DX時代における企業のプライバシーガバナンスガイドブックについて

令和２年11月
経済産業省 情報経済課

検討の背景︓Society5.0の実現・DXの推進とその前提
 我が国の今後の経済成⻑を維持し、Society5.0を実現するためには、創造的なイノベーションが不可
欠。（企業・経営と規制・制度の両⾯において、デジタル・トランスフォーメーション（DX）を一
体的に進めることが重要。）
 同時に、イノベーションによって生じる新たなリスクを社会が適切にコントロールし、社会的価値（財産・⽣命の安全、プライバシー、⺠主主義など）を実現するガバナンスが求められている。
 イノベーション促進の中心的存在である企業には、積極的に社会的価値と経済価値の両方を創造する
取組を推進するとともに、イノベーション自体から⽣じるリスクの低減を図ることが求められる。

“サイバー空間（仮想空間）とフィジカル空間（現実空間）を⾼度に融合させたシステムにより、経済発展と社会的課題の解決を両⽴する、⼈間中心の社会”（内閣府）

1

検討の背景︓企業に求められる視点（プライバシー） パーソナルデータの利活⽤の進展は、個々⼈の嗜好やニーズを踏まえた適確なアプローチを可能にし、ひいては社会課題解決にもつながることが期待される。他方で、IoTやAIなどの技術進展に伴って、プライバシー問題も多様化している。
 プライバシーに関する問題について、個人情報保護法の遵守（コンプライ）が中心として検討されることが多かった。しかし法令を遵守していても、本⼈への差別、不利益、不安を与えるとの点から、批判を避けきれず炎上し、事業の継続に関わるような問題として顕在化するケースも⾒られる。
 企業は、プライバシーに関する問題について能動的に対応し、消費者やステークホルダーに対して、積極的に説明（エクスプレイン）し、社会からの信頼を獲得することが必要。プライバシー対策をコストとしてではなく、むしろ商品やサービスの品質を高めることとして捉えなおすべき。
個⼈情報保護法とプライバシー保護、プライバシー問題の拡大

ステークホルダーとのコミュニケーション

2

検討の背景︓世界・国内それぞれの動き＜国際動向（EU･⽶国の動き）︓プライバシーの企業価値への影響の高まり＞
 EUではGDPRにより基本的⼈権の観点から、米国ではFTC法（第5条）により消費者保護の観点から、多額の罰⾦や制裁⾦の執⾏がなされ、経営者がプライバシー問題を経営上の問題として取り扱うことが認識されている。
 GDPRにおいては、独⽴したDPO（Data Protection Officer）の設置など、企業に求められる体制も位置づけられている。
 そのような環境下で、プライバシーを経営戦略の一環として捉え、プライバシー問題に適切に対応することで、社会的に信頼を得て、企業価値向上につなげている企業も現れている。
＜国内動向
︓グローバルで活躍する国内企業の動き、個人情報保護法制度改正⼤綱への対応＞
国際的なデータ流通により経済成⻑を目指すDFFTを実現する観点からも、セキュリ
ティやプライバシーの確保を通じた、⼈々や企業間の信頼が必要とされている。海外で求められるレベルへの目配せが国内企業にも必要となってきている。
個人情報保護法制度改正⼤綱でも、特にデジタル技術を活⽤した分野においては、⺠間
主導の取組の更なる推進が必要としている。その一環で、個人データの取扱いに関する責任者の設置やPIAの実施などの自主的取組が推奨されている。
3

企業のプライバシーガバナンスモデル検討会（令和元年10月〜令和２年６月）
⽒名（敬称略）

所属

座⻑

佐藤 一郎

国⽴情報学研究所委員

板倉 陽一郎ひかり総合法律事務所

委員

落合 正⼈

ＳＯＭＰＯリスクマネジメント株式会社

委員

クロサカ タツヤ

委員⼩林 慎太郎

株式会社野村総合研究所

委員

宍⼾ 常寿

東京大学 大学院法学政治学研究科

委員

⾼橋 克⺒

NTTセキュアプラットフォーム研究所委員

林

株式会社イエラエセキュリティ／ココン株式会社

委員

日置 巴美

三浦法律事務所委員

平岩 久⼈

PwCあらた有限責任監査法⼈

委員

古谷 由紀子公益社団法⼈日本消費生活アドバイザー・コンサルタント・相談員協会／サステナビリティ消費者会議

委員

村上 陽亮

株式会社KDDI総合研究所委員

森

弁護⼠法⼈英知法律事務所

委員

達也

亮⼆

若目⽥ 光生株式会社企

一般社団法⼈日本経済団体連合会 情報通信委員会企画部会
データ戦略ワーキング／株式会社日本総合研究所■オブザーバ
個⼈情報保護委員会、経済産業省 知的財産政策室、総務省 情報通信政策課、内閣官房 IT総合戦略室■事務局
経済産業省 情報経済課、総務省 消費者⾏政⼆課、一財）日本情報経済社会推進協会（JIPDEC）
4

DX時代における企業のプライバシーガバナンスガイドブックver1.0（令和２年８月28日）【対象読者】

パーソナルデータを利活⽤した製品・サービスを提供し、消費者のプライバシーへの配慮を迫られることが想定される企業や、そのような企業と取引をしているベンダー企業等であって、①企業の経営陣または経営者へ提案できるポジションにいる管理職等②データの利活⽤や保護に係る事柄を総合的に管理する部門の責任者・担当者 など

【活⽤方法】

以下のような活⽤シーンを想定。
①企業がデジタル・トランスフォーメーション（DX）を推進する等、⼤きな方向転換となる意思決定がなされたとき（大きな社会環境の変化等に伴い、デジタル技術を活⽤して、業務そのものや、組織、プロセス、企業文化・風土を変革するなど②消費者へのプライバシーへの影響が⼤きいと想定されるプロジェク
トの検討を開始するとき③経営者または株主、投資家、親会社等の関係者から、プライバシーに関わる問題への対応強化を求められたとき④経営者に対し、プライバシー保護に配慮した体制構築の強化を求めたい（適切な経営資源の配分を要請する）とき⑤自社や業界内等において、パーソナルデータの利活⽤がプライバ
シーに関わる問題として批判を浴びるような懸念（いわゆる炎上
等）を生じさせたとき など【構成】
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
3. 経営者が取り組むべき三要件
4. プライバシーガバナンスの重要項目
5.（参考）プライバシーリスク対応の考え方
6. （参考）プライバシー・バイ・デザイン
7. おわりに
参考文献
検討体制

企業が社会からの信頼の獲得するためのプライバシーガバナンスの構築に向けて、まず取り組むべきことをガイドブックとして取りまとめた5

DX時代における企業のプライバシーガバナンスガイドブックver1.0の全体像【対象読者】パーソナルデータを利活⽤した製品・サービスを提供し、消費者のプライバシーへの配慮を迫られることが想定される企業や、そのような企業と取引をしているベンダー企業等であって、①企業の経営陣または経営者へ提案できるポジションにいる管理職等②データの利活⽤や保護に係る事柄を総合的に管理する部門の責任者・担当者 など経営者が取り組むべき3要件
要件１︓プライバシーガバナンスに係る姿勢の明⽂化

経営戦略上の重要課題として、プライバシーに係る基本的考え方や姿勢を明文化し、組織内外へ知らしめる。経営者には、明文化した内容に基づいた実施についてアカウンタビリティを確保することが求められる。

要件２︓プライバシー保護責任者の指名

企業価値の向上･
ビジネス上の優位性

組織全体のプライバシー問題への対応の責任者を指名し、権限と責任の両方を与える。

要件３︓プライバシーへの取組に対するリソースの投⼊必要⼗分な経営資源（ヒト・モノ・カネ）を漸次投⼊し、体制の構築、⼈材の配置・育成・確保等を⾏う。

（参考）
プライバシー
リスク対応の考え方（PIAなど）プライバシー・バイ・デザイン＜社外有識者＞
学識者･コンサル･
消費者代表・弁護士など

プライバシーガバナンスの重要項目

社会からの信頼獲得

消費者･
その他の
ステーク
ホルダー
（参考）プライバシーガバナンスに係る取組の例

１.体制の構築（内部統制、プライバシー保護組織の設置、社外有識者との連携）
２.運⽤ルールの策定と周知（運⽤を徹底するためのルールを策定、組織内への周知）
３.企業内のプライバシーに係る⽂化の醸成（個々の従業員がプライバシー意識を持つよう企業文化を醸成）
４.消費者とのコミュニケーション（組織の取組について普及・広報、消費者と継続的にコミュニケーション）
５.その他のステークホルダーとのコミュニケーション（ビジネスパートナー、グループ企業等、投資家・株主、⾏政機関、業界団体、従業員等とのコミュニケーション）6経営者が取り組むべき三要件
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投⼊
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運⽤ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

7

経営者が取り組むべき三要件
 ガイドブックにおいては、プライバシー保護とデータ利活⽤を単に⼆項対⽴ではなく、プライバシーに配慮しながらデータ活⽤のメリットを最⼤化していくという視点で捉えることを位置付け。
 その上で、データ利活⽤が前提となる社会では、①プライバシー保護への取組が個々のサービスや製品の品質を高め、ひいては企業価値の向上につながる、②不適切なプ
ライバシー問題に関する取組は内部統制の構築義務違反として経営責任につながる、という両⾯から、経営陣がプライバシーガバナンスの構築を⾏う必要性を明確化。
 かかる観点から、経営陣が取り組むべき具体的な要件として三要件を提示。

＜経営者が取り組むべき三要件＞
要件１︓プライバシーガバナンスに係る姿勢の明⽂化
要件２︓プライバシー保護責任者の指名
要件３︓プライバシーへの取組に対するリソース投⼊
8経営者が取り組むべき三要件①
要件１︓プライバシーガバナンスに係る姿勢の明⽂化 企業がそれぞれの企業理念の下、一貫した姿勢で消費者のプライバシーを守っていくことは、商品やサービスの品質を向上させ、社会からの信頼の獲得、ひいては企業価値向上に繋がる。
 経営者はプライバシー問題への取組を経営上の重要事項の1つと認識し、プライバシー保護の軸となる基本的な考え方や姿勢を明⽂化し、組織内外に知らしめることが必要。
 トップダウンで浸透させることで、組織全体にプライバシー問題への認識を根付かせることができる。公表することで消費者やステークホルダー（株主、取引先等）からの信頼を⾼める根拠となる。
 経営者には、明文化した内容に基づいてプライバシー問題に取り組むことへのアカウンタビリティ確保が求められる。
 明文化の具体的な形としては、宣⾔の形をとったプライバシーステートメントや、組織全体での⾏動原則などを策定するケースもある。
事例︓NTTドコモ パーソナルデータ憲章の公表
株式会社NTTドコモでは、「パーソナルデータ憲章―イノ
ベーション創出に向けた⾏動原則―」を作成し、公表している。このパーソナルデータ憲章は、株式会社NTTドコモ
が「新しいコミュニケーション文化の世界の創造」という企業理念の下、これまでにない豊かな未来の実現をめざして、イノベーション創造に挑戦し続けていること、社会との調和を図りながら、未来をお客様と共に創っていきたいと考えていること、パーソナルデータの活⽤に当たり法令
順守はもちろん、お客様のプライバシーを保護し、配慮を実践することも重要な使命であることなどを宣言し、⾏動原則として6つの原則を提示している。

（出典）https://www.nttdocomo.co.jp/info/notice/pages/190827_00.html

9経営者が取り組むべき三要件②
要件２︓プライバシー保護責任者の指名
 プライバシーガバナンスの実現には、経営者による関与と明文化した内容の具体的な実践が不可欠。そのために、経営者は、組織全体のプライバシー問題への対応の責任者を担当幹部（プライバシー保護責任者）として指名し、経営者が姿勢を明⽂化した内容を実現するための責任を遂⾏させることが必要。
 その際には、プライバシー保護責任者の責任範囲を明確にし、プライバシー問題の発⽣を抑止するために必要な権限も与える必要がある。


プライバシー保護責任者は、GDPRでいうところの、強い独⽴性が担保されているデータ保護オフィサー（DPO）とは必ずしも同じものとは限らず、役員が担うこともありうる。

 経営者は、プライバシー保護責任者から報告を求め、評価をすることで、組織の内部統制をより効果的に機能させる。

10

経営者が取り組むべき三要件③
要件3︓プライバシーへの取組に対するリソースの投⼊ 経営者は、明文化した姿勢の実践のため、必要十分な経営資源（ヒト・モノ・カネ）を投⼊することが求められる。プライバシー問題に対応するための体制の構築や、⼗分な⼈員の配置、⼈材の確保・育成等を実施することが必要。
 プライバシーに係る対応は、事後的に追加するものではなく、事前に検討され、戦略、事業、システムへ組み込まれるべきもの。また、プライバシー問題は、経営状況や外部環境に必ずしも依存せず、常時発生する可能性がある。そのため、必要なリソースが継続的に投⼊され、取組自体の継続性が高められることが期待される。

11

プライバシーガバナンスの重要項目
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
5.（参考）プライバシーリスク対応の考え方
3.2 プライバシー保護責任者の指名
5.1 関係者と取り扱うパーソナルデータの特定と3.3 プライバシーへの取組に対するリソースの投⼊
ライフサイクルの整理
5.2 プライバシーリスクの特定
4. プライバシーガバナンスの重要項目（プライバシー問題の洗い出し）
4.1 体制の構築
5.3 プライバシーリスク評価（PIA）
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
6. （参考）プライバシー・バイ・デザイン
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボード
7. おわりになどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
参考文献
4.3 企業内のプライバシーに係る文化の醸成
検討体制

12

プライバシーガバナンスの重要項目（①体制の構築）
 プライバシーガバナンスの機能として、各部門の情報を集約し、事業におけるプライバシー問
題の発⾒することが求められる。さらに、対象となる事業の目的達成とプライバシーリスクマ
ネジメントを両⽴するために、対応策の多角的な検討が必要。
 プライバシー保護責任者の下で、中核となる組織を企業内に設けることが望ましい（＝「プライバシー保護組織」）。プライバシー保護組織を設けることで、社内の新規事業部門との密なコミュニケーションの醸成や、社外有識者などからの関連情報の収集、多角的な対応策の検討を遂⾏することができる。

＜社外有識者＞
学識者･コンサル･
消費者代表・弁護士など

13

プライバシーガバナンスの重要項目（①体制の構築）
プライバシー保護責任者の役割
 プライバシー保護責任者は、経営者が明⽂化した姿勢等の実践のための方針の確⽴及びプライバ
シーリスクを把握、評価し、対応策を検討できる体制の構築を進め、当該方針の実施を徹底する。
 経営者に対し報告を⾏い、経営者が明文化した内容と合致しているかを絶えず確認する。

プライバシー保護組織の役割
 企業内の各部門から新規事業やサービス内容に関する様々な情報を集約し、プライバシー問題が消費者や社会に発現するリスクを⾒つける。そのために、各部門と日頃から接点を持つとともに、プライバシー保護組織の存在を企業内に周知徹底する必要がある。
 プライバシー問題は、個⼈的な感じ方の相違や、社会受容性がコンテキストや時間の経過で移り変わることから、常に関連する情報を収集する（必要に応じて有識者との関係構築・相談も）。
 対象事業の目的を実現しつつ、プライバシーリスクに対応するために、ビジネススキームの観点、法制度やコンプライアンス上の観点、システム上・情報セキュリティ上の観点、社会受容性の観点
等、多角的に対応策を検討する。（例︓「ゼロサムではなくポジティブサム」）
 検討に当たり、新規事業や新規技術の開発部門のほか、必要に応じ、法務、システム関連、情報セ
キュリティ、コンプライアンス、広報、CS、政策企画等多様な部門と円滑な連携を図ることが重要。
 プライバシー問題が発⽣した場合の初動や、その後の再発防止策の策定等の事後対応について、事業部門と連携して情報を集約・検討し、プライバシー保護責任者へ報告・指示を仰ぐ。
 プライバシー問題に係る検討をした際の情報を履歴として蓄積し、活⽤できるようにしておく。

14

プライバシーガバナンスの重要項目（①体制の構築）
 企業によって設置する形態は異なる。専任者の確保が困難な場合には兼務の従業員のみで保護組織を構成するなど、自社のリソースに合わせて実効性のある組織を構築することが⼤切。
 プライバシー保護組織が機能するためには、多角的な観点に基づく検討を取りまとめ、複数部
署の間に⽴って調整できる人材が不可⽋。こうした⼈材を配置することに加え、プライバシー
保護は高い専門性が必要であることを念頭に、中⻑期的な視野で人材を育成することが必要。
 いずれの体制でも、企業が引き起こし得る、消費者のプライバシーリスクや実際の問題を素早く把握し、プライバシー保護責任者へ報告し、指示を仰ぐことができる体制にすることが重要。
＜プライバシー保護組織の企業内での位置づけの例＞

15

プライバシーガバナンスの重要項目（①体制の構築）
事業部門の役割
 プライバシー保護組織への日常的な相談や連携を通じ、自部門で扱う製品・サービス並びにデー
タなどがプライバシー問題を引き起こさないか当事者として確認をすることが必要。
 消費者との接点がある場合には、消費者との信頼関係を構築する上で重要なポジションであることを⼗分に認識し、消費者の受容性などにも考慮する必要がある。
 サービス提供や事業を担う部門として、CS部門などと連携し、平時から消費者の意⾒を広く受け取れる体制を構築することも重要。（例︓商品・サービスのレビューやSNS上での消費者による情報発信などに目を配る。）

内部監査部門や第三者的組織の体制構築
 内部監査の体制を構築するなど、独⽴した⽴場からモニタリング・評価することで、社内の取組を徹底でき、社外からの信頼を更に高める根拠にもなる。
 また、第三者的な⽴場の外部の有識者からなるアドバイザリーボード、諮問委員会などを設置し、評価・モニタリングを受けることも検討すべき。（有識者の例︓プライバシー問題に詳しい学識者、コンサルタント、弁護⼠、消費者団体等）
 有識者の専門的かつ客観的な意⾒を、経営者や社員へフィードバックする体制・仕組みを構築することで、組織全体としてプライバシー問題への意識を⾼めることも可能。
16

プライバシーガバナンスの重要項目
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
5.（参考）プライバシーリスク対応の考え方
3.2 プライバシー保護責任者の指名
5.1 関係者と取り扱うパーソナルデータの特定と3.3 プライバシーへの取組に対するリソースの投⼊
ライフサイクルの整理
5.2 プライバシーリスクの特定
4. プライバシーガバナンスの重要項目（プライバシー問題の洗い出し）
4.1 体制の構築
5.3 プライバシーリスク評価（PIA）
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
6. （参考）プライバシー・バイ・デザイン
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボード
7. おわりになどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
参考文献
4.3 企業内のプライバシーに係る文化の醸成
検討体制

17

プライバシーガバナンスの重要項目（②運⽤ルールの策定と周知）
運⽤ルールの策定と周知 構築した体制が実質的に機能するためには、サービスや技術が開発・提供される前に、プライバ
シー保護責任者やプライバシー保護組織によってプライバシーリスクが把握され、適切な検討がなされる必要がある。そのような運⽤が徹底されるためのルールを、プライバシー保護責任者の責任の下、組織内で策定しておくことが重要。
 例えば、プライバシー保護のための対策や、「どのタイミング」で「誰が」プライバシーリスクを評価するかなどの観点から、ルール化することが望ましい 。ただし、画一的な対応を招かぬよう、
原理・原則の理解や定着を心掛けるとともに、継続的に内容の⾒直し・修正を⾏うなどのメンテナンスも必要。
 プライバシー保護責任者やプライバシー保護組織は、ルールを組織全体に周知徹底する必要がある。

18

プライバシーガバナンスの重要項目
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
5.（参考）プライバシーリスク対応の考え方
3.2 プライバシー保護責任者の指名
5.1 関係者と取り扱うパーソナルデータの特定と3.3 プライバシーへの取組に対するリソースの投⼊
ライフサイクルの整理
5.2 プライバシーリスクの特定
4. プライバシーガバナンスの重要項目（プライバシー問題の洗い出し）
4.1 体制の構築
5.3 プライバシーリスク評価（PIA）
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
6. （参考）プライバシー・バイ・デザイン
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボード
7. おわりになどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
参考文献
4.3 企業内のプライバシーに係る文化の醸成
検討体制

19

プライバシーガバナンスの重要項目（③企業内のプライバシーに係る⽂化の醸成）
企業内のプライバシーに係る⽂化の醸成 プライバシーガバナンスを実質的に機能させていくためには、プライバシーリスクに適切に対応できる企業文化を組織全体で醸成することが不可欠。企業に所属する従業員一人一人が、一個人や一消費者として当たり前のようにプライバシーに関する問題意識を持ち、消費者や社会と向き合った丁寧な対応をしていく状態が望ましい。
 このような企業文化を根付かせるためには、経営者やプライバシー保護責任者が発信し続けるなど、継続的な取組が必要。こうした取組は、社内の専門⼈材育成の基盤となる。

＜企業文化の醸成に係る取組の例＞
 定期的なe-learningや研修教育 社員必携の冊子などの中で、プライバシー問題に対する姿勢に言及
 プライバシー問題に対する方針と連動したハンドブック等の配布
 プライバシー保護責任者の活動を社内広報する等の啓発活動
 パーソナルデータを取り扱う部署に対し、教育を集中的に実施
 新⼊社員配属時、部署移動時のタイミングでの教育サポート
 定期的な配置転換（ジョブローテーション）の対象とする

20

プライバシーガバナンスの重要項目
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
5.（参考）プライバシーリスク対応の考え方
3.2 プライバシー保護責任者の指名
5.1 関係者と取り扱うパーソナルデータの特定と3.3 プライバシーへの取組に対するリソースの投⼊
ライフサイクルの整理
5.2 プライバシーリスクの特定
4. プライバシーガバナンスの重要項目（プライバシー問題の洗い出し）
4.1 体制の構築
5.3 プライバシーリスク評価（PIA）
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
6. （参考）プライバシー・バイ・デザイン
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボード
7. おわりになどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
参考文献
4.3 企業内のプライバシーに係る文化の醸成
検討体制

21

プライバシーガバナンスの重要項目（④消費者とのコミュニケーション） プライバシーガバナンスの実施においては、消費者と継続的にコミュニケーションを⾏う必要がある。消費者や社会の受け止めの変化を常に把握するとともに、平時の取組や、実際の問題発⽣時の対応について、消費者に対して積極的に分かりやすく説明を⾏うことも信頼確保のため重要。
○組織の取組の公表、広報（次⾴事例①）• 企業のプライバシー問題への考え方や、リスク管理のあり方を取りまとめ、社外に公表。（例︓透明性レポート）• パーソナルデータを活⽤した新規プロジェクトの実施方針や内容を、事前に公表するケースも増えている。消費者からのコメントを受け付け、検討・反映してから、事業開始するという取組も一般化しつつある。

○消費者との継続的なコミュニケーション（次⾴事例②・③）• 機能追加や利⽤規約等の改訂のタイミングで、プライバシーリスクへの対応がどのように変化したのか、迅速に、分かりやすくWebサイト等でお知らせする。情報更新時には利⽤者へのプッシュ通知を⾏うなど、企業から消費者への積極的なアプ
ローチを継続することが大切。
• プライバシーは変化しうるため、消費者の意識について、各種消費者との接点から把握するよう努める必要がある。プライバシー問題に係る意識調査等を継続的に⾏い、取組に反映させることも一つの方法。

○問題発⽣時の消費者とのコミュニケーション• 実際にプライバシー問題が生じた場合に備え、組織全体として問題発生時の体制や対応の流れを、サービス・製品のリリース前に検討し、構築しておくことが必要。
• 漏えい等の実害を受けた消費者に対しては、発⽣している事象の内容・原因・対応状況などを、謝罪と共に分かりやすく伝える必要がある。
• ⼆次被害発⽣のおそれがある消費者に対しては、被害の回避・軽減のための措置（暗証番号の変更等）を迅速に実施してもらう必要があるため、個別の通知を⾏うなど、あらゆる手段をつくす必要がある。
• なお、問題の性質によっては、情報提供を⾏うことにより被害を拡大する場合があるため、セキュリティの専門家と相談のう
え情報提供を⾏うべき。
22

（参考）プライバシーガバナンスの重要項目（④消費者とのコミュニケーション）
企業における取り組み事例
事例①︓LINE TRANSPARENCY REPORTの公表
LINE株式会社の「TRANSPARENCY REPORT」では、消費者から預かるデータをどのように取り扱っていたかを定期的に報告し、プラットフォーム運営に当たっての考え方を公表している。

事例②︓NTTドコモ パーソナルデータダッシュボードの提供
株式会社NTTドコモは、お客様自身のデータの提供先と種類の確認・変更、データ取扱いに係る同意事項の確認などの機能を提供している。

（出典）https://datadashboard.front.smt.docomo.ne.jp/

事例③︓日⽴製作所・博報堂 生活者情報に関する意識調査の実施（出典）https://linecorp.com/ja/security/transparency/top

株式会社日⽴製作所と株式会社博報堂は、個⼈の意識の変化を定量的に把握することを目的に、継続的に意識調査を実施している。
（参考）「第四回 ビッグ
データで取り扱う生活者情報に関する意識調査」を実施）

https://www.hitachi.co.
jp/New/cnews/month/2
019/06/0606.html（出典）https://www.hitachi.co.jp/products/it/bigdata/
bigdata_ai/personaldata_privacy/index.html

23

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
5.（参考）プライバシーリスク対応の考え方
3.2 プライバシー保護責任者の指名
5.1 関係者と取り扱うパーソナルデータの特定と3.3 プライバシーへの取組に対するリソースの投⼊
ライフサイクルの整理
5.2 プライバシーリスクの特定
4. プライバシーガバナンスの重要項目（プライバシー問題の洗い出し）
4.1 体制の構築
5.3 プライバシーリスク評価（PIA）
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
6. （参考）プライバシー・バイ・デザイン
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボード
7. おわりになどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

24

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション） ステークホルダーと継続的にコミュニケーションをとり、企業がイノベーション創出や、
プライバシーリスクマネジメントにいかに能動的に取り組んでいるのかを、ステークホ
ルダーに対して積極的に説明し、信頼を確保していくことが重要。
○ステークホルダーへの対応
以下についてそれぞれ整理。
（１）ビジネスパートナー（取引先・業務委託先）（２）グループ企業等（３）投資家・株主（４）関係⾏政機関（５）業界団体（６）従業員等25

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション）（１）ビジネスパートナー（取引先・業務委託先）
 企業が事業を推進する際には、ビジネスパートナーも含めてプライバシー問題に適切に対応しなければ、自社を含む関係企業及び当該事業全体の信頼を失うことになる。
 特に、技術革新に⽐例して新たなプライバシーリスクが発生していることから、ベンダー等のシステム関係の取引先と密なコミュニケーションを図り、消費者のプライバシーに対する懸念を絶えず⾒直し、システム面で事前に対応ができないかを検討・対応することが望ましい。
 発注側は、プライバシー保護の観点からも適切な対応ができるような技術や説明を取引先（ベンダー）に要求。
取引先は、発注側がプライバシー問題に配慮したシステ
ム運⽤ができるよう、提供技術の説明⽂書や、技術を利⽤する際のプライバシーに関わるガイドライン、同意書のテンプレート等の提供や、発注側の理解を深めるための勉強会の開催も有効。発注側のサービスがプライバシー問題を起こさず社会に受容されることで、取引先の技術もさらに普及するという好循環につながる。

 業務を他社に委託する場合、問題が⽣じたときには委託元にも責任が発⽣。適切な対応ができる委託先を選び、対応に関わる体制・技術などの説明を委託先に要求すべき。同時に、委託元のプライバシーへの取組を⾼めるよう、
委託先の協⼒も重要。プライバシー問題の発生時には委託元が顧客や消費者に対して真摯に対応する必要がある。
26

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション）（２）グループ企業等


グループ内の子会社などが主体となって推進する事業であっても、プライバシー問題が発生すればグループ全体のブランドや信頼が失墜しうるため、グループ全体でのプライバシー問題への対応も意識する必要がある。



海外に拠点がある場合には、国ごとに対応が必要であることに注意。

（３）投資家・株主


投資家も、企業業績への影響や社会的責任という観点から、リスク管理体制の強化についても、コストではなく先⾏投資として評価する傾向がみられる。株主や投資家に対しても、企業のプライバシー問題への対応を明確に説明することがますます求められる。トランスペアレンシーレポートの作成・公表なども、透明性の⾼い説明の一助に。

（４）関係⾏政機関

個人情報保護委員会等、パーソナルデータの利活⽤やプライバシー問題に取り組む⾏政機関の相談窓⼝を日頃から確認し、プラ
イバシーリスクが⾼いと思われる事業を開始する際には、事前に相談を⾏うことが重要。

（５）業界団体


業界によっては、事業の健全な発展を図り、消費者の理解を醸成するため、業界団体や認定個⼈情報保護団体などを組成し、調査・研究、広報・PR活動、意⾒発表、関係省庁との連絡・意⾒具申などを実施している場合がある。同業他社が同じ技術分野
でプライバシー問題を起こしてしまうと、自社の同様のサービスについても消費者の信頼を失ってしまう可能性がある。



業界団体などを通じ、プライバシー問題にかかる情報共有に参加し、積極的に情報提供及び情報⼊⼿を⾏うことが必要。また、⼊手した情報を有効活⽤できるような環境整備が必要。

（６）従業員等


企業は従業員のプライバシーに関する情報を取り扱うことが多いことから、従業員へのプライバシーにも配慮が必要。他方で、事業運営上の要請から、従業員のプライバシーを制限する必要が生じる場⾯や、従業員に関する情報の漏えいのリスクも存在。



このため、従業員もコミュニケーションをとるべき主体として捉え、従業員との対話や従業員代表を通じた説明・周知などの取
組が重要。



求職者、退職者、取引先の従業員等に対しても、配慮が必要。

27

5.（参考）プライバシーリスク対応の考え方〜６．（参考）プライバシー・バイ・デザイン

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投⼊ 5.1 関係者と取り扱うパーソナルデータの特定と4. プライバシーガバナンスの重要項目
4.1 体制の構築
4.1.1 プライバシー保護責任者の役割
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
4.2 運⽤ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成

ライフサイクルの整理
5.2 プライバシーリスクの特定（プライバシー問題の洗い出し）
5.3 プライバシーリスク評価（PIA）

6. （参考）プライバシー・バイ・デザイン
7. おわりに
参考文献
検討体制

28

（参考）プライバシーリスク対応の考え方（関係者と取り扱うパーソナルデータの特定とライフサイクルの整理）
 新規事業を⾏う際に、プライバシーに関するリスクの洗い出しを⾏う。そのためには、まず、対象事業がどのようなパーソナルデータのライフサイクルとなるのか整理する必要がある。
 対象事業の関係者（消費者、パートナー、委託先等）を特定する
 対象事業で取り扱うパーソナルデータを特定する
 パーソナルデータは、直接取得するデータだけではなく、第三者からの購⼊やプロファイリン
グによって推測されるデータも含むこと

データの蓄積データの取得個⼈からの⼊⼒で⼊⼿したデータ
センサーデータ等

サービス開発データの分析・活用

A社

サービス提供データの開示
顧客
データの廃棄データの提供データの取得
データの蓄積B社
データの分析・活用

図は、データの取得からデータの再提供や廃棄に至るまでのライフサイクルを、例として示したものである。データのライフサイクルの確認に合わせて、関係する取引事業者との関係性についても、早い段階で整理が必要である。（この段階で対象事業のス
キームを決めておかないと、プライバシー問題だけではなく、法的な観点からも実施すべき責務が変わる点に注意が必要である。）
対象事業のパーソナルデータのライフサイクルの可視化を⾏う中で、消費者が認識しやすい部分と、認識しづらい部分も⾒えてくる。
特に、IoT機器により取得されたパーソナルデータや、
プロファイリング等で推測されたデータの活⽤などについては、プライバシー問題が起こりやすいため、
パーソナルデータの取扱いやその目的を丁寧に説明する必要がある。

同じように繰り返される・・・

29

（参考）プライバシーリスク対応の考え方（プライバシーリスクの特定（プライバシー問題の洗い出し）） パーソナルデータのライフサイクルの中で、どのようなところにプライバシー問題が発⽣するかについて洗い出し、そのプライバシー問題への対応方法を検討する。
 プライバシー問題はリスクベース アプローチ で考えること
 事業の特性に応じて、プライバシー問題の体系的な整理を⾏うこと
 組織の目的、能⼒、プライバシー問題に適したプライバシーリスク特定のためのツール や技術を⽤いること【プライバシー問題の例】（出典）「プライバシーの新理論」（D・J・ソローブ、2013年）より作成

30

（参考）プライバシーリスク対応の考え方（プライバシーリスクの特定（プライバシー問題の洗い出し））【プライバシー問題の例】
データ収集
データ処理

データ拡散

（出典）「A Taxonomy of Privacy」（DANIEL J. SOLOVE、2005年）を参照して事務局作成

監視

継続的なモニタリングにより、個⼈に対して不安や居心地が悪い感情を与えてないか

尋問

個⼈に圧⼒をかけて情報を詮索してないか、深く探るような質問で個⼈が強制を感じ、不安になってないか集約

ある個⼈の情報の断片を集め、それにより、個⼈が想像しなかった新しい事実が明らかになることにより、個⼈の期待を裏切ってないか同定

あらゆるデータを個⼈に結び付けることで、個⼈にとって害のある情報も結び付けられてしまい、個⼈に不安、不満を与えてないか

非セキュリティパーソナルデータを不適切に保護し、個⼈に対して不利益を被るようなことが起こってないか

目的外利⽤

個⼈の同意なしに当初の目的とは違うデータ利⽤を実施し、個⼈を裏切るような⾏為になってないか排除

個⼈のデータの開示・訂正の権利を与えない等、重要な意思決定に対して個⼈のコントロールが効かないようになっていないか

守秘義務関係破壊

特定の関係における信頼関係により取得した個⼈のデータを、他社に開示するなどで個⼈へ裏切りの感情を与えてないか

開示

個⼈のデータを第三者へ開示されることで、⼆次利⽤先で更なるプライバシー問題が生じていないか

暴露

生活の諸側⾯の他者への暴露により、深刻な恥辱を経験し、個⼈の社会参加能⼒を妨害することになっていないか。

アクセス可能性の増大 パーソナルデータへの他者のアクセス可能性を増大させ「開示」のリスクを⾼めていないか。
脅迫パーソナルデータの暴露、他者への開示などを条件に、脅迫者と非脅迫者に強⼒な権⼒関係を作り出し、支配され、コントロールされる事態になっていないか。

盗⽤

他者のアイデンティティやパーソナリティを誰かの目的のために⽤い、個⼈が自分自身を社会に対してどのように掲示す
るのかについてコントロールを失わせ、自由と自己開発へ介⼊することになっていないか。

歪曲

個⼈が他者に知覚され判断される仕方を操作し、虚偽であり、誤解させることで、恥辱やスティグマ、評判上の危害に帰結することはないか。自分自身についての情報をコントロールする能⼒と、社会にとって自分がどのようにみられるかを限定的にしないすることになっていないか。自己アイデンティティと公共的生活に従事する能⼒に不可欠な評判や性格を捻じ曲げることになっていないか。社会的関係の恣意的かつ不相応な歪曲が⾏われる恐れはないか。

個 ⼈ へ の 直 接 侵⼊的な介⼊

必要以上の個⼈へのアプローチ（メールや電話等）により、個⼈の日常の習慣が妨げられ、居心地が悪く不安な感情を引き起こされてないか

意思決定への介⼊

個⼈の生活において重要な意思決定に対してAIを⽤いている場合等において、決定方法が不透明で、個⼈に萎縮効果が働いてないか※AIを前提とした社会においては、個⼈の⾏動などに関するデータから、政治的⽴場、経済状況、趣味・嗜好等が⾼精度で推定できることがあり、本⼈の望まない形での流通や利⽤により、個⼈の自由、尊厳、平等の侵害といった問題が発生する可能性があるが、「集約」や「同定」といったプライバシー問題において、それらの問題が観念されるだろう。（⼈間中心のAI社会原則（総合イノベーション戦略推進会議、2019年）にも「プライバシー確保の原則」が定められている）

31

（参考）プライバシー・バイ・デザイン、プライバシー影響評価（PIA）
 基本的なプライバシー保護の考え方として、参照できるグローバルスタンダードの1つに、プライバ
シー・バイ・デザインというコンセプトがある。これは、ビジネスや組織の中でプライバシー問題が発生する都度、対処療法的に対応を考えるのではなく、あらかじめプライバシーを保護する仕組
みをビジネスモデルや技術、組織の構築の最初の段階で組み込むべきという考え方。
 プライバシー影響評価（PIA）とは、個人情報及びプライバシーに係るリスク分析、評価、対応検
討を⾏う⼿法。なお、ISO/IEC 29134:2017では、PIAの実施プロセス及びPIA報告書の構成と内容についてのガイドラインを提供している。今後、JIS規格も発⾏される⾒込み。
 個人情報保護法改正⼤綱でも「⺠間の自主的な取組を促進するため、委員会としても、PIAに関する事例集の作成や表彰制度の創設など、今後、その方策を検討していくこととする」と記載がある。
プライバシー・バイ・デザイン ７つの原則

PIAの必要性の決定

事前的／
予防的

利⽤者の

初期設定と

プライバ

してのプラ

シーの尊

イバシー

重

技術
デザイン

可視性／
透明性

ビジネス
モデル
徹底した
セキュリ
ティ

プライバシー影響評価（PIA）

組織
ゼロサム
ではなく
ポジティ
ブサム

に組み込
む

•しきい値分析•PIA準備のための命令•PIAの実施要領及び範囲の判断

PIAの実⾏•PIAの事前準備•利害関係者のエンゲージメント•プライバシーリスクアセスメント•プライバシーリスク対応

PIAのフォローアップ•報告書の準備•公表•プライバシーリスク対応計画の実施•PIAのレビュー及び／又は監査•プロセスへ変更を反映

32

最後に︓ガイドブックver1.0を通じたメッセージ データ利活⽤が前提となる社会において、企業がプライバシーに関して真摯に検討し取り組むことは、社会から信頼を獲得し、企業価値向上につながる。
 したがって、プライバシー問題への対応を、単なる「コンプライアンス」として受け止めず（当然の前提とした上で）、経営戦略の一環として捉えなおし、経営上の武器として検討していくことが重要。
 企業のプライバシーガバナンスとは、プライバシー問題の適切なリスク管理と信頼の確保による企業価値の向上に向け、経営者が積極的にプライバシー問題にコミットし、組織全体としてプライバシー問題へ取り組むための体制を構築し、機能させること。

33

（参考）ガイドブックver1.0について「DX時代における企業のプライバシーガバナンスガイドブックver1.0」の本⽂は、以下ウェブサイトからダウンロードいただけます。ぜひご覧ください。

 経済産業省 ニュースリリース「DX時代における企業のプライバシーガバナンスガイドブックver1.0」を策定しました
https://www.meti.go.jp/press/2020/08/20200828012/20200828012.html
 総務省 報道資料
「DX時代における企業のプライバシーガバナンスガイドブックver1.0」の公表
https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000098.html
 IoT推進コンソーシアム ホームページ「企業のプライバシーガバナンスモデル検討会」ページ
http://www.iotac.jp/wg/data/govenance/
プライバシーガバナンスガイドブック
34

参考⽂献
「Society5.0」（内閣府、ホームページ）https://www8.cao.go.jp/cstp/society5_0/index.html「OECD Principles on AI」（OECD、2019年）https://www.oecd.org/going-digital/ai/principles/「⼈間中心のAI社会原則」（総合イノベーション戦略推進会議、2019年）https://www8.cao.go.jp/cstp/aigensoku.pdf「AI利活⽤ガイドライン」（総務省、2019年）https://www.soumu.go.jp/menu_news/s-news/01iicp01_02000081.html「Guidance on social responsibility」（ISO 26000︓2010）「社会的責任に関する手引」（JIS Z 26000︓2012）「ビジネスと⼈権に関する指導原則」（国連⼈権理事会、2011年）
https://www.unic.or.jp/texts_audiovisual/resolutions_reports/hr_council/ga_regular_session/3404/「新しいデータ流通取引に関する検討事例集ver.2.0」（経済産業省・総務省・IoT推進コンソーシアム、2018年）
経済産業省プレスリリース︓https://www.meti.go.jp/press/2018/08/20180810002/20180810002.html
総務省プレスリリース ︓https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000045.html「カメラ画像利活⽤ガイドブックver.2.0」（経済産業省・総務省・IoT推進コンソーシアム、2018年）
経済産業省プレスリリース︓https://www.meti.go.jp/press/2017/03/20180330005/20180330005.html
総務省プレスリリース ︓http://www.soumu.go.jp/menu_news/s-news/01kiban18_01000040.html「カメラ画像利活⽤ガイドブック 事前告知・通知に関する参考事例集」（経済産業省・総務省・IoT推進コンソーシアム、2019年）
経済産業省プレスリリース︓https://www.meti.go.jp/press/2017/03/20180330005/20180330005.html
総務省プレスリリース ︓http://www.soumu.go.jp/menu_news/s-news/01kiban18_01000040.html「GOVERNANCE INNOVATION︓ Society5.0の実現に向けた法とアーキテクチャのリ・デザイン」（経済産業省、2020年）
https://www.meti.go.jp/press/2020/07/20200713001/20200713001.html「Society5.0の実現に向けた個⼈データ保護と活⽤の在り方」（一般社団法⼈日本経済団体連合会、2019年）
https://www.keidanren.or.jp/policy/2019/083.html「個⼈データ適正利⽤宣言」（一般社団法⼈日本経済団体連合会、2019年）https://www.keidanren.or.jp/policy/2019/083_sengen.pdf「情報セキュリティガバナンス導⼊ガイダンス」（経済産業省、2009年）
https://www.meti.go.jp/policy/netsecurity/downloadfiles/securty_gov_guidelines.pdf「Information technology — Security techniques — Privacy framework」（ISO / IEC 29100︓2011）「情報技術­セキュリティ技術­ プライバシーフレームワーク （プライバシー保護の枠組み及び原則）」（JIS X 9250︓2017）「Information technology — Security techniques — Guidelines for privacy impact assessment」（ISO / IEC 29134︓2017）「UNDERSTANDING PRIACY」（DANIEL J. SOLOVE 、2008年）「プライバシーの新理論」（DANIEL J. SOLOVE、大谷卓史（訳）、2013年）「A Taxonomy of Privacy」（DANIEL J. SOLOVE、2005年、University of Pennsylvania Law Review, Vol. 154, No. 3, p. 477, January 2006、GWU
Law School Public Law Research Paper No. 129）https://papers.ssrn.com/sol3/papers.cfm?abstract_id=667622「Privacy by Design The 7 Foundational Principles」（Ann Cavoukian、Information & Privacy Commissioner Ontario, Canada、2011年）
https://www.ipc.on.ca/wp-content/uploads/resources/7foundationalprinciples.pdf「Privacy by Design ７つの基本原則」（堀部政男（訳）、総務省パーソナルデータの利⽤・流通に関する研究会（第1回）参考資料7-2）
https://www.soumu.go.jp/main_content/000196322.pdf「個⼈情報保護法 いわゆる３年ごと⾒直し 制度改正大綱」（個⼈情報保護委員会、2019年）
https://www.ppc.go.jp/files/pdf/200110_seidokaiseitaiko.pdf

35