DX時代における企業のプライバシーガバナンスガイドブックについて

令和２年10月
経済産業省 情報経済課

検討の背景：Society5.0の実現・DXの推進とその前提◼ 我が国の今後の経済成長を維持し、Society5.0を実現するためには、創造的なイノベーションが不可
欠。（企業・経営と規制・制度の両面において、デジタル・トランスフォーメーション（DX）を一
体的に進めることが重要。）◼ 同時に、イノベーションによって生じる新たなリスクを社会が適切にコントロールし、社会的価値（財産・生命の安全、プライバシー、民主主義など）を実現するガバナンスが求められている。
◼ イノベーション促進の中心的存在である企業には、積極的に社会的価値と経済価値の両方を創造する
取組を推進するとともに、イノベーション自体から生じるリスクの低減を図ることが求められる。

“サイバー空間（仮想空間）とフィジカル空間（現実空間）を高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会”（内閣府）

1

検討の背景：企業に求められる視点（プライバシー）◼ パーソナルデータの利活用の進展は、個々人の嗜好やニーズを踏まえた適確なアプローチを可能にし、ひいては社会課題解決にもつながることが期待される。他方で、 IoTやAIなどの技術進展に伴って、プライバシー問題も多様化している。
◼ プライバシーに関する問題について、個人情報保護法の遵守（コンプライ）が中心として検討されることが多かった。しかし法令を遵守していても、本人への差別、不利益、不安を与えるとの点から、批判を避けきれず炎上し、事業の継続に関わるような問題として顕在化するケースも見られる。
◼ 企業は、プライバシーに関する問題について能動的に対応し、消費者やステークホルダーに対して、積極的に説明（エクスプレイン）し、社会からの信頼を獲得することが必要。プライバシー対策をコストとしてではなく、むしろ商品やサービスの品質を高めることとして捉えなおすべき。
個人情報保護法とプライバシー保護、プライバシー問題の拡大

ステークホルダーとのコミュニケーション

2

検討の背景：世界・国内それぞれの動き＜国際動向（EU･米国の動き）：プライバシーの企業価値への影響の高まり＞⚫ EUではGDPRにより基本的人権の観点から、米国ではFTC法（第5条）により消費者保護の観点から、多額の罰金や制裁金の執行がなされ、経営者がプライバシー問題を経営上の問題として取り扱うことが認識されている。
⚫ GDPRにおいては、独立したDPO（Data Protection Officer）の設置など、企業に求められる体制も位置づけられている。
⚫ そのような環境下で、プライバシーを経営戦略の一環として捉え、プライバシー問題に適切に対応することで、社会的に信頼を得て、企業価値向上につなげている企業も現れている。
＜国内動向：グローバルで活躍する国内企業の動き、個人情報保護法制度改正大綱への対応＞⚫国際的なデータ流通により経済成長を目指すDFFTを実現する観点からも、セキュリ
ティやプライバシーの確保を通じた、人々や企業間の信頼が必要とされている。海外で求められるレベルへの目配せが国内企業にも必要となってきている。
⚫個人情報保護法制度改正大綱でも、特にデジタル技術を活用した分野においては、民間主導の取組の更なる推進が必要としている。その一環で、個人データの取扱いに関する責任者の設置やPIAの実施などの自主的取組が推奨されている。
3

企業のプライバシーガバナンスモデル検討会（令和元年10月～令和２年６月）
氏名（敬称略）
一郎

所属

座長

佐藤

委員

板倉 陽一郎ひかり総合法律事務所

委員

落合

ＳＯＭＰＯリスクマネジメント株式会社

正人

国立情報学研究所委員

クロサカ タツヤ

委員小林 慎太郎

株式会社野村総合研究所

委員

宍戸

常寿

東京大学 大学院法学政治学研究科

委員

高橋

克巳

NTTセキュアプラットフォーム研究所

委員

林

達也

株式会社イエラエセキュリティ／ココン株式会社

委員

日置

巴美

三浦法律事務所委員

平岩 久人

PwCあらた有限責任監査法人委員

古谷 由紀子公益社団法人日本消費生活アドバイザー・コンサルタント・相談員協会／サステナビリティ消費者会議

委員

村上

陽亮

株式会社KDDI総合研究所

委員

森

亮二

弁護士法人英知法律事務所委員

若目田 光生株式会社企

一般社団法人日本経済団体連合会 情報通信委員会企画部会
データ戦略ワーキング／株式会社日本総合研究所■オブザーバ
個人情報保護委員会、経済産業省 知的財産政策室、総務省 情報通信政策課、内閣官房 IT総合戦略室■事務局
経済産業省 情報経済課、総務省 消費者行政二課、一財）日本情報経済社会推進協会（JIPDEC）
4

DX時代における企業のプライバシーガバナンスガイドブックver1.0（令和２年８月28日）【対象読者】
パーソナルデータを利活用した製品・サービスを提供し、消費者のプライバシーへの配慮を迫られることが想定される企業や、そのような企業と取引をしているベンダー企業等であって、①企業の経営陣または経営者へ提案できるポジションにいる管理職等②データの利活用や保護に係る事柄を総合的に管理する部門の責任者・担当者 など

【活用方法】
以下のような活用シーンを想定。
①企業がデジタル・トランスフォーメーション（DX）を推進する等、大きな方向転換となる意思決定がなされたとき（大きな社会環境の変化等に伴い、デジタル技術を活用して、業務そのものや、組織、プロセス、企業文化・風土を変革するなど②消費者へのプライバシーへの影響が大きいと想定されるプロジェク
トの検討を開始するとき③経営者または株主、投資家、親会社等の関係者から、プライバシーに関わる問題への対応強化を求められたとき④経営者に対し、プライバシー保護に配慮した体制構築の強化を求めたい（適切な経営資源の配分を要請する）とき⑤自社や業界内等において、パーソナルデータの利活用がプライバ
シーに関わる問題として批判を浴びるような懸念（いわゆる炎上
等）を生じさせたとき など【構成】
1. 本ガイドブックの位置づけ
2. ガイドブックの前提
3. 経営者が取り組むべき三要件
4. プライバシーガバナンスの重要項目
5.（参考）プライバシーリスク対応の考え方
6. （参考）プライバシー・バイ・デザイン
7. おわりに
参考文献
検討体制

企業が社会からの信頼の獲得するためのプライバシーガバナンスの構築に向けて、まず取り組むべきことをガイドブックとして取りまとめた5

DX時代における企業のプライバシーガバナンスガイドブックver1.0の全体像【対象読者】パーソナルデータを利活用した製品・サービスを提供し、消費者のプライバシーへの配慮を迫られることが想定される企業や、そのような企業と取引をしているベンダー企業等であって、①企業の経営陣または経営者へ提案できるポジションにいる管理職等②データの利活用や保護に係る事柄を総合的に管理する部門の責任者・担当者 など経営者が取り組むべき3要件
要件１：プライバシーガバナンスに係る姿勢の明文化
経営戦略上の重要課題として、プライバシーに係る基本的考え方や姿勢を明文化し、組織内外へ知らしめる。経営者には、明文化した内容に基づいた実施についてアカウンタビリティを確保することが求められる。

企業価値の向上･
ビジネス上の優位性

要件２：プライバシー保護責任者の指名

組織全体のプライバシー問題への対応の責任者を指名し、権限と責任の両方を与える。

要件３：プライバシーへの取組に対するリソースの投入

必要十分な経営資源（ヒト・モノ・カネ）を漸次投入し、体制の構築、人材の配置・育成・確保等を行う。

（参考）
プライバシー
リスク対応の考え方（PIAなど）プライバシー・バイ・デザイン＜社外有識者＞
学識者･コンサル･
消費者代表・弁護士など

プライバシーガバナンスの重要項目

社会からの信頼獲得

消費者･
その他の
ステーク
ホルダー
（参考）プライバシーガバナンスに係る取組の例

１.体制の構築（内部統制、プライバシー保護組織の設置、社外有識者との連携）
２.運用ルールの策定と周知（運用を徹底するためのルールを策定、組織内への周知）
３.企業内のプライバシーに係る文化の醸成（個々の従業員がプライバシー意識を持つよう企業文化を醸成）
４.消費者とのコミュニケーション（組織の取組について普及・広報、消費者と継続的にコミュニケーション）
５.その他のステークホルダーとのコミュニケーション（ビジネスパートナー、グループ企業等、投資家・株主、行政機関、業界団体、従業員等とのコミュニケーション）6経営者が取り組むべき三要件

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

7

経営者が取り組むべき三要件◼ ガイドブックにおいては、プライバシー保護とデータ利活用を単に二項対立ではなく、プライバシーに配慮しながらデータ活用のメリットを最大化していくという視点で捉えることを位置付け。
◼ その上で、データ利活用が前提となる社会では、①プライバシー保護への取組が個々のサービスや製品の品質を高め、ひいては企業価値の向上につながる、②不適切なプ
ライバシー問題に関する取組は内部統制の構築義務違反として経営責任につながる、という両面から、経営陣がプライバシーガバナンスの構築を行う必要性を明確化。
◼ かかる観点から、経営陣が取り組むべき具体的な要件として三要件を提示。

＜経営者が取り組むべき三要件＞
要件１：プライバシーガバナンスに係る姿勢の明文化
要件２：プライバシー保護責任者の指名
要件３：プライバシーへの取組に対するリソース投入
8

経営者が取り組むべき三要件①
要件１：プライバシーガバナンスに係る姿勢の明文化◼ 企業がそれぞれの企業理念の下、一貫した姿勢で消費者のプライバシーを守っていくことは、商品やサービスの品質を向上させ、社会からの信頼の獲得、ひいては企業価値向上に繋がる。
◼ 経営者はプライバシー問題への取組を経営上の重要事項の1つと認識し、プライバシー保護の軸となる基本的な考え方や姿勢を明文化し、組織内外に知らしめることが必要。
◼ トップダウンで浸透させることで、組織全体にプライバシー問題への認識を根付かせることができる。公表することで消費者やステークホルダー（株主、取引先等）からの信頼を高める根拠となる。
◼ 経営者には、明文化した内容に基づいてプライバシー問題に取り組むことへのアカウンタビリティ確保が求められる。
◼ 明文化の具体的な形としては、宣言の形をとったプライバシーステートメントや、組織全体での行動原則などを策定するケースもある。
事例：NTTドコモ パーソナルデータ憲章の公表
株式会社NTTドコモでは、「パーソナルデータ憲章―イノ
ベーション創出に向けた行動原則―」を作成し、公表している。このパーソナルデータ憲章は、株式会社NTTドコモ
が「新しいコミュニケーション文化の世界の創造」という企業理念の下、これまでにない豊かな未来の実現をめざして、イノベーション創造に挑戦し続けていること、社会との調和を図りながら、未来をお客様と共に創っていきたいと考えていること、パーソナルデータの活用に当たり法令
順守はもちろん、お客様のプライバシーを保護し、配慮を実践することも重要な使命であることなどを宣言し、行動原則として6つの原則を提示している。

（出典）https://www.nttdocomo.co.jp/info/notice/pages/190827_00.html

9経営者が取り組むべき三要件②
要件２：プライバシー保護責任者の指名◼ プライバシーガバナンスの実現には、経営者による関与と明文化した内容の具体的な実践が不可欠。そのために、経営者は、組織全体のプライバシー問題への対応の責任者を担当幹部（プライバシー保護責任者）として指名し、経営者が姿勢を明文化した内容を実現するための責任を遂行させることが必要。
◼ その際には、プライバシー保護責任者の責任範囲を明確にし、プライバシー問題の発生を抑止するために必要な権限も与える必要がある。
➢

プライバシー保護責任者は、GDPRでいうところの、強い独立性が担保されているデータ保護オフィサー（DPO）とは必ずしも同じものとは限らず、役員が担うこともありうる。

◼ 経営者は、プライバシー保護責任者から報告を求め、評価をすることで、組織の内部統制をより効果的に機能させる。

10

経営者が取り組むべき三要件③
要件3：プライバシーへの取組に対するリソースの投入◼ 経営者は、明文化した姿勢の実践のため、必要十分な経営資源（ヒト・モノ・カネ）を投入することが求められる。プライバシー問題に対応するための体制の構築や、十分な人員の配置、人材の確保・育成等を実施することが必要。
◼ プライバシーに係る対応は、事後的に追加するものではなく、事前に検討され、戦略、事業、システムへ組み込まれるべきもの。また、プライバシー問題は、経営状況や外部環境に必ずしも依存せず、常時発生する可能性がある。そのため、必要なリソースが継続的に投入され、取組自体の継続性が高められることが期待される。

11

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

12

プライバシーガバナンスの重要項目（①体制の構築）◼ プライバシーガバナンスの機能として、各部門の情報を集約し、事業におけるプライバシー問
題の発見することが求められる。さらに、対象となる事業の目的達成とプライバシーリスクマ
ネジメントを両立するために、対応策の多角的な検討が必要。
◼ プライバシー保護責任者の下で、中核となる組織を企業内に設けることが望ましい（＝「プライバシー保護組織」）。プライバシー保護組織を設けることで、社内の新規事業部門との密なコミュニケーションの醸成や、社外有識者などからの関連情報の収集、多角的な対応策の検討を遂行することができる。

＜社外有識者＞
学識者･コンサル･
消費者代表・弁護士など

13

プライバシーガバナンスの重要項目（①体制の構築）
プライバシー保護責任者の役割◼ プライバシー保護責任者は、経営者が明文化した姿勢等の実践のための方針の確立及びプライバ
シーリスクを把握、評価し、対応策を検討できる体制の構築を進め、当該方針の実施を徹底する。
◼ 経営者に対し報告を行い、経営者が明文化した内容と合致しているかを絶えず確認する。

プライバシー保護組織の役割◼ 企業内の各部門から新規事業やサービス内容に関する様々な情報を集約し、プライバシー問題が消費者や社会に発現するリスクを見つける。そのために、各部門と日頃から接点を持つとともに、プライバシー保護組織の存在を企業内に周知徹底する必要がある。
◼ プライバシー問題は、個人的な感じ方の相違や、社会受容性がコンテキストや時間の経過で移り変わることから、常に関連する情報を収集する（必要に応じて有識者との関係構築・相談も）。
◼ 対象事業の目的を実現しつつ、プライバシーリスクに対応するために、ビジネススキームの観点、法制度やコンプライアンス上の観点、システム上・情報セキュリティ上の観点、社会受容性の観点
等、多角的に対応策を検討する。（例：「ゼロサムではなくポジティブサム」）◼ 検討に当たり、新規事業や新規技術の開発部門のほか、必要に応じ、法務、システム関連、情報セ
キュリティ、コンプライアンス、広報、CS、政策企画等多様な部門と円滑な連携を図ることが重要。

◼ プライバシー問題が発生した場合の初動や、その後の再発防止策の策定等の事後対応について、事業部門と連携して情報を集約・検討し、プライバシー保護責任者へ報告・指示を仰ぐ。
◼ プライバシー問題に係る検討をした際の情報を履歴として蓄積し、活用できるようにしておく。

14

プライバシーガバナンスの重要項目（①体制の構築）◼ 企業によって設置する形態は異なる。専任者の確保が困難な場合には兼務の従業員のみで保護組織を構成するなど、自社のリソースに合わせて実効性のある組織を構築することが大切。
◼ プライバシー保護組織が機能するためには、多角的な観点に基づく検討を取りまとめ、複数部
署の間に立って調整できる人材が不可欠。こうした人材を配置することに加え、プライバシー
保護は高い専門性が必要であることを念頭に、中長期的な視野で人材を育成することが必要。

◼ いずれの体制でも、企業が引き起こし得る、消費者のプライバシーリスクや実際の問題を素早く把握し、プライバシー保護責任者へ報告し、指示を仰ぐことができる体制にすることが重要。
＜プライバシー保護組織の企業内での位置づけの例＞

15

プライバシーガバナンスの重要項目（①体制の構築）
事業部門の役割◼ プライバシー保護組織への日常的な相談や連携を通じ、自部門で扱う製品・サービス並びにデー
タなどがプライバシー問題を引き起こさないか当事者として確認をすることが必要。
◼ 消費者との接点がある場合には、消費者との信頼関係を構築する上で重要なポジションであることを十分に認識し、消費者の受容性などにも考慮する必要がある。
◼ サービス提供や事業を担う部門として、CS部門などと連携し、平時から消費者の意見を広く受け取れる体制を構築することも重要。（例：商品・サービスのレビューやSNS上での消費者による情報発信などに目を配る。）

内部監査部門や第三者的組織の体制構築◼ 内部監査の体制を構築するなど、独立した立場からモニタリング・評価することで、社内の取組を徹底でき、社外からの信頼を更に高める根拠にもなる。
◼ また、第三者的な立場の外部の有識者からなるアドバイザリーボード、諮問委員会などを設置し、評価・モニタリングを受けることも検討すべき。（有識者の例：プライバシー問題に詳しい学識者、コンサルタント、弁護士、消費者団体等）◼ 有識者の専門的かつ客観的な意見を、経営者や社員へフィードバックする体制・仕組みを構築することで、組織全体としてプライバシー問題への意識を高めることも可能。
16

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

17

プライバシーガバナンスの重要項目（②運用ルールの策定と周知）運用ルールの策定と周知◼ 構築した体制が実質的に機能するためには、サービスや技術が開発・提供される前に、プライバ
シー保護責任者やプライバシー保護組織によってプライバシーリスクが把握され、適切な検討がなされる必要がある。そのような運用が徹底されるためのルールを、プライバシー保護責任者の責任の下、組織内で策定しておくことが重要。

◼ 例えば、プライバシー保護のための対策や、「どのタイミング」で「誰が」プライバシーリスクを評価するかなどの観点から、ルール化することが望ましい 。ただし、画一的な対応を招かぬよう、
原理・原則の理解や定着を心掛けるとともに、継続的に内容の見直し・修正を行うなどのメンテナンスも必要。

◼ プライバシー保護責任者やプライバシー保護組織は、ルールを組織全体に周知徹底する必要がある。

18

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

19

プライバシーガバナンスの重要項目（③企業内のプライバシーに係る文化の醸成）
企業内のプライバシーに係る文化の醸成◼ プライバシーガバナンスを実質的に機能させていくためには、プライバシーリスクに適切に対応できる企業文化を組織全体で醸成することが不可欠。企業に所属する従業員一人一人が、一個人や一消費者として当たり前のようにプライバシーに関する問題意識を持ち、消費者や社会と向き合った丁寧な対応をしていく状態が望ましい。
◼ このような企業文化を根付かせるためには、経営者やプライバシー保護責任者が発信し続けるなど、継続的な取組が必要。こうした取組は、社内の専門人材育成の基盤となる。

＜企業文化の醸成に係る取組の例＞✓ 定期的なe-learningや研修教育✓ 社員必携の冊子などの中で、プライバシー問題に対する姿勢に言及✓ プライバシー問題に対する方針と連動したハンドブック等の配布✓ プライバシー保護責任者の活動を社内広報する等の啓発活動✓ パーソナルデータを取り扱う部署に対し、教育を集中的に実施✓ 新入社員配属時、部署移動時のタイミングでの教育サポート✓ 定期的な配置転換（ジョブローテーション）の対象とする

20

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ
2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入 5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

21

プライバシーガバナンスの重要項目（④消費者とのコミュニケーション）◼ プライバシーガバナンスの実施においては、消費者と継続的にコミュニケーションを行う必要がある。消費者や社会の受け止めの変化を常に把握するとともに、平時の取組や、実際の問題発生時の対応について、消費者に対して積極的に分かりやすく説明を行うことも信頼確保のため重要。
○組織の取組の公表、広報（次頁事例①）• 企業のプライバシー問題への考え方や、リスク管理のあり方を取りまとめ、社外に公表。（例：透明性レポート）• パーソナルデータを活用した新規プロジェクトの実施方針や内容を、事前に公表するケースも増えている。消費者からのコメントを受け付け、検討・反映してから、事業開始するという取組も一般化しつつある。

○消費者との継続的なコミュニケーション（次頁事例②・③）• 機能追加や利用規約等の改訂のタイミングで、プライバシーリスクへの対応がどのように変化したのか、迅速に、分かりやすくWebサイト等でお知らせする。情報更新時には利用者へのプッシュ通知を行うなど、企業から消費者への積極的なアプ
ローチを継続することが大切。
• プライバシーは変化しうるため、消費者の意識について、各種消費者との接点から把握するよう努める必要がある。プライバシー問題に係る意識調査等を継続的に行い、取組に反映させることも一つの方法。

○問題発生時の消費者とのコミュニケーション• 実際にプライバシー問題が生じた場合に備え、組織全体として問題発生時の体制や対応の流れを、サービス・製品のリリース前に検討し、構築しておくことが必要。
• 漏えい等の実害を受けた消費者に対しては、発生している事象の内容・原因・対応状況などを、謝罪と共に分かりやすく伝える必要がある。
• 二次被害発生のおそれがある消費者に対しては、被害の回避・軽減のための措置（暗証番号の変更等）を迅速に実施してもらう必要があるため、個別の通知を行うなど、あらゆる手段をつくす必要がある。
• なお、問題の性質によっては、情報提供を行うことにより被害を拡大する場合があるため、セキュリティの専門家と相談のう
え情報提供を行うべき。
22

（参考）プライバシーガバナンスの重要項目（④消費者とのコミュニケーション）
企業における取り組み事例
事例①：LINE TRANSPARENCY REPORTの公表
LINE株式会社の「TRANSPARENCY REPORT」では、消費者から預かるデータをどのように取り扱っていたかを定期的に報告し、プラットフォーム運営に当たっての考え方を公表している。

事例②：NTTドコモ パーソナルデータダッシュボードの提供
株式会社NTTドコモは、お客様自身のデータの提供先と種類の確認・変更、データ取扱いに係る同意事項の確認などの機能を提供している。

（出典）https://datadashboard.front.smt.docomo.ne.jp/

事例③：日立製作所・博報堂 生活者情報に関する意識調査の実施（出典）https://linecorp.com/ja/security/transparency/top

株式会社日立製作所と株式会社博報堂は、個人の意識の変化を定量的に把握することを目的に、継続的に意識調査を実施している。
（参考）「第四回 ビッグ
データで取り扱う生活者情報に関する意識調査」を実施）

https://www.hitachi.co.
jp/New/cnews/month/2
019/06/0606.html（出典）https://www.hitachi.co.jp/products/it/bigdata/
bigdata_ai/personaldata_privacy/index.html

23

プライバシーガバナンスの重要項目

1. 本ガイドブックの位置づけ

2. ガイドブックの前提
2.1 Society5.0の時代における企業の役割
2.2 プライバシーの考え方
2.3 企業のプライバシーガバナンスの重要性

4.4 消費者とのコミュニケーション
4.4.1 組織の取組の公表、広報
4.4.2 消費者との継続的なコミュニケーション
4.4.3 問題発生時の消費者とのコミュニケーション
4.5 その他のステークホルダーとのコミュニケーション
4.5.1 ステークホルダーやビジネスパートナーへの対応
4.5.2 プライバシー問題の情報収集
4.5.3 その他の取組

3. 経営者が取り組むべき三要件
3.1 プライバシーガバナンスに係る姿勢の明文化
3.2 プライバシー保護責任者の指名
5.（参考）プライバシーリスク対応の考え方
3.3 プライバシーへの取組に対するリソースの投入
5.1 関係者と取り扱うパーソナルデータの特定とライフサイクルの整理
4. プライバシーガバナンスの重要項目
5.2 プライバシーリスクの特定
4.1 体制の構築（プライバシー問題の洗い出し）
4.1.1 プライバシー保護責任者の役割
5.3 プライバシーリスク評価（PIA）
4.1.2 プライバシー保護組織の役割
4.1.3 事業部門の役割
6. （参考）プライバシー・バイ・デザイン
4.1.4 内部監査部門やアドバイザリーボードなどの第三者的組織の役割
7. おわりに
4.2 運用ルールの策定と周知
4.3 企業内のプライバシーに係る文化の醸成
参考文献
検討体制

24

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション）◼ ステークホルダーと継続的にコミュニケーションをとり、企業がイノベーション創出や、
プライバシーリスクマネジメントにいかに能動的に取り組んでいるのかを、ステークホ
ルダーに対して積極的に説明し、信頼を確保していくことが重要。
○ステークホルダーへの対応
以下についてそれぞれ整理。
（１）ビジネスパートナー（取引先・業務委託先）（２）グループ企業等（３）投資家・株主（４）関係行政機関（５）業界団体（６）従業員等25

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション）（１）ビジネスパートナー（取引先・業務委託先）◼ 企業が事業を推進する際には、ビジネスパートナーも含めてプライバシー問題に適切に対応しなければ、自社を含む関係企業及び当該事業全体の信頼を失うことになる。
◼ 特に、技術革新に比例して新たなプライバシーリスクが発生していることから、ベンダー等のシステム関係の取引先と密なコミュニケーションを図り、消費者のプライバシーに対する懸念を絶えず見直し、システム面で事前に対応ができないかを検討・対応することが望ましい。

◼ 発注側は、プライバシー保護の観点からも適切な対応ができるような技術や説明を取引先（ベンダー）に要求。
取引先は、発注側がプライバシー問題に配慮したシステ
ム運用ができるよう、提供技術の説明文書や、技術を利用する際のプライバシーに関わるガイドライン、同意書のテンプレート等の提供や、発注側の理解を深めるための勉強会の開催も有効。発注側のサービスがプライバシー問題を起こさず社会に受容されることで、取引先の技術もさらに普及するという好循環につながる。

◼ 業務を他社に委託する場合、問題が生じたときには委託元にも責任が発生。適切な対応ができる委託先を選び、対応に関わる体制・技術などの説明を委託先に要求すべき。同時に、委託元のプライバシーへの取組を高めるよう、
委託先の協力も重要。プライバシー問題の発生時には委託元が顧客や消費者に対して真摯に対応する必要がある。
26

プライバシーガバナンスの重要項目（⑤その他のステークホルダーとのコミュニケーション）（２）グループ企業等◼

グループ内の子会社などが主体となって推進する事業であっても、プライバシー問題が発生すればグループ全体のブランドや信頼が失墜しうるため、グループ全体でのプライバシー問題への対応も意識する必要がある。

◼

海外に拠点がある場合には、国ごとに対応が必要であることに注意。

（３）投資家・株主◼

投資家も、企業業績への影響や社会的責任という観点から、リスク管理体制の強化についても、コストではなく先行投資として評価する傾向がみられる。株主や投資家に対しても、企業のプライバシー問題への対応を明確に説明することがますます求められる。トランスペアレンシーレポートの作成・公表なども、透明性の高い説明の一助に。

（４）関係行政機関◼

個人情報保護委員会等、パーソナルデータの利活用やプライバシー問題に取り組む行政機関の相談窓口を日頃から確認し、プラ
イバシーリスクが高いと思われる事業を開始する際には、事前に相談を行うことが重要。

（５）業界団体◼

業界によっては、事業の健全な発展を図り、消費者の理解を醸成するため、業界団体や認定個人情報保護団体などを組成し、調査・研究、広報・PR活動、意見発表、関係省庁との連絡・意見具申などを実施している場合がある。同業他社が同じ技術分野
でプライバシー問題を起こしてしまうと、自社の同様のサービスについても消費者の信頼を失ってしまう可能性がある。

◼

業界団体などを通じ、プライバシー問題にかかる情報共有に参加し、積極的に情報提供及び情報入手を行うことが必要。また、入手した情報を有効活用できるような環境整備が必要。

（６）従業員等◼

企業は従業員のプライバシーに関する情報を取り扱うことが多いことから、従業員へのプライバシーにも配慮が必要。他方で、事業運営上の要請から、従業員のプライバシーを制限する必要が生じる場面や、従業員に関する情報の漏えいのリスクも存在。

◼

このため、従業員もコミュニケーションをとるべき主体として捉え、従業員との対話や従業員代表を通じた説明・周知などの取
組が重要。

◼

求職者、退職者、取引先の従業員等に対しても、配慮が必要。

27

最後に：ガイドブックver1.0を通じたメッセージ◼ データ利活用が前提となる社会において、企業がプライバシーに関して真摯に検討し取り組むことは、社会から信頼を獲得し、企業価値向上につながる。
◼ したがって、プライバシー問題への対応を、単なる「コンプライアンス」として受け止めず（当然の前提とした上で）、経営戦略の一環として捉えなおし、経営上の武器として検討していくことが重要。

◼ 企業のプライバシーガバナンスとは、プライバシー問題の適切なリスク管理と信頼の確保による企業価値の向上に向け、経営者が積極的にプライバシー問題にコミットし、組織全体としてプライバシー問題へ取り組むための体制を構築し、機能させること。

28

（参考）ガイドブックver1.0について「DX時代における企業のプライバシーガバナンスガイドブックver1.0」の本文は、以下ウェブサイトからダウンロードいただけます。ぜひご覧ください。

➢ 経済産業省 ニュースリリース「DX時代における企業のプライバシーガバナンスガイドブックver1.0」を策定しました
https://www.meti.go.jp/press/2020/08/20200828012/20200828012.html➢ 総務省 報道資料
「DX時代における企業のプライバシーガバナンスガイドブックver1.0」の公表
https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000098.html➢ IoT推進コンソーシアム ホームページ「企業のプライバシーガバナンスモデル検討会」ページ
http://www.iotac.jp/wg/data/govenance/
プライバシーガバナンスガイドブック
29

参考文献
「Society5.0」（内閣府、ホームページ）https://www8.cao.go.jp/cstp/society5_0/index.html「OECD Principles on AI」（OECD、2019年）https://www.oecd.org/going-digital/ai/principles/「人間中心のAI社会原則」（総合イノベーション戦略推進会議、2019年）https://www8.cao.go.jp/cstp/aigensoku.pdf「AI利活用ガイドライン」（総務省、2019年）https://www.soumu.go.jp/menu_news/s-news/01iicp01_02000081.html「Guidance on social responsibility」（ISO 26000：2010）「社会的責任に関する手引」（JIS Z 26000：2012）「ビジネスと人権に関する指導原則」（国連人権理事会、2011年）
https://www.unic.or.jp/texts_audiovisual/resolutions_reports/hr_council/ga_regular_session/3404/「新しいデータ流通取引に関する検討事例集ver.2.0」（経済産業省・総務省・IoT推進コンソーシアム、2018年）➢経済産業省プレスリリース：https://www.meti.go.jp/press/2018/08/20180810002/20180810002.html➢総務省プレスリリース ：https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000045.html「カメラ画像利活用ガイドブックver.2.0」（経済産業省・総務省・IoT推進コンソーシアム、2018年）➢経済産業省プレスリリース：https://www.meti.go.jp/press/2017/03/20180330005/20180330005.html➢総務省プレスリリース ：http://www.soumu.go.jp/menu_news/s-news/01kiban18_01000040.html「カメラ画像利活用ガイドブック 事前告知・通知に関する参考事例集」（経済産業省・総務省・IoT推進コンソーシアム、2019年）➢経済産業省プレスリリース：https://www.meti.go.jp/press/2017/03/20180330005/20180330005.html➢総務省プレスリリース ：http://www.soumu.go.jp/menu_news/s-news/01kiban18_01000040.html「GOVERNANCE INNOVATION： Society5.0の実現に向けた法とアーキテクチャのリ・デザイン」（経済産業省、2020年）
https://www.meti.go.jp/press/2020/07/20200713001/20200713001.html「Society5.0の実現に向けた個人データ保護と活用の在り方」（一般社団法人日本経済団体連合会、2019年）
https://www.keidanren.or.jp/policy/2019/083.html「個人データ適正利用宣言」（一般社団法人日本経済団体連合会、2019年）https://www.keidanren.or.jp/policy/2019/083_sengen.pdf「情報セキュリティガバナンス導入ガイダンス」（経済産業省、2009年）
https://www.meti.go.jp/policy/netsecurity/downloadfiles/securty_gov_guidelines.pdf「Information technology — Security techniques — Privacy framework」（ISO / IEC 29100：2011）「情報技術−セキュリティ技術− プライバシーフレームワーク （プライバシー保護の枠組み及び原則）」（JIS X 9250：2017）「Information technology — Security techniques — Guidelines for privacy impact assessment」（ISO / IEC 29134：2017）「UNDERSTANDING PRIACY」（DANIEL J. SOLOVE 、2008年）「プライバシーの新理論」（DANIEL J. SOLOVE、大谷卓史（訳）、2013年）「A Taxonomy of Privacy」（DANIEL J. SOLOVE、2005年、University of Pennsylvania Law Review, Vol. 154, No. 3, p. 477, January 2006、GWU
Law School Public Law Research Paper No. 129）https://papers.ssrn.com/sol3/papers.cfm?abstract_id=667622「Privacy by Design The 7 Foundational Principles」（Ann Cavoukian、Information & Privacy Commissioner Ontario, Canada、2011年）
https://www.ipc.on.ca/wp-content/uploads/resources/7foundationalprinciples.pdf「Privacy by Design ７つの基本原則」（堀部政男（訳）、総務省パーソナルデータの利用・流通に関する研究会（第1回）参考資料7-2）
https://www.soumu.go.jp/main_content/000196322.pdf「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」（個人情報保護委員会、2019年）
https://www.ppc.go.jp/files/pdf/200110_seidokaiseitaiko.pdf

30