定である。
・ 個人情報保護規程、業務委託契約等の中に当該関係条項を記載など。

Q26 欧州との間で十分性認定に基づく越境移転を実施されている場合、そのために上記約款又は契約において特別に設定されている文言・条件等ございましたら、ご教示ください。
・ SCCを参照している。
・ 事故時の通知 監査権限
・ 十分性認定は適用していない
・法務部門ではないので、現時点では分からない。親会社、持株会社から法務部門へガイドラインなどが提供されていると思う。

41

Q27 貴社の従業員数を選択してください。
（SA n = 246 ）

回答件数（件）割合（%）

1 50人以下

74

30.1

2 51人～100人

24

9.8

3 101人～300人

65

26.4

4 301人～500人

20

8.1

5 501人～1,000人

24

9.8

6 1,001人～5,000人

26

10.6

7 5,001人以上
合計

13

5.3

246

100.0

Q28 貴社の業種をお知らせください。
（SA n = 246 ）

回答件数（件）

割合（%）

1 農業

0

0.0

2 林業，狩猟業

0

0.0

3 漁業

0

0.0

4 鉱業

0

0.0

5 建設業

7

2.8

6 製造業

26

10.6

7 卸売・小売業，飲食店

4

1.6

8 金融・保険業

8

3.3

9 不動産業4

1.6

10 運輸・通信業

166.5

11 電気・ガス・水道・熱供給業

1

0.4

119

48.4

13 公務

2

0.8

14 その他

59

24.0

246

100.0

12 サービス業

合計

3.3. ヒアリング調査
越境データ移転を実施している事業者に対し、ヒアリング調査を実施した。
3.3.1. 調査項目
アンケート調査項目で検討した内容を踏まえつつ、データマッピング実施の有無、データマッピング担当部署、社内のガバナンス体制とそのモニタリング方法と、ガバナン
ス体制の運営基準など、アンケート調査の質問には設定しづらい内容を加え、調査項
目を検討した。

42

3.3.2. 調査対象
アンケート調査において、「標準的な要素」を含む認定制度やガイドライン等を参照
しつつ、越境データ移転に対する個別対策を実施している事業者を抽出し、ヒアリン
グ調査の対象とした。また、インターネット関連事業者を中心に、デスクトップ調査等で既に越境データ移転を行っていることが分かった事業者もヒアリング調査の対象に加えた。
3.3.3. 調査結果
ヒアリング調査は、7 社に実施した。その概要を以下に示す。
図表 19 ヒアリング調査結果
国内外

分野

結果概要

IT 事業

特定の国へデータを移転する際に、社内でデータマッ
ピングを実施し、データの移転状況が分かるようにしている。認証機関が求めている情報をもとにデータマッピ
ングを実施し、認証機関の審査等でも活用している。

IT 事業

外国で数多くのエンジニアが働いているため、それぞれの国でアクセスがあるデータを可視化するために、自社独自でデータダイアグラムを駆使して、データマッ
ピングを実施している。

電気通信事業

外国のクラウドベンダーとの取引が多いため、国内の現場で外国へのデータ移転状況を確認してもらい、洗い出した情報を参考に、自社独自のケース一覧を作成
している。

国内

IT 事業

認証機関での審査に必要な項目と、自社独自で設計した項目を組み合わせて、外国へのデータ移転状況を把握するためにデータマッピングを実施している。

国内

その他
（製造業）

個人情報について、属性や保管場所、個人情報へのアクセス国といった項目を中心に分類し、情報の棚卸しを行い、データマッピングを進めている。

国内

その他
（製造業）

外国へ移転するデータのモニタリングを実施する為に、社内でデータマッピングを実施している。SCC を安
全管理措置の一環として採用しており、安定的な運用の観点から、十分性認定への切り替えは行わないため、新 SCC への変更に向けて準備をしている。

国内

IT 事業

組織全体で外国へのデータ移転状況を把握するため

国内

国内

国内

43

国内外

分野

結果概要
に、全体像を記したデータマッピングを実施している。
既存の SCC から、十分性認定への切り替えは行わな
いため、新たに発表される予定の新 SCC ガイドラインへの対応を準備している。

3.4. アンケート調査結果及びヒアリング調査結果から得た考察
アンケート調査とヒアリング調査は、越境データ移転の場面を類型化し、社内対応
手順を整理するため、実際に越境データ移転を行っている事業者の現状を把握することを目的に実施した。
アンケート調査の結果において、回答事業者の 77％超が「外国との個人データのやり取りはない。」と回答し、今回のアンケート調査回答事業者の大多数は外国との個人データのやり取りを実施していない状況であった。他方、「外国との個人データのやり取りがある」と回答した事業者のうち、40％が認定制度やガイドライン等を参照したと回答していることが明らかになった。
また、ヒアリング調査の結果から、実際にデータマッピングを実施している企業においても、データマッピングの実施にあたって参考にした文献等がない場合でも、自社の事業内容や関連会社等の状況を鑑み、独自に検討を重ね、自社に合ったデータマ
ッピングの手法が構築されていることが分かった。
このことから、認定制度やガイドライン等の「標準的な要素」と、各事業者が独自に越境データ移転対策として作成した「個別最適な要素」の交点が、多くの事業者が使用・参照できるポイントになるのではないかと考えられる。そこで、「標準的な要素」と「個別最適な要素」の交点を意識しつつ、社内対応手順を整理するための本マニュアルを検討した。

44

図表 20 多くの事業者が使用・参照しやすいポイントのイメージ

3.5. データマッピングマニュアル
3.5.1. 概要
個人情報保護法の遵守状況等を確認するために、社内に存在するデータの項目、
利用目的及び所在等を把握し、取得から廃棄までの取扱状況を管理できている状態を実現する手法であるデータマッピング（自社が保有・利用等しているデータを棚卸して、可視化する作業）のマニュアルを作成する。
また、本マニュアルの作成にあたっては、アンケート調査及びヒアリング調査より得られた結果を踏まえ、中小企業から大企業まで事業者の規模を問わず、使用・参照しや
すいよう、越境データ移転の場面を類型化し、社内対応手順を整理していく。
3.5.2. データマッピングマニュアル
3.5.1 で述べたとおり、本マニュアルにおいては EDPB 勧告の６つのステップ及び
上記で述べた調査の結果を踏まえ、作成目的の設定を行った後、データマッピングを行い、それを用いて個人情報保護法を遵守しているかの確認をする手順とした。
なお、上記の内容に触れた後、データマッピングの活用例についても、記載する。
（１） 作成目的の設定
事業者内にデータガバナンス部門などのデータマッピング担当部門を設置した上で、社内に存在する個人データの項目、利用目的及び所在を把握し、取得から廃棄までの取扱い状況を管理する手法であり、個人情報保護法を遵守するため等に必要かつ適切な措置を、円滑に遵守することできるよう、データマッピングの必要性を検討し、自社の事業内容等に応じたデータマッピングの作成目的を設定することが重要である。
45

データマッピングの目的としては、個人情報保護法を遵守しているかについて網羅的に確認するために事業者内のデータの所在などを確認するという広い目的だけではなく、以下のような具体的な目的を設定することが考えらえる。
・ 顧客からの要請に応じ自社のデータの管理状況を速やかに伝え、安心してサービスを利用していただくため・ 個人情報等の取扱いを委託している事業者の選定や当該事業者への要求事
項に係る定期的な評価に活かすため
・ クラウドサービスを利用する場合を含め、自社のデータの保存国に関する法制度等を踏まえた適切なリスクマネジメントを実施するため
データマッピングの作成目的を設定する際、データマピングの作成目的の設定時
期や設定を行う部門が異なると、作成目的を検討する担当者がそれぞれ異なり、作成目的にばらつきが生じ、適切なデータマッピングを行うことができない可能性がある。
そこで、データマッピングの作成目的を設定する際には、統括する部門を決め、一貫した考え方に基づき、統一的な理解で作成目的を設定し、社内に共有できるようにするすることが重要である。
（２） 取扱いデータの把握・分類
まず、自社の事業について、どのような部門が、どのようなデータを取り扱っているかを把握する必要がある。
その上で、自社が扱っているデータについて、事業名、個人データの取得部署などの分類を行う。グループ企業も含めたデータマッピングを行う場合は、グループ企業ごとに分類する欄を設けたり、データのカテゴリーを設定して分類する欄を設けるなど、分類方法は自社の事業内容に応じて柔軟に行う。
また、個人データは顧客情報だけではない。従業員、株主、取引先（担当者等）などに関する情報も含まれる。そのような情報に関しても、把握・分類する必要がある。
図表 21 データ分類の例（３） 確認項目の設定分類された情報に対し、自社の事業目的や事業内容に応じて確認項目を設定し、46

データマッピングを行っていく。
まず、個人データなどに関して、法令で求められる対応の漏れを防止するため、個
人情報保護法の観点から確認項目を設ける必要がある。個人情報保護法の観点から挙げられる例としては、個人情報保護法の分類を参考にして、データに個人情報が含まれるか否か、要配慮個人情報が含まれるか否か、個人関連情報が含まれるか否か、
仮名加工情報が含まれるか否か、匿名加工情報が含まれるか否か、利用目的などの確認項目が考えられる。
加えて、個人情報保護法は個人データの第三者提供に対して規律を設けていることから、第三者への提供の有無についても確認しておく必要がある。その際、①提供先の企業名、②提供先事業者の属性（配送業者など）、③提供形態（委託、共同利用など）、④提供の根拠となる契約の名称・管理番号等の契約書情報などについて確認
項目を設ける形が考えられる。
更に、個人情報保護法では、個人データを提供した者が外国にある第三者である
か否かによって規律を異ならせていることから、外国にある第三者への提供に関する確認項目についても設ける必要がある。
図表 22 確認項目の設定例①

また、個人データ漏えい等を防止するための安全管理措置の観点からも確認項目を設けることが望ましい。安全管理措置の観点から挙げられる例としては、媒体（例：
紙、データなど）、機密性（例：公開、社外秘、部外秘、極秘など）、完全性 7（例：高、中、低など）、可用性 8（例：高、中、低など）などの確認項目が考えられる。
7

ここでは、データを改ざんされた時に事業者が負う影響と責任の度合いに応じて、高（法律で安全管理が義務付けられている情報）、中（改ざんを受けた場合に大きな事業への影響がある情報）、低（改ざんによる事業への影響は小さい情報）を想定した例である。
8 ここでは、データの利用停止が引き起こす事業者への影響に応じて、高（利用停止等が原則許されない情報）、中（復旧までに数時間程度が許容可能な情報）、低（復旧までに 1 日程度が許容可能な情報）を想定した例である。
47

図表 23 確認項目の設定例②

その他、公的機関が示した指針や認定個人情報保護団体の個人情報保護指針等の業界自主ルール、JIS Q 15001 などで求められる個人情報を管理するための台帳の項目（保存期間等）や、自社の規程・契約・関連するセキュリティ管理策等も洗い出
し、確認項目を設定する必要がある。事業内容に応じて、法令の遵守に留まらない顧
客等の不安や懸念を払拭するための確認項目も設定することが望ましい。また、作成当初に設定しなかった確認項目なども事業内容の変更やビジネス環境の変化などに応じて随時追加し、新たなリスクに備えられるよう更新していく必要がある。
図表 24 確認項目の設定例③＜参考＞
データマッピングの手順
データマッピングの手順としては、以下のような手順とすることが考えられる。
(ア) 事業部門による記載
事業部門が、自部門が保有・利用しているデータについてデータマッピングの確認
項目を確認し、各項目を記載する。なお、「個人データ」について作成を依頼する等、法的な概念を使って事業部門に記載を求めると、誤った解釈により「個人データ」が漏48

れなくマッピングされない可能性がある。
そのため、「個人データ」についてデータマッピングする場合には、例えば、事業部門に対して個人データについて詳細な解説をして漏れがないようにする、個人データであるか否かにかかわらず「個人に関する情報」として広く網をかけて下記のヒアリングで選別する、その会社にある個人データの類型を示してその類型に合致するデータについて記載してもらう、等が考えられる。
(イ) データガバナンス部門によるヒアリング
上記のとおり、事業部門による各項目の記載が終了した後、データガバナンス部門
から事業部門に対しヒアリングを行う。事業部門がデータマッピングの対象となるデー
タや、データマッピング表の各項目適切に理解しているとは限らないため、ヒアリングをして、データマッピング表を完成させる。
(ウ) データマッピングを実施するタイミング
データマッピングを実施するタイミングとしては、①実施時期を決めて定期的に実施する（１年に１回実施する等）、②一度作成したデータマッピング表に変更が生じた場
合、その都度、実施する等が考えられる。
（４） 個人情報保護法の遵守の確認
上記のようにデータマッピングを行った後、これを用いて個人情報保護法の規律を遵守しているか否かを確認することが考えられる。なお、この確認においては、個人情報保護委員会のホームページ等で個人情報保護法の規律を確認するとともに、必要に応じて弁護士等の専門家のアドバイスも受けて行う必要がある。
（５） 活用例
上記のとおり、データマッピングを活用して、個人情報保護法を遵守しているかについて網羅的に確認したり、作成目的に従った範囲で個人情報保護法の遵守状況を確認するために活用することができる。
もっとも、法令遵守の観点だけでなく、事業リスクの特定・評価などにも活用が可能である。我が国が DFFT 9を提唱したように、グローバルにデータの流通が広がっていく中、新規事業の検討やキャンぺーンを実施する際には、個人情報を取得から利用・
DFFT（Data Free Flow with Trust：信頼性のある自由なデータ流通）とは、「プライバシーやセキュリティ・知的財産権に関する信頼を確保しながら、ビジネスや社会課
題の解決に有益なデータが国境を意識することなく自由に行き来する、国際的に自由なデータ流通の促進を目指す」という、我が国が 2019 年 1 月のダボス会議及び同年6 月の G20 大阪サミットにおいて提唱したコンセプト
949

保管・消去するまでの業務の流れとデータの流れを押さえるためのフロー図を作成し、データマッピングと合わせて確認することで、個人データの取り扱われ方が可視化され、リスクの特定に役立てることができ、顧客に安心・安全なサービス提供が実施できる。
また、作成したデータマッピングを用いて、越境データ移転や外国で個人データを取扱うことなどについてのリスクを特定し、リスクが発生した場合の影響度、発生可能性を検討し、十分な安全管理措置がなされているかどうかを確認していくために活用することができる。事業をローンチする際の判断材料に利用することは勿論、既存事業においても十分な安全管理措置が取られているか否かの確認にも利用することができ、十分な安全管理措置が取られていない場合、事業の見直しや撤退も含めて、事業リスクを低減するための検討にも役立てることができる。
更に、作成したデータマッピングから、リスクがある委託先事業者があれば、新しく契約書等を締結する、セキュリティ体制を強化してもらうといった対応の検討に役立てるといった委託先の管理手段として活用することもできる。

50