プライバシーガバナンスの構築と実践のポイント
PwCあらた有限責任監査法人
パートナー 平岩 久人
February 2022

Agenda1.

なぜプライバシーガバナンスが求められるのか？

04

2.

プライバシーガバナンスとして何を行う必要があるのか？

06

3.

どのようにプライバシーガバナンスを構築するのか？

11～ITガバナンスと3 Lines Modelを参考にして～

PwC

2

１．なぜプライバシーガバナンスが求められるのか？
プライバシー保護の取り組みに対する社会的要請、企業価値への影響の高まり、プライバシーリスクの特徴の3点が挙げられます。
社会的要請 イノベーションとリスクの低減
 「ビジネスと人権」の重要性

PwC

企業価値への影響の高まり いわゆる「炎上リスク」
 消費者からの信頼が鍵

プライバシーリスクの特徴
 社会的受容性は可変
 保護内容や範囲も拡大し得る

3

（参考）プライバシーに関する消費者の消費行動（意識）
多くの消費者がプライバシー保護に関して高い関心を示しており、類似商品の選択の際に、企業のプライバシーへの取り組みを考慮している。
調査概要
調査方法：インターネット調査、調査期間：企業向け2021年9月、消費者向け2021年8月
調査対象者：企業向け IoT推進コンソーシアム（※）会員企業等（大企業～中小企業・スタートアップ）
消費者向け 調査会社登録モニター、有効回答数：企業向け291社、消費者向け314名

消費者の73.6％は、プライバシー保護に関して、高い関心を示している。

あなたは、プライバシー保護（例えば、個人情報、個人情報に限定されない個人の行動・状態に関するデータ、プライバシー性の高い情報などの適切な取扱い）に関して、どの程度関心をお持ちですか。（消費者n=314）

消費者の88.5％は、類似商品の選択の際に、企業のプライバシーへの取り組みを考慮している。

複数の異なる会社から、内容的に似た商品・サービスが提供されており、そのいずれか一つを購入する場合について、お尋ねします。その商品・サービスが、あなたのプライバシーに影響を与える可能性があるような情報を取り扱うとしたら、提供企業の「プライバシーへの取り組み」を、あなたはどの程度考慮しますか。（消費者n=314）

PwC

出典：「プライバシーガバナンスに関するアンケート結果（速報版）」 経済産業省 総務省 https://www.meti.go.jp/press/2021/10/20211018002/20211018002.html

4

２．プライバシーガバナンスとして何を行う必要があるのか？
そもそもプライバシーガバナンスとは何か？については、次のとおり規定されています。

「企業のプライバシーガバナンス」とは、プライバシー問題の適切なリスク管理と信頼の確保による企業価値の向上に向けて、経営者が積極的にプライバシー問題への取り組みにコミットし、組織全体でプライバシー問題に取り組むための体制を構築し、それを機能させること*1（参考）「コーポレートガバナンス」とは、会社が、株主をはじめ顧客・ 従業員・地域社会等の立場を踏まえた上で、透明・公正かつ迅速・果断な意思決定を行うための仕組み*2

PwC*1 出典：「DX時代における企業のプライバシーガバナンスガイドブックのご紹介」 企業のプライバシーガバナンスモデル検討会事務局
https://www.meti.go.jp/policy/it_policy/privacy/dx_privacy_governance_guidebook_gaiyo.pdf*2 出典：「コーポレートガバナンス・コード」 株式会社東京証券取引所 2021年6月11日
https://www.jpx.co.jp/equities/listing/cg/tvdivq0000008jdy-att/nlsgeu000005lnul.pdf

5

２．プライバシーガバナンスとして何を行う必要があるのか？
プライバシーガバナンスガイドブックでは、経営者が取り組むべき3要件と5つの実施施策を提言するとともに、事例を掲載しています。
経営者が取り組むべき3要件
プライバシーガバナンスに係る姿勢の明文化

プライバシー保護責任者の指名

プライバシーへの取り組みに対するリソースの投入

PwC

5つの実施施策
1

体制の構築

2

運用ルールの策定と周知

3

企業内のプライバシーに係る文化の醸成

4

消費者とのコミュニケーション

5

その他のステークホルダーとのコミュニケーション

出典：「DX時代における企業のプライバシーガバナンスガイドブックのご紹介」 企業のプライバシーガバナンスモデル検討会事務局
https://www.meti.go.jp/policy/it_policy/privacy/dx_privacy_governance_guidebook_gaiyo.pdf

6

２．経営者が取り組むべき３要件のポイント
経営者が取り組むべき3要件ポイント


プライバシーガバナンスに係る姿勢の明文化

プライバシー保護責任者の指名

プライバシーへの取り組みに対するリソースの投入

PwC



経営者はプライバシー問題への取り組みを経営上の重要事項のひとつと認識し、プライバシー保護の軸となる基本的な考え方や姿勢を明文化し、それぞれの企業理念の下、組織内外に知らしめることが必要
経営者は、組織全体のプライバシー問題への対応の責任者を担当幹部（プライバシー保護責任者）として指名し、経営者が明文化した姿勢の内容を、その実現に必要な権限を与え責任範囲を明確にして遂行させることが必要
経営者は、明文化した姿勢の実践のため、必要十分な経営資源（ヒト・モノ・カネ）を投入し、また必要なリソースが継続的に投入され、 取り組み自体の継続性を高めることが必要

出典：「DX時代における企業のプライバシーガバナンスガイドブックのご紹介」 企業のプライバシーガバナンスモデル検討会事務局
https://www.meti.go.jp/policy/it_policy/privacy/dx_privacy_governance_guidebook_gaiyo.pdf

7

２． ５つの実施施策のポイント
5つの実施施策ポイント

1体制の構築2運用ルールの策定と周知

3

企業内のプライバシーに係る文化の醸成

4

消費者とのコミュニケーション

5

その他のステークホルダーとのコミュニケーション

PwC



プライバシー保護責任者の下で、中核となる組織を企業内に設けることが望ましい（＝「プライバシー保護組織」）
プライバシー保護組織を設けることで、社内の新規事業部門との密なコミュニケーションの醸成や、社外有識者などからの関連情報の収集、多角的な対応策の検討を遂行することができる

プライバシー保護への取り組みの運用が徹底されるためのルールを、プライバシー保護責任者の責任の下、組織内で策定しておくことが重要

企業に所属する従業員一人一人が、一個人や一消費者として当たり前のようにプライバシーに関する問題意識を持ち、消費者や社会と向き合った丁寧な対応をしていく状態が望ましい

消費者や社会の受け止めの変化を常に把握するとともに、平時の取り組みや、実際の問題発生時の対応について、消費者に対して積極的に分かりやすく説明を行うことも信頼確保のため重要企業がイノベーション創出や、 プライバシーリスクマネジメントにいかに能動的に取り組んでいるのかを、ステークホルダーに対して積極的に説明し、信頼を確保していくことが重要

出典：「DX時代における企業のプライバシーガバナンスガイドブックのご紹介」 企業のプライバシーガバナンスモデル検討会事務局
https://www.meti.go.jp/policy/it_policy/privacy/dx_privacy_governance_guidebook_gaiyo.pdf

8

（参考）プライバシー保護への消費者の評価と企業の取り組み状況「姿勢の明文化」・「保護責任者」・「保護組織」は、約半数の企業が取り組んでいる一方、「第三者に意見を聞く」・「ルールの策定」・「社内研修」は、取り組みが進んでいない。

PwC

出典：「プライバシーガバナンスに関するアンケート結果（速報版）」 経済産業省 総務省 https://www.meti.go.jp/press/2021/10/20211018002/20211018002.html

9

３．どのようにプライバシーガバナンスを構築するのか？
プライバシーガバナンスの構築に際しては、新規事業を推進する際等の意思決定に資する仕組みとプライバシーリスクを適切に管理する全社的な態勢にすることが肝要です。
ITガバナンス パーソナルデータの利活用にITは不可欠
 参考になるひとつのモデル／考え方

3 Lines Model 取り組むべき施策や機能の俯瞰的な検討に有用

 プライバシー保護組織を含む全社的な組織
設計／管理態勢の検討に有用

PwC

 組織のリスク管理・統制活動のモデル
 参考になるひとつのモデル／考え方

10

３．どのようにプライバシーガバナンスを構築するのか？
ITガバナンスとITマネジメントの区別、ITガバナンスの定義における経営陣の行動としてのEDMモデルは、プライバシーガバナンスの構築と実践においても参考になります。
ITガバナンスの概念イメージ*1

ポイント*2

経営戦略

ITガバナンス

DX等の取り込み

反映

情報収集、活用判断

経営者-IT戦略-

DX

環境整備
評価

方向付け

ITマネジメント

IT組織（文化醸成、人材育成、投資戦略）
モニター

ITリソース

価値の創出
PwC

IT投資管理プ
ロセス

ITリスク ITガバナンスとITマネジメントの区別
 ITガバナンス：経営陣がステークホルダのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す情報システム戦略の策定および実現に必要となる組織能力
 ITマネジメント：情報システムの企画、開発、保守、運用といったライフサイクルを管理するためのマネジメントプロセス
 EDMモデル
ITマネジメントとそのプロセスに対して、経営陣が「評価（Evaluate）」、「方向付け（Direct）」、「モニター（Monitor）」すること*1 出典：「金融機関のITガバナンスに関する対話のための論点・プラクティスの整理」 金融庁 令和元年6月 https://www.fsa.go.jp/news/30/20190621/01.pdf*2 出典：「システム管理基準」 経済産業省 平成３０年４月 https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri_h30.pdf

11

３．どのようにプライバシーガバナンスを構築するのか？
価値の保護だけではなく、価値創造の実現への寄与や幅広いステークホルダーの期待に応えることを目的とした3 Lines Modelの考え方は、プライバシーガバナンスの構築と実践においても参考になります。
ポイント• 第2線は第1線の代替機能を果たすものではない

Update• リスク管理を第１線にだけ任せればよいわけではなく、第2線によるReview & Challengeも重要• 内部監査機能におけるアシュアランスの範囲や特にガバナンス機
関に対するアドバイザリー機能が重要

PwC

出典： 2020年9月 IIAの3ラインモデル-3つのディフェンスラインの改訂（『月間監査研究2020.9（No.561）』）P.38の内容をもとにPwCあらた有限責任監査法人が作成

12

プライバシーガバナンスの全体像と取り組み（例）
法令遵守（Comply）を前提に、ステークホルダーへのプライバシー保護対策の開示・説明（Explain）を通じて、継続的に改善し続ける態勢が求められます。
プライバシーガバナンスの全体像（例）*
ガバナンス①パーソナルデータ指針の策定
経営層③プライバシー／プロダクト責任者の任命⑮⑨

フィードバック
評価

開示・説明

⑬

リスク監視

④ 業務執行部門

リスク管理部門

⑤

リスク管理

対話

合理的な保証③ リスクコントロール

CoE/部門横断組織

⑦

⑥リスク
識別リスク
評価

リスク対応

⑧

⑪

内部監査部門ベンダー体制整備

提供

⑩

コンサルタ
ント 等

評価

支援

マネジメント

学識経験者②プライバシーポリシーの改定
②

①

弁護士

取り組み（例）⑫

プライバシーガバナンス（ Comply & Explain ）

消費者
お客様
生活者

⑤プライバシー/プロダクト責任者と品質管理の役割
整理、関連部門間の連携体制構築⑥プライバシーレビュープロセスの確立（Privacy bydesign and PIA）
⑦プライバシー/プロダクト責任者等へのプライバ
シー教育/啓発⑧全従業員向け教育対話

顧客⑨プライバシーセンターの公開

対価・データフィードバック
評価

開示・説明④プライバシー保護組織の立ち上げ⑩アドバイザリーボードへの諮問⑪クライアントとのコミュニケーション⑭⑫プライバシーポリシーの中央管理、同意管理⑬プライバシー保護の取り組み開示・説明

外部のアシュアランス提供者
PwC* あくまで全体像の一例・イメージであり、ITガバナンスや3 Lines Modelの考え方を厳密に表現したものではありません。

⑭消費者意識調査⑮プライバシーリスク対応状況の報告

13

まとめ
なぜプライバシーガバナンスが求められるのか？
 社会的要請、企業価値への影響の高まり、プライバシーリスクの特徴の3点が挙げられます。

プライバシーガバナンスとして何を行う必要があるのか？
 経営者が取り組むべき3要件：①プライバシーガバナンスに係る姿勢の明確化、②プライバシー保護責任者の指名、③プライバシーへの取り組みに対するリソースの投入 5つの実施施策：①体制の構築、②運用ルールの策定と周知、③企業内のプライバシーに係る文化の醸成、④消費者とのコミュニケーション、⑤その他のステークホルダーとのコミュニケーション

どのようにプライバシーガバナンスを構築するのか？

 ITガバナンスと3 Lines Modelが参考になります。
 パーソナルデータの利活用による新たな企業価値の創出には、プライバシーガバナンス＝Comply & Explain型の組織体制が必要です。
PwC

14

Thank you
www.pwc.com/jp© 2022 PwC. All rights reserved.
PwC refers to the PwC network member firms and/or their specified subsidiaries in Japan, and may sometimes refer to the PwC network. Each of such firms andsubsidiaries is a separate legal entity. Please see www.pwc.com/structure for further details.
This content is for general information purposes only, and should not be used as a substitute for consultation with professional advisors.