JISQ15001規格改正に伴う
JISQ15001
新審査基準の説明（主に更新事業者向け）
一般社団法人 中部産業連盟
Ｐマーク審査センター
本資料は、JIPDECが「JIPDEC個人情報保護研修会2017」で使用した資料をもとに作成しています。
「Copyright©2018 JIPDEC All rights reserved」ページは、そのまま使用しています。
【参考】ページは、中産連が追加したページです。
それ以外のページは、中産連がオリジナル資料を一部加筆/修正しています。
オリジナル資料は、JIPDECの更新事業者向けHPに公開されています。

目次

０．本日のポイント
１．新審査基準による審査の適用開始時期
２．新規格の概要
３．新審査基準の解説
４．まとめ、FAQ

2

本日のポイント
JISQ15001：2017規格の発行に伴い、2018年1月にＰマーク審査基
準も改定（新審査基準）されました。
中産連を含む審査機関は、2018年8月1日申請受付分から新審査基準を適用して文書審査/現地審査する予定です。
新審査基準へ未対応の事業者に対しては、「継続的改善事項に準じる指摘」として、次の更新審査までの対応を求めます。
全ての事業者に対応いただく点は、４つ該当事業者に対応いただく点は、２つ
改正個人情報保護法への対応
個人情報の管理台帳に追記していただく事項(保管期限)
共同利用について、共同利用者間における契約で定める事項
委託契約に盛り込むべき事項（委託契約終了後の措置）
従業者の教育に盛り込む必要がある事項(個人情報保護方針)
運用の確認(日常点検や、それに伴う是正、代表者への報告など)

3

１．新審査基準による審査の適用開始時期

Copyright©2018 JIPDEC All rights reserved

4

新審査基準による審査の適用開始時期
2017年
12月
新規格
(経済産業省)

2018年
1月～3月

2018年
4月～6月

2018年
7月、8月

移行期間
2018年8月1日～2020
年7月31日

公示(12月20日)
Web公表(1月12日)

新審査基準

現行審査基準による申請受付
及び審査

移行措置

適用開始(8月1日)

新審査基準による申請受付及び審査対象(従来通り)

事業者単位の審査＊規格の主体は“組織”に変更されましたが、審査は従来通り“事業者”単位で行います。
＊トップマネジメントに対する要求事項は、審査においては代表者に対して行うことを原則とします。

適用時期

２０１８年８月１日申請受付分より適用開始します。（6月以降に新申請様式公表）

移行期間

２年間

移行措置

移行期間中の審査において、新審査基準未対応の事業者に対し、移行期間終了
後、最初の更新審査が終了するまでの対応を求めます。
→継続的改善事項に準ずる指摘

5

新審査基準への対応時期について
2017年
12月
新規格
(経済産業省)
新審査基準

2018年
1月～3月

2018年
4月～6月

2018年
7月、8月

移行期間
2018年8月1日～2020
年7月31日

公示(12月20日)
Web公表(1月12日)

適用開始(8月1日)

現行審査基準による審査

新審査基準による審査

移行措置

・新審査基準に未対応の事業者→ 継続的改善事項に準ずる指摘

新審査基準への対応が未完了の事業者→移行期間中、新審査基準へ未対応の箇所は継続的改善事項に準ずる指摘として、次回の更新審査までに対応を求めます。
→申請書類提出までに新しい内部規程等に基づく運用記録(教育や代表者による見直し等)が無い場合、継続的改善事項に準ずる指摘とします。

新審査基準への対応が完了している事業者→新審査基準に対応したが、新審査基準での不備事項が発見された場合は指摘事項若しくは継続的改善事項となります（従来通り）。
6

２．新規格の概要

Copyright©2018 JIPDEC All rights reserved

7

JIS Q 15001:2017規格の体系
JISQ15001:2017
附属書Aに示す管理策は、必要な管理策の見落としがないことを確実にするために参照するものであり、附属書Aの管理策を実施すれば本文の要求事項が満たされます。
附属書Bは規定ではなく参考であり、附属書Aの補足及び推奨事項。
附属書ＣはA.3.4.3.2安全管理措置の理解を助けるための参考情報であり、取り扱う個人情報の個人情報保護リスクに応じて適宜選択して利用することで問題ありません。

本文（～なければならない）

附属書Ａ(規程)
管理目的と管理策（～なければならない）

附属書Ｂ(参考)
管理策に関する補足（～が望ましい）

附属書Ｃ(参考)
安全管理策に関する管理目的と管理策

附属書ＳＬ（共通テキスト）に対応
・旧規格（JISQ15001:2006）の要求事項に追加・変更
・改正個人情報保護法等に対応した要求事項
附属書Aの管理策に関する補足（旧規格（JISQ15001:2006)の解説、経済産業分野ガイドラ
イン等を基にした補足および推奨事項）
安全管理措置を講じる参考となる管理策集（～望ましい）附属書Ｄ(参考)

新規格と旧規格の対応表

新旧対応表

Copyright©2018 JIPDEC All rights reserved

8

JIS15001規格2006年版と2017年版の構成比較
JISQ15001:2006
規定要素（～なければならない）

本文（～なければならない）

本文
個人情報
保護法改正
への対応

JISQ15001:2017

附属書Ａ(規程)
管理目的と管理策（～なければならない）

附属書Ｂ(参考)
解説

管理策に関する補足（～が望ましい）

附属書Ｃ(参考)
安全管理策に関する管理目的と管理策

附属書ＳＬ（共通テキスト）に対応
・旧規格（JISQ15001:2006）の要求事項に追加・変更
・改正個人情報保護法等に対応した要求事項
附属書Aの管理策に関する補足（旧規格（JISQ15001:2006)の解説、経済産業分野ガイドラ
イン等を基にした補足および推奨事項）
安全管理措置を講じる参考となる管理策集（～望ましい）補足要素（～が望ましい）附属書Ｄ(参考)

新規格と旧規格の対応表

新旧対応表
Copyright©2018 JIPDEC All rights reserved9新規格（本文）の構成
新規格の本文は、附属書ＳＬの共通テキストに対応しています。
下線部分は、附属書SLの共通テキストを変更及び追加した部分です。
JIS Q 15001:2017 本文

０．序文
１．適用範囲２．引用規格３．用語及び定義
４．組織の状況
４.１組織及びその状況の理解
４.２利害関係者のニーズ及び期待の理解
４.３個人情報保護マネジメントシステムの適用範囲の決定
４.４個人情報保護マネジメントシステム
５．リーダーシップ
５.１リーダーシップ及びコミットメント
５.２方針
５.２.１内部向け個人情報保護方針
５.２.２外部向け個人情報保護方針
５.３組織の役割、責任及び権限

６．計画
８．運用
６.１リスク及び機会に対処する活動 ８.１運用の計画及び管理
６.１.１一般
８.２個人情報保護
６.１.２個人情報保護リスク
リスクアセスメント
アセスメント８.３個人情報保護
６.１.３個人情報保護リスク対応
リスク対応
６.２個人情報保護目的及びそれを ９．パフォーマンス評価
達成するための計画策定
９.１監視、測定、分析
７．支援
及び評価
７.１資源
９.２内部監査
７.２力量
９.３マネジメントビュー
７.３認識
１０．改善
７.４コミュニケーション
１０.１不適合及び７.５文書化した情報
是正処置
７.５.１一般
１０.２継続的改善
７.５.２作成及び更新
７.５.３文書化した情報の管理

Copyright©2018 JIPDEC All rights reserved

10旧規格と新規格（附属書A）の比較①
旧規格の要求事項は附属書Ａの管理策として構成されました。
下線は、附属書SLとの整合又は旧規格の変更によって要求事項に対して変更があったものです。
(新旧対照表は、附属書Dもご参照ください。)
JISQ15001:2006

JISQ15001:2017 附属書A

1.適用範囲

（本文箇条１ 適用範囲）

2.用語及び定義（本文箇条３ 用語及び定義）

3.要求事項A.3 管理目的及び管理策

3.1 一般要求事項

A.3.1 一般
A.3.1.1 一般

3.2 個人情報保護方針

A.3.2 個人情報保護方針
A.3.2.1 内部向け個人情報保護方針
A.3.2.2 外部向け個人情報保護方針

3.3 計画

A.3.3 計画

3.3.1 個人情報の特定A.3.3.1 個人情報の特定

3.3.2 法令、国が定める指針その他の規範

A.3.3.2 法令、国が定める指針その他の規範

3.3.3 リスクなどの認識、分析及び対策

A.3.3.3 リスクアセスメント及びリスク対策

Copyright©2018 JIPDEC All rights reserved

11旧規格と新規格（附属書A）の比較②
破線は保護法との整合によって要求事項に対して変更等があったものです。

JISQ15001:2006

JISQ15001:2017 附属書A

3.3.4 資源、役割、責任及び権限

A.3.3.4 資源、役割、責任及び権限

3.3.5 内部規程

A.3.3.5 内部規程

3.3.6 計画書

A.3.3.6 計画策定

3.3.7 緊急事態への準備

A.3.3.7 緊急事態への準備

3.4 実施及び運用

A.3.4 実施及び運用

3.4.1 運用手順

A.3.4.1 運用手順

3.4.2 取得、利用及び提供に関する原則

A.3.4.2 取得、利用及び提供に関する原則

3.4.2.1 利用目的の特定

A.3.4.2.1 利用目的の特定

3.4.2.2 適正な取得

A.3.4.2.2 適正な取得

3.4.2.3 特定の機微な個人情報の取得、利用及び提供の制限

A.3.4.2.3 要配慮個人情報

Copyright©2018 JIPDEC All rights reserved

12旧規格と新規格（附属書A）の比較③
JISQ15001:2006

JISQ15001:2017 附属書A

3.4.2.4 本人から直接書面により取得する場合の措置

A.3.4.2.5 A.3.4.2.4のうち本人から直接書面によって取得する場合の措置

3.4.2.5 個人情報を3.4.2.4以外の方法によって取得した場合の措置

A.3.4.2.4 個人情報を取得した場合の措置

3.4.2.6 利用に関する措置

A.3.4.2.6 利用に関する措置

3.4.2.7 本人にアクセスする場合の措置

A.3.4.2.7 本人に連絡又は接触する場合の措置

3.4.2.8 提供に関する措置

A.3.4.2.8 個人データの提供に関する措置
A.3.4.2.8.1 外国にある第三者への提供の制限
A.3.4.2.8.2 第三者提供に係る記録の作成など
A.3.4.2.8.3 第三者提供を受ける際の確認など
A.3.4.2.9 匿名加工情報

Copyright©2018 JIPDEC All rights reserved

13旧規格と新規格（附属書A）の比較④
JISQ15001:2006

JISQ15001:2017 附属書A

3.4.3 適正管理

A.3.4.3 適正管理

3.4.3.1 正確性の確保

A.3.4.3.1 正確性の確保

3.4.3.2 安全管理措置

A.3.4.3.2 安全管理措置

3.4.3.3 従業者の監督

A.3.4.3.3 従業者の監督

3.4.3.4 委託先の監督

A.3.4.3.4 委託先の監督

3.4.4 個人情報に関する本人の権利

A.3.4.4 個人情報に関する本人の権利

3.4.4.1 個人情報に関する権利

A.3.4.4.1 個人情報に関する権利

3.4.4.2 開示等の求めに応じる手続

A.3.4.4.2 開示等の請求等に応じる手続

3.4.4.3 開示対象個人情報に関する事項の周知など

A.3.4.4.3 保有個人データに関する事項の周知など

3.4.4.4 開示対象個人情報の利用目的の通知

A.3.4.4.4 保有個人データの利用目的の通知

3.4.4.5 開示対象個人情報の開示

A.3.4.4.5 保有個人データの開示

3.4.4.6 開示対象個人情報の訂正、追加又は削除

A.3.4.4.6 保有個人データの訂正、追加又は削除

3.4.4.7 開示対象個人情報の利用又は提供の
A.3.4.4.7 保有個人データの利用又は提供の拒否権
拒否権
Copyright©2018 JIPDEC All rights reserved

14旧規格と新規格（附属書A）の比較⑤
JISQ15001:2006

JISQ15001:2017 附属書A

3.4.5 教育

A.3.4.5 認識

3.5 個人情報保護マネジメントシステム文書

A.3.5 文書化した情報

3.5.1 文書の範囲

A.3.5.1 文書化した情報の範囲

3.5.2 文書管理

A.3.5.2 文書化した情報（記録を除く。）の管理

3.5.3 記録管理

A.3.5.3 文書化した情報のうち記録の管理

3.6 苦情及び相談への対応

A.3.6 苦情及び相談への対応

3.7 点検A.3.7 パフォーマンス評価

3.7.1 運用の確認

A.3.7.1 運用の確認

3.7.2 監査

A.3.7.2 内部監査
A.3.7.3 マネジメントレビュー

3.8 是正処置及び予防処置

A.3.8 是正処置

3.9 事業者の代表者による見直し（A.3.7.3 マネジメントレビュー）

Copyright©2018 JIPDEC All rights reserved

15

３．新審査基準の解説

Copyright©2018 JIPDEC All rights reserved

16

（１）規格と審査基準の主な変更箇所

Copyright©2018 JIPDEC All rights reserved

17【参考】現行審査基準と新審査基準
現行審査基準
審査項目数
文書審査

400

実質的にJIPDECガイドライン（2版）
現地審査

350
300
250
200
150
100
50
0

現行審査項目

新審査項目

新審査基準
JISQ15001:2017 付属書Aを元に2018年1月にJIPDEC HPに公表
https://privacymark.jp/system/guideli
ne/pdf/pm_shinsakijun.pdf
文書審査（25項目）
申請事業者の提出したPMS文書を審査
現地審査（100項目）
新審査基準に関する事業者の内部規程に基づく実施状況を確認
18

【参考】新審査基準例（一部抜粋/体裁変更）
JISQ15001：2017（付属書A）

審査項目

A.3.3.1 個人情報の特定①自らの事業の用に供している全組織は，自らの事業の用に供して ての個人情報を特定するためのいる全ての個人情報を特定するた 手順が内部規程として文書化さめの手順を確立し，かつ，維持しな れていること。（文書審査）ければならない。
②個人情報を管理するための台帳
組織は，個人情報の項目，利用 を整備していること。（現地審査）目的，保管場所，保管方法，アクセ ③台帳には，少なくとも以下の項
ス権を有する者，利用期限，保管 目が含まれていること。（現地審期限などを記載した，個人情報を 査）管理するための台帳を整備すると ・ 個人情報の項目
ともに，当該台帳の内容を少なくと ・ 利用目的
も年一回，適宜に確認し，最新の ・ 保管場所
状態で維持されるようにしなけれ ・ 保管方法
・ アクセス権を有する者ばならない。
・ 利用期限組織は，特定した個人情報につ ・ 保管期限
いては，個人データと同様に取り扱 ④台帳の内容を少なくとも年一回，適宜に確認し，最新の状態で維わなければならない。
持していること。（現地審査）《留意事項》
台帳に含める項目を検討するにあたっては，B.3.3.1で例示する事項を参考にすることができる。
台帳に含める項目に件数を含める場合，件数は概数でよい。台帳管理の主旨は，１件残らず漏れなく管理していることの証明ではなく，事業者内での個人情報の取扱状
況を把握することにある。

19

規格と審査基準の主な変更箇所①
審査基準は変更となりましたが、新たに規程や運用の変更をする必要が無いもの、
既にご対応いただいている点もあります。
現在の規程類や運用状況を踏まえ、ご確認ください。
審査基準変更 主な規格と審査基準の変更点
の理由

事業者の
対応

改正個人情報 ①用語及び定義(審査全般)
保護法との整 ②要配慮個人情報（A.3.4.2.3 新設）
合によるもの③トレーサビリティの確保（A.3.4.2.8.2 新設、A3.4.2.8.3 新設）

一部必要
必要
必要

④オプトアウト規制の強化（A.3.4.2.8）

必要⑤外国事業者への第三者提供（A.3.4.2.8.1 新設）

必要⑥個人データの消去の努力義務（A.3.4.3.1）

必要⑦匿名加工情報（A.3.4.2.9 新設)

必要※新審査基準による審査開始前であっても、改正個人情報保護法には対応をしている必要があります。
20

規格と審査基準の主な変更箇所②
事業者の対応が「不要」とは、従来から実質的に審査基準として運用されていて、運用されていないと指摘事項となった項目等です。（新規審査の場合は、対応が必要です。）
審査基準変更 主な規格と審査基準の変更点の理由
2006年版の変更によるもの事業者の対応①承認手順確認方法の変更（審査全般、A.3.1.1）

不要②個人情報保護方針の追加（A.3.2.1、A.3.2.2）

不要③頻度の明確化（審査全般、A.3.3.1他）

不要④台帳の整備（A.3.3.1）

必要⑤残留リスクの把握、管理（A.3.3.3）

不要⑥個人情報保護監査責任者と個人情報保護管理者の分離（A.3.3.4）

不要⑦利用目的特定にあたっての配慮（A.3.4.2.1)

不要⑧ただし書きの明確化（審査全般、A.3.4.2.4他）

不要⑨A.3.4.2.4、A.3.4.2.5 個人情報の取得について不要⑩「本人アクセス」（旧規格3.4.2.7）の名称変更「本人に連絡又は接触」（A.3.4.2.7）

不要

Copyright©2018 JIPDEC All rights reserved21

規格と審査基準の主な変更箇所③
事業者の対応が「不要」とは、従来から実質的に審査基準として運用されていて、運用されていないと指摘事項となった項目等です。（新規審査の場合は、対応が必要です。）
審査基準変更 主な規格と審査基準の変更点の理由
2006年版の変更によるもの事業者の対応⑪共同利用についての契約（A.3.4.2.8）

必要⑫安全管理措置（A.3.4.3.2、附属書C）不要⑬委託契約、選定（A.3.4.3.4）

必要⑭従業者に認識させる事項「個人情報保護方針」（A.3.4.5）

必要⑮書面で記述する要素「様式」（A.3.5.1）

不要⑯作成し、かつ、維持しなければならない記録（A.3.5.3a)～i)）

不要⑰各部門及び階層における運用の確認（A.3.7.1）

必要⑱監査員（A.3.7.2）

不要

Copyright©2018 JIPDEC All rights reserved22

（２）審査基準全般に関わる事項

Copyright©2018 JIPDEC All rights reserved

23審査基準全般に関わる事項ー用語及び定義①ー
新規格で用いる主な用語及び定義は、個人情報保護法における用語及び定義に統一されました。
個人データ及び保有個人データの取扱いについては、旧規格の個人情報及び開示対象個人情報の範囲と同じとしています。（特定の機微な個人情報と要配慮個人情報は、若干定義が異なります)

新規格

A.3.3.1 個人情報と同様に取扱う③保有個人データ
A.3.4.４.1 保有個人データに該当しない個人情報についても保有個人情報と同様に扱う（法第2条6項）①のうち個人情報を体系的に検索できるようにしたもの（法第2条7項）②のうち開示、訂正、消去等の権限を有し、6カ月以上保管するもの

要
法配
第慮
２
条個
３ 人
項情
報

匿

法
第名
２ 加
条工
９
情
項

報

)

②個人データ（法第2条1項）
生存する＊１特定の個人を識別できる情報

）

開示対象
個人情報
（3.4.4.1）

特
定
の
機
微
な
個
人
情
報

①個人情報

(

個人情報
（２．１）

(

旧規格

＊１ 新規格では、附属書B.3.3.1で、死者の情報も対象とすることが望ましいとしている
24

審査基準全般に関わる事項ー用語及び定義②ー
下記表のように用語が変更となりましたが、規程類などで使用している用語について、変更することは必須ではありません。（要配慮個人情報等を除く）
参考として、新規格の附属書D、表D-3には「用語対応表」が示されています。
JISQ15001:2006(旧規格)

JISQ15001:2017(新規格)

JISQ15001:2006(旧規格)

JISQ15001:2017(新規格)

事業者

組織

文書化した情報代表者、事業者の代表者

トップマネジメント

個人情報保護マネジメント
システム文書
文書

リスク

個人情報保護リスク（個人情報の取扱い局面における好ましくない影響）

文書化した情報（記録を除く。）

記録

文書化した情報のうち記録

実施及び運用運用

本人にアクセスする

本人に連絡又は接触するリスクの評価、分析

個人情報保護リスクアセス
メント（リスクの）対策

個人情報保護リスク対応

残存リスク（解説に
記載）

残留リスク

教育

認識、教育など

点検、代表者による見直し パフォーマンス評価
監査

内部監査

代表者による見直し

マネジメントレビュー

是正処置及び予防処置

是正処置
25

審査基準全般に関わる事項ー承認手順についてー
A.3.1.1において、A.3.2～A.3.8については、トップマネジメントによって権限を与えられた者によって、組織が定めた手順に従って承認されなければならない、とされました。
※これまで定めた個別の承認手順の変更は必須ではありません。
新審査基準

現行審査基準⇒各項目ごとの承認手順⇒個別の承認手順は必須ではない

A.3.1.1組織が定めた承認手順

３．４．２．４ 承認手順

Ａ．３．４．２．４

３．４．２．５ 承認手順

Ａ．３．４．２．５
３．４．２．６ 承認手順

Ａ．３．４．２．６

３．４．２．７ 承認手順

Ａ．３．４．２．７

３．４．２．８ 承認手順

Ａ．３．４．２．８
等
Copyright©2018 JIPDEC All rights reserved

等
26審査基準全般に関わる事項ー頻度の明確化ー
新規格では、個人情報の特定や見直し等を行う頻度が明確になりました。
これらは従来の審査でも確認を行っておりますので、新たな対応は必要ありません。
新規格の項番

内容

A.3.3.1 個人情報の特定・個人情報を管理するための台帳の内容の確認（少なくとも年1回、適宜に）A.3.3.3 リスクアセスメント及びリスク対策・個人情報保護のリスクの特定、分析及び講じた個人情報保護リスク対策の見直し（少なくとも年1回、適宜に）A.3.3.6 計画策定

・計画の立案、文書化（少なくとも年1回）

A.3.4.3.4 委託先の監督 e)

・契約によって規定し、十分な個人データの保護水準を担保する事項（契約内
容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項）

A.3.4.5 認識・手順（全ての従業者に対する教育を少なくとも年1回、適宜に行うことを含む
手順）

A.3.7.1 運用の確認・手順（個人情報保護マネジメントシステムが適切に運用されていることが組織の各部門及び階層において定期的に、及び適宜に確認されるための手順）
・各部門及び各階層の管理者による運用の確認（定期的に、及び適宜に）・個人情報保護管理者のトップマネジメントへの報告（定期的に、及び適宜に）A.3.7.2 内部監査

・監査（少なくとも年1回、適宜に）A.3.7.3 マネジメントレビュー

・個人情報保護マネジメントシステムの見直し（少なくとも年1回、適宜に）
27

審査基準全般に関わる事項ーただし書きの明確化ー
新規格では、旧規格で「ただし、～（中略）～、この限りでない」という表現を、「ただし、～（中略）～、○○○○は要しない」という表現に改めることで明確にしました。
これによる対応は必要ありません。
ただし書きの明確化の例
新規格の項番

内容

A.3.4.2.4 個人情報を取得した場合の措置「本人への利用目的の通知又は公表は要しない」とされました。

A.3.4.2.5 A.3.4.2.4のうち本人から直接書面によって取得する場合の措置「本人に明示し、本人の同意を得ることを要しない」とされました。

A.3.4.2.6 利用に関する措置「本人の同意を得ることを要しない」とされました。

A.3.4.2.7 本人に連絡又は接触する場合の措置「本人に通知し、本人の同意を得ることを要しない」とされました。

A.3.4.2.8 個人データの提供に関する措置「本人に通知し、本人の同意を得ることを要しない」とされました。

Copyright©2018 JIPDEC All rights reserved28

A.3.4.2.4、A3.4.2.5 個人情報の取得について
旧規格の3.4.2.4、3.4.2.5と、新規格のA.3.4.2.4、A.3.4.2.5は、構成が以下のように変更となりました。
A.3.4.2.5に基づき本人から直接書面によって個人情報を取得する場合には、A.3.4.2.4に定められた対応(利用目的の公表や通知など)を行っていることが前提となります。
【旧規格】

本人から直接書面によって取得（3.4.2.4）

個人情報を3.4.2.4以外によって取得（3.4.2.5）【新規格】

個人情報の取得（A.3.4.2.4）

本人から直接書面によって取得（A.3.4.2.5）
A.3.4.2.5

Copyright©2018 JIPDEC All rights reserved29

（３）審査基準の変更点－改正個人情報保護法との整合によるものー

Copyright©2018 JIPDEC All rights reserved30審査基準の変更点ー改正個人情報保護法との整合によるもの①ー
個人情報保護法の改正に伴い、JIS規格も改正されました。
これに伴い、審査基準も変更されました。
改正個人情
報保護法

新規格の
項番

新規格と審査基準の変更点

事業者の対応

要配慮個
人情報の
扱い（法第
17条2項）

A.3.4.2.3
要配慮個
人情報（新
設）

・保護法改正により新設されたことに伴い、新規格においても項目が新設されました。
・「要配慮個人情報」の定義は個人情報保護法によるため、従来の「特定の機微な個人情報」とは定義が異なります。
・審査では、要配慮個人情報を取得・利用・提供等をする場合には、あらかじめ書面による本人の同意が行われているか等を確認します。

・「要配慮個人情報」の定義についての確認及び更新。

個人データ A.3.4.3.1
消去の努
正確性の
力義務の
確保
追加（法第
19条）

※取扱いについては、従来の「特定の機微な個人情報」と同様です。

・審査では、正確かつ最新の状態で個人情 ・定めた保管期限を過ぎた報を管理しているか、事業者が定めた保管 個人情報を消去する。
期限を過ぎた個人情報について、消去が行われているかどうか等を確認します。
31

【参考】特定の機微な個人情報と要配慮個人情報特定の機微な個人情報a)思想，信条又は宗教に関する事項
a)b)人種，民族，門地，本籍地（所在都道
府県に関する情報を除く），身体・精神障害，犯罪歴その他社会的差別の原因となる事項c)勤労者の団結権，団体交渉その他団
体行動の行為に関する事項
d)集団示威行為への参加，請願権の行使その他の政治的権利の行使に関する事項
e)保健医療又は性生活に関する事項「機微情報」に該当するが、「要配慮個人情報」に該当しないもの
労働組合等への加盟
本籍地
性生活

要配慮個人情報
人種、信条、社会的身分、病歴、前科・前歴、犯罪被害情報本人に対する不当な差別、偏見が生じないように特に配慮を要するもの
身体障害・知的障害・精神障害等があること
健康診断その他の検査の結果（
遺伝子検査結果を含む）
保健指導、診療・調剤情報」等「要配慮個人情報」に該当するが、「機微情報」に該当しないもの
犯罪により害を被った事実
被疑者又は被告人として、刑事事件に関する手続が行われたこと
少年法の対象者として、少年の保護事件に関する手続が行われたこと32

審査基準の変更点ー改正個人情報保護法との整合によるもの②ー
改正個人情
報保護法

新規格の
項番

新規格と審査基準の変更点

事業者の対応

オプトアウ
ト規制の強化（法第23条2項）

A.3.4.2.8
個人デー
タの提供
に関する
措置

・保護法改正に伴い、新規格においてただし書きが変更されました。
・提供において、本人の同意を得ることが困難な場合で、本人の同意を得ることを要しない条件（ただし書き）が変更されました。

・ただし書きを本人への通知文書や規程に記載している場合には、表記の修正が必要です。
→実質的に修正要

外国事業
者への第
三者提供
（法第24
条）

A.3.4.2.8.1
外国にあ
る第三者
への提供
の制限（新
設）

・保護法改正により新設されたことに伴い、新規格においても項目が新設されました。
・審査では、外国にある第三者に個人デー
タを提供する場合、本人の同意を得ているか等を確認します。

・外国事業者への第三者提供が想定される場合には、規程類の作成、規程類に基づく運用が必要です。

Copyright©2018 JIPDEC All rights reserved33

【参考】個人データの提供に関する措置ーただし書きー
本人の同意を得ることが困難な場合であって、法令等が定める手続きに基づいた上で、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知するか、又はそれに代わる同等の措置を講じているとき
第三者への提供を利用目的とすること
第三者に提供される個人情報の項目
第三者への提供の手段又は方法
本人の請求などに応じて当該本人が識別される個人情報の第三者への提供を停止すること
取得方法
本人からの請求などを受け付ける
方法

法令等が定める手続き（個人情報保護委員会への届出→公表）
https://www.ppc.go.jp/personal/pr
eparation/optout/publication_list/

34

審査基準の変更点ー改正個人情報保護法との整合によるもの③ー
改正個人情
報保護法

新規格の
項番

新規格と審査基準の変更点

事業者の対応トレーサビ
リティの確保（法第25条、第26条）

A.3.4.2.8.2
第三者提
供に係る
記録の作
成（新設）

・保護法改正により新設されたことに伴い、新規格においても項目が新設されました。
・審査では、個人データを第三者に提供する際、記録を作成しているか等を確認します。

・個人データを第三者に提供する場合、記録の作成が必要です。

A.3.4.2.8.3
第三者提
供を受け
る際の確
認（新設）

・保護法改正により新設されたことに伴い、新規格においても項目が新設されました。
・審査では、第三者から個人データの提供を受ける際、記録を作成しているか等を確認します。

・第三者から個人データを提供される場合、記録の作成が必要です。

A.3.4.2.9
匿名加工
情報（新
設）

・保護法改正により新設されたことに伴い、新規格においても項目が新設されました。
・審査では、匿名加工情報を取り扱うかどうかの方針の有無を確認します。
・取り扱う場合には、その手順を示した内部規程が作成されているかどうか等を確認します。 Copyright©2018 JIPDEC All rights reserved

・匿名加工情報を取り扱う
かどうかの決定が必要です。
・匿名加工情報を取り扱う
場合には手順を定め規程を作成する必要がありま
す。
35

匿名加工
情報（法第
36条～法
第39条）

【参考】第三者提供に係る確認・記録義務
第三者との間で個人情報を提供・受領する場合、提供先が提供
元の情報取得経緯等を確認して記録
提供/受領の都度に確認/記録することでビジネスに支障が及ばない様に、以下の配慮
本人同意がある場合、提供年
月日の記録は不要
記録の保存期間は原則3年だ
3が、本人同意で第三者提供した場合は1年本人との契約等に基づく提供の場合は、既存の契約書等で代替可能
反復継続して提供する場合は、包括的な記録で可以下の場合は、確認/記録義務がない
法令に基づく提供
本人による提供（SNS等に記載されている本人発信によるプロフィール）
本人に代わって提供（銀行振込）
本人側への提供（同席している家族）

36

【参考】匿名加工情報取扱事業者の順守義務等
匿名加工情報とは、特定の個人を識別できないように個人情報を加工し、当該個人情報を復元できないような形にしたもの
特定の個人を識別可能な記述等（氏名等）の全部または一部を削除
個人識別符号の全部を削除
個人情報と他の情報を連結する
符号を削除
匿名加工情報を取り扱う個人情報取扱事業者→匿名加工情報取扱事業者の順守事項
適切な加工（法第36条1項、規則第19条）
安全管理措置（法第36条2項/6項）
公表義務（法第36条3項/4項）
識別行為の禁止（法第36条5項等）

個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）https://www.ppc.go.jp/personal/tokumeikakouInfo/37

（４）審査基準の変更点
ー2006年版の変更によるものー

Copyright©2018 JIPDEC All rights reserved

38審査基準の変更点ー2006年版の変更によるもの①ー
JISQ15001:2006からの変更に伴い、審査基準が変更されました。
個人情報保護方針に含まなければならない項目については変更が無いため、現在公表している個人情報保護方針を2つに分けることは必須ではありません。
変更箇所

新規格と審査基準の変更点

事業者の対応

個人情報保護方針の追加（A.3.2.1 内部向け個人情報保護方針（新設））・旧規格3.2の個人情報保護方針は、内部向け個人情報保護方針と外部向け個人情報保護方針に整理されました。
・方針を周知する対象を「組織内に伝達し、必要に応じて利害関係者が入手可能」としています。
※ここでいう利害関係者とは、委託先や協業相手などの取引先などが考えられます。

・新たに個人情報保護方針に項目を追加する必要はありません。

個人情報保護方針の追加（A.3.2.2 外部向け個人情報保護方針（新設））・A.3.2.1に加えて、制定年月日及び最終改・新たに個人情報保護方針に項
正年月日、外部向け個人情報保護方針の目を追加する必要はありません。
内容についての問合わせ先、について明記することとしていますが、従来の項目と変更はありません。
・方針を周知する対象を「一般の人が入手可能」としています。
39※周知する対象に「利害関係者」
が追加されたことに注意する必要があります。

Copyright©2018 JIPDEC All rights reserved

審査基準の変更点ー2006年版の変更によるもの②ー
変更箇所

新規格と審査基準の変更点

事業者の対応台帳の整備（A.3.3.1 個人情報の特定）・個人情報管理台帳に記載すべき項目として、件数が削除され、保管期限が追加となりました。
・審査では、従来の審査項目に加えて、個人情報管理台帳に保管期限が記載されているかどうかを確認します。

・個人情報管理台帳への記載項
目（項目/利用目的/保管場所/
保管方法/アクセス権を有する者/利用期限/保管期限等）
・件数を記載する場合は概数でも可

個人情報保護監
査責任者と個人
情報保護管理者の分離（A.3.3.4 資源,役割,責任権限）・新規格では、個人情報保護監査責任者と ・規格は変更となりましたが、審個人情報保護管理者を分離することが明確 査基準に変更は無いため、対応になりました。
をする必要はありません。
・従来から、個人情報保護監査責任者と個
人情報保護管理者は兼務出来ないとしていました。

利用目的特定にあたっての配慮（A.3.4.2.1 利用
目的の特定）

・利用目的特定にあたって、提供の範囲についても可能な限り具体的に明らかにするように配慮しなければなりません。
・従来から、これらの対応をお願いしていました。

・規格は変更となりましたが、審査基準に変更は無いため、対応をする必要はありません。

Copyright©2018 JIPDEC All rights reserved40審査基準の変更点ー2006年版の変更によるもの③ー
変更箇所

新規格と審査基準の変更点

事業者の対応共同利用につい ・“共同利用”について定義されました。
て（A.3.4.2.7 本
人に連絡又は接触する場合の措
置）・規格は変更となりましたが、審査基準に変更は無いため、対応をする必要はありません。

共同利用についての契約（A.3.4.2.8 個人
データの提供に関する措置）

・個人データの共同利用をする場合であって、ただし書き ｆ）を適用する
場合には、共同利用をする者の間で、共同利用について契約で定めていることが必要となります。
・本人の知りうる状態に置く項目

・A.3.4.2.8 でいう共同利用は、A.3.4.2.7における定義に基づきます。
・個人データを第三者に提供する場合であって、本人の同意を必要としないただし書き ｆ）に該当する項目として、共同利用の場合、共同利用について共同利用
者間で契約で定めていることが追加されました。
・審査では、従来の審査項目に加えて、共同利用について契約で定めているかどうかを確認します。

・共同利用すること・共同利用される個人情報の項目
・共同利用される者の範囲
・共同利用する者の利用目的
・共同利用する個人情報の管理について責任者の氏名又は名称
・取得方法

Copyright©2018 JIPDEC All rights reserved

41審査基準の変更点ー2006年版の変更によるもの④ー
変更箇所

新規格と審査基準の変更点

事業者の対応安全管理措置（A.3.4.3.2 安全管理措置、附属書C）・旧規格3.4.3.2では対応する審査項目を設 ・基準変更による対応は必要あり
定していませんでしたが、規格との対応をません。
明確にするために審査項目を作成しました。 ・附属書CはA.3.4.3.2の参考情報であり、審査基準ではなく、取り扱う個人情報のリスクに応じて適宜選択して利用することで問題ありません。

委託契約、選定（A.3.4.3.4 委託
先の監督）

・契約によって規定する事項に、h)契約終了後の措置が追加されました。
・審査では、従来の審査項目に加えて、委託先との契約に「ｈ）契約終了後の措置」が盛り込まれているかどうかを確認します。

・委託先との契約に「ｈ）契約終了後の措置」を設けていない場合には、追加する必要があります。

Copyright©2018 JIPDEC All rights reserved

42審査基準の変更点ー2006年版の変更によるもの⑤ー
変更箇所

新規格と審査基準の変更点

事業者の対応従業者に認識させる事項「個人
情報保護方針」（A.3.4.5 認識）

・従業者に認識させる事項として、「個人情 ・従業者への教育の内容に「個報保護方針」（内部向け個人情報保護方針、 人情報保護方針」（内部向け個
外部向け個人情報保護）が追加されました。 人情報保護方針、外部向け個人・審査では、従業者への教育の内容に、従 情報保護）を追加する必要があり
来の項目に加えて「個人情報保護方針」が ます。
含まれているかどうかを確認します。

書面で記述する
要素「様式」（A.3.5.1 文書化した情報の範囲）・内部規程に定める手順上で使用する様式 ・基準変更による対応は必要あり（記録の様式）についても文書化した情報の ません。
要素となりました（A.3.5.1 d)）。
・審査では、これまで各審査項目で確認していた内部規程や計画書、記録の書面の有無について、A.3.5.1でまとめて確認します。

作成維持しなけ
ればならない記録（A.3.5.3 文書
化した情報のうち記録の管理）・規格の中で管理が必要な記録が明記され ・基準変更による対応は必要あり
ました。
ません。
・審査では、記録が作成され管理されているかを確認します。
Copyright©2018 JIPDEC All rights reserved

43審査基準の変更点ー2006年版の変更によるもの⑥ー
変更箇所

新規格と審査基準の変更点

事業者の対応各部門及び階層における運用の確認（A.3.7.1 運用の確認）・各部門及び各階層の管理者は、定期的に運用の確認を行い、不適合が発見された場
合は、是正処置を行っているかどうかを確認します。
・個人情報保護管理者が、運用の確認の状
況を、定期的に、及び適宜にトップマネジメ
ントに報告しているかどうかを確認します。

・日常業務において点検を行い、気づいた点があれば、是正及び予防を行い、定期的に及び適宜に、トップマネジメントに報告をする必要があります。

監査員（A.3.7.2 内部監
査）・A.3.7.2では、監査員について言及していますが、従来から監査員が自ら所属する部署を監査しないよう定めています。

・規格は変更となりましたが、審査基準に変更は無いため、対応をする必要はありません。

Copyright©2018 JIPDEC All rights reserved

44４．おわりに

Copyright©2018 JIPDEC All rights reserved45【参考】審査基準の改定を機会としたＰＭＳ見直しのポイント
新審査基準では審査基準項目が集
約/統廃合されて、新たな審査項目
は十数項目で、減った審査項目数
は百数十（特に文書審査項目で顕著）に及びます従来よりも事業者の規模/事業内容/
リスクの変化に応じた主体的で柔軟なPMSの構築/運用/見直しが可能になりました
新基準審査でも、形式審査→文書
審査→現地審査を実施します
審査項目の箇条的な審査に加えて、個人情報の取り扱い局面に応じたリスク対策やPMSのPDCA管理状
況の確認にも注力します

見直しのポイント「個人情報保護マニュアル」/「個人情報保護規程」をJISQ15001：
2017規格の項目に合わせて全面改訂するか、追加分だけ対応する
か
JISQ15001：2017付属書AのA.3.3.5内部規程（a)項からo)項に合わせて、15種類の規程を維持す
るか、集約/統合するか様式類を維持するか、集約/統合するか
個人情報管理台帳/リスク管理表のグループ化/集約化を進めるか
自社の運用/リスクに応じた安全管
理措置に力点をおくか46

JISQ15001改訂に伴うPマーク新審査基準解説セミナー
名古屋：ウインクあいち
9/11（火） 13:30～17:00
2019/3/12（火） 13:30～
17:00
https://www.chusanren.or.jp/sc/pdata/4205.html

12/7（金） 13：30～17:00
金沢：石川県勤労者福祉会館
https://www.chusanren.or.jp/sc/pdata/4206.html

内容
1.JISQ15001：2017とは①JIS規格の構成②JISQ15001：2006との違い③Pマーク新審査基準との関連
2.Pマーク新審査基準の解説①審査の項目と方法について②審査基準の個別解説と自社規程/運用への展開
3.より効果的なPMSの運用①新規申請事業者様の場合②更新申請事業者様の場合

料金：5,400円/人（税込）5,400 /
47

参考資料
個人情報の保護に関する法律（https://www.ppc.go.jp/files/pdf/290530_personal_law.pdf）

個人情報の保護に関する法律についてのガイドライン
通則編（https://www.ppc.go.jp/files/pdf/guidelines01.pdf）
外国にある第三者への提供編（https://www.ppc.go.jp/files/pdf/guidelines02.pdf）
第三者提供時の確認・記録義務編（https://www.ppc.go.jp/files/pdf/guidelines03.pdf）
匿名加工情報編（https://www.ppc.go.jp/files/pdf/guidelines04.pdf）

特定分野ガイドライン(https://www.ppc.go.jp/personal/legal/guidelines/）
個人情報保護委員会(PPC)
https://www.ppc.go.jp/personal/legal/
JIPDEC ＨＰ
https://privacymark.jp/

48