Silviase/jgov_v1.4_full_ann huggingface dataset:
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(中小規模事業者)	として中小規模事業者から除かれるということが回答されたい。中小規模事業者のみから委託を受ける場合には,中小規模事業者として扱うべきではないか,検討されたい。【金融機関における個人情報保護の実務研究会】	しないこととしていますが、委託する者が中小規模事業者であるか否かは問いません。したがって、中小規模事業者から委託を受けて個人データを取り扱う者は、中小規模事業者に該当しないこととなります。
624	8	安全管理措置(中小規模事業者)	·通則編8の安全管理措置として求められる内容は,「(中小規模事業者以外の)個人情報取扱事業者」か「中小規模事業者」かで完全に分かれており,例えば中小規模事業者の定義にはあてはまらないものの,規模が比較的小さい事業者等についても,グローバルな上場企業と同じ安全管理措置が求められるということか,それとも,中小規模事業者の定義にはあてはまらない個人情報取扱事業者であっても,その管理する個人データの内容や量等にあわせて,柔軟な安全管理措置を施すことが許容されると考えてよいのか,回答されたい。【金融機関における個人情報保護の実務研究会】	改正後の法第20条に定める安全管理措置として個人情報取扱事業者が具体的に講じなければならない措置は、本ガイドライン(通則編)案に示した通りですが、これを講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも本ガイドライン(通則編)案に示した例示の内容の全てを講じなければならないわけではなく、また、適切な手法は当該例示の内容に限られません。したがって、中小規模事業者の定義には該当しないものの、規模が比較的小さい事業者等について、グローバルな上場企業と同じ安全管理措置が求められるということではなく、当該事業者において必要かつ適切な手法で足ります。
625	8	安全管理措置(中小規模事業者)	2016年8月2日「個人情報の保護に関する法律施行令の一部を改正する政令(案)」及び「個人情報の保護に関する法律施行規則(案)」に関する意見募集において以下の意見を8月30日に提出している。マンション管理組合が「中小規模事業者」に該当するのであれば、安全管理措置義務の内容として、マンション管理組合としての特例的な具体案(具体的な事例など)を示していただきたい。【以下参照】政令(案)・施行規則(案)への提出意見 マンションの管理組合の実態として、区分所有法上の強制加入団体であり、法人化されていないマンション管理組合は、「権利能力なき団体」である。当然ながら組合員は強制的に組合員となる。また、管理組合の執行機関である理事会においても大半は、任期が1～2年の輪番制であり、法人のような組織の指示系統や事務処理においても殆ど機能していないのが実情である。改正概要にある、「過去6カ月以内のいずれの日において取り扱う個人情報が5,000人以下の事業者の適用除外削除」が、マンション管理組合も個人情報取扱事業者にあたることが想定され、実際に管理組合が自ら安全対策を図ることは非常に困難であり、専門業者に	本ガイドライン(通則編)は、全ての事業分野に共通に適用される汎用的なものであるため、個別の事業分野に特有の事例等については、原則として記載しておりません。なお、マンション管理組合も含めた中小規模事業者において、改正後の法を適切に遵守いただけたり、分かりやすい解説資料等の作成も含め、周知広報活動を行ってまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
委託するにも現状の管理費に見込まれない新たな経費増となります。また、管理組合が扱う個人情報は区分所有者や居住者などに対し集会などに関する書面発送や連絡などの目的のみに使用し、営利目的で使用することはありません。以上のことから、マンション管理組合については除外対象として扱っていただきたい。【株式会社 穴吹コミュニティ】
626	8	安全管理措置（中小規模事業者）	「8(別添)講ずべき安全管理措置の内容」について次の通り意見を提出します。【意見3】「なお、中小規模事業者（※1）については、その他の個人情報取扱事業者と同様に、法第20条に定める安全管理措置を講じなければならないが、取り扱う個人データの数量及び個人データを取り扱う従業員数が一定程度にとどまること等を踏まえ、」とかかれていますが、これは、「なお、中小規模事業者（※1）については、その他の個人情報取扱事業者と同様に、法第20条に定める安全管理措置を講じなければならないが、取り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、」とすべきです。また、とどまること等の等には何が含まれるのか、明確にすべきでる。子細なことですが、とどまるは漢字表記にした方が良いと思います。【匿名】	御意見を踏まえ、御指摘の箇所を次のとおり修正いたします（下線部が修正箇所）。【修正前】「なお、中小規模事業者（※1）については、・・・個人データを取り扱う従業員数が一定程度にとどまること等を踏まえ、」【修正後】「なお、中小規模事業者（※1）については、・・・個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、」なお、御指摘の「とどまること等」の「等」には、例えば、個人データの取扱状況（取り扱う個人データの性質を含む。）が中小規模事業者以外と比べて異なっていることが多いと想定されること等が含まれますが、この限りではありません。なお、「とどまる」は、公用文用字用語例集（平成22年7月ぎょうせい公用文研究会編）に従った記載としております。
627	8	安全管理措置（中小規模事業者）	「8(別添)講ずべき安全管理措置の内容」について次の通り意見を提出します。【意見4】「円滑にその義務を履行できるよう、少なくとも必要であると考えられる手法の例を示すこととする。」は、「円滑にその義務を履行できるような手法の例を示すこととする。」とすべきです。【理由4】少なくとも必要であるということは、これらが義務であるということとなりますが、抽象零細企業にとっては無理な事柄がたくさんかいてあるからです。【匿名】	中小規模事業者において本ガイドライン（通則編）案に記載の手法を講じることは義務ではないため、御意見を踏まえ、次のとおり修正いたします（下線部が修正箇所）。【修正前】「なお、中小規模事業者（※1）については、・・・円滑にその義務を履行できるよう、少なくとも必要であると考えられる手法の例を示すこととする。」
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【修正後】「なお、中小規模事業者（※1）については、・・・円滑にその義務を履行し得るような手法の例を示すこととする。」なお、中小規模事業者においても適切に安全管理措置を講じていただけるよう、引き続き、積極的に周知広報活動を実施してまいります。
628	8	安全管理措置（中小規模事業者）	特定個人情報の適正な取扱いに関するガイドライン（事業者編）の（別添）特定個人情報に関する安全管理措置（事業者編）には記載されていた、1安全管理措置の検討手順がこのガイドラインには記載されていたことから、特定個人情報の適正な取扱いに関するガイドライン（事業者編）に記載されていたと1安全管理措置の検討手順は、個人情報の安全管理措置を考える際には不適切ということで正しい理解でしょうか。安全管理措置の検討手順は、初めて安全管理措置を検討する中小企業にとって大切なものなので、適切な検討手順をガイドラインに描いてほしい。別途検討しますとかではなく、ガイドラインに描いてほしい。これらの非常に大量のガイドラインの他に、あれもこれも見なければならないのは極めて苦痛だし、中小企業の人は見向きもしないと思う。【匿名】	特定個人情報の適正な取扱いに関するガイドライン（事業者編）（個人情報保護委員会）に記載されている「安全管理措置の検討手順」について、個人情報の安全管理措置を考える際には不適切ということではありません。ただし、「特定個人情報」と比べて「個人情報」一般は、その種類、性質、取り扱われ方等が非常に多様であることから、検討手順についても必ずしも一律ではないと考えられるため、本ガイドライン（通則編）案には記載しておりません。なお、中小規模事業者においても適切に安全管理措置を講じていただけるよう、分かりやすい解説資料等の作成も含め、周知広報活動を行ってまいります。
629	8-1	安全管理措置（基本方針）	基本方針の中には「匿名加工情報に関すること」「認定個人情報保護団体に関すること」を含むように記していただけることを願います。【改正個人情報保護法 消費者志向で考える事業者ガイドライン研究会】	基本方針の内容は、個人情報取扱事業者が、個人データの適正な取扱いの確保について組織として取り組むために必要と考える任意の内容とすることができるため、御指摘の項目を含めることも考えられます。
630	8-1	安全管理措置（基本方針）	（該当簡所）通則編の87ページ8-1（御意見）基本方針の意義や求められる基本方針の内容について明記すべきである。（理由）特定個人情報等についても基本方針の作成をガイドラインで求めていたが、これに基づき、きわめて形式的な基本方針が多数作成されている現状がある。例えば、事業者名、法令等の遵守、窓口を記載したうえで、「しっかりと安全管理措置を講じていきます」とのみ記載されていたり、「組織的、人的、物理的、技術的安全管理措置を講じます」とのみ記載されているようなものである。このような画一	安全管理措置（改正後の法第20条）の一環として、基本方針を策定することは重要と考えますが、必ずしも義務ではありません。なお、基本方針の内容は、個人情報取扱事業者が、個人データの適正な取扱いの確保について組織として取り組むために必要と考える任意の内容とすることができますが、当該内容は、個人情報取扱事業者の事業の内容や規模等によっても異なり得るものであるため、画一的に定めることは適さないと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
的形式的な基本方針を作成しても，作成する手間がかかるのに対し，「個人データの適正な取扱いの確保について組織として取り組む」ことに資するとは考えられない。対外的な信頼を確保するために，本人への説明責任を果たすために，当該事業者が講ずる対応の要点を明らかにすることなどを求めるべきである。【弁護士21名共同提出】	す。
631	8-1	安全管理措置（基本方針）	<意見5＞■該当箇所87 ページ・1 行目■意見個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが求められているが、この基本方針は、従来の経済産業分野ガイドラインで規定されている「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）」と同じもので良いのか、明確化していただきたい。■理由個人情報取扱事業者は、現行法の下においても、法27 条及び35 条に関連して、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を策定し、外部に公開していることが一般的となっているが、本ページにいう「基本方針」が、これらプライバシーポリシー等と同一のものを指しているのか、または、プライバシーポリシー等に加えて基本方針を作成することが要求されているのか、あるいは、個人データの取扱に係る事業者の内部的規律の原則を定めることを求められているのか、必ずしも明らかではないため。【一般社団法人 電子情報技術産業協会】	本ガイドライン（通則編）案において、策定することが重要であるとしている「基本方針」は、個人データの適正な取扱いの確保について組織として取り組むために、個人情報取扱事業者が必要と考える任意の内容を取りまとめるものであるため、既に個人情報取扱事業者がいわゆるプライバシーポリシー等を定めている場合、当該プライバシーポリシー等をこの「基本方針」として捉えていただくことも可能と考えます。なお、基本方針及びプライバシーポリシーのいずれも、その内容は個人情報取扱事業者が必要と考える任意の内容とすることができると考えますので、特に、プライバシーポリシー等に加えて基本方針を作成することを求めるものではありません。
632	8-1	安全管理措置（基本方針）	8-1 基本方針の策定について以下の通則意見を提出します。《意見》以下の記載について、位置付けを明確化してほしい。具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイドライン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる。《理由》これらを含めることが、必須なのか任意なのかが不明だからです。【匿名】	安全管理措置（改正後の法第20条）の一環として、基本方針を策定することは重要と考えますが、必ずしも義務ではありません。また、御指摘の内容は、基本方針に定める項目の例として記載したものであり、必須ということではありません。基本方針の内容は、個人情報取扱事業者が、個人データの適正な取扱いの確保について組織として取り組むために必要と考える任意の内容とすることができます。
633	8-2	安全管理措置（規律整備）	【該当箇所】（通則編）（別添）講ずべき安全管理措置の内容「8-2 個人データの取扱いに係る規律の整備」【意見】「個人データ」と「個人情報」を整理すること【理由】安全管理措置は、個人情報保護法第20条により「個人データ」の取扱いに課されていることは明らかであるが、個人データを取り扱うにあたり、取得段階では、基本的には「個人情報」であり、一概に「個人データの取扱い」「個人データの取得」と記載するだけでは、全て「個人データ」であると誤解が生じるため、記載内容を整理してはどうか。	一般的に現状の案で御理解頂けるものと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【日本税理士会連合会】
634	8-2	安全管理措置(規律整備)	表組の中の「手法の例示」で、「取得、利用、保存、提供、削除・廃棄等の段階ごと」とありますが、「取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄等の段階ごと」という言い方が定着しています。検討いただけることを願います。【改正個人情報保護法 消费者志向で考える事業者ガイドライン研究会】	一般的に現状の案で御理解頂けるものと考えます。
635	8-2	安全管理措置(規律整備)	·通則編8-2につき，中小規模事業者が取扱方法を「整備」するという趣旨は，「規程」や「マニュアル」を策定する必要はなく，例えば社内の告知文書や電子メール等で基本的な取扱方法を告知することも「整備」に含まれるということを確認していただきたい。【金融機関における個人情報保護の実務研究会】	御理解のとおりです。
636	8-2	安全管理措置(規律整備)	安全管理措置に関して1.規程等の策定が、規律の整備として安全管理措置全般に係る事項という点は、特定個人情報と同様であり、理解し易い。しかしながら、規律に関する具体的例示に乏しく、新たに対象となる中小規模の事業者にとっては、想像しがたい内容である。【一般社団法人日本個人情報管理協会】	改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
637	8-2	安全管理措置(規律整備)	(該当簡所)通則編の87ページ8-2(御意見)取扱に係る規律の意義や求められる内容についてより具体的に明記すべきである。(理由)基本方針同様，特定個人情報等に関しては，きわめて形式的な取扱規程が多数作成されている現状がある。例えば，インターネット上で無料の取扱規程はな形が公表されており，これをそのままコピー&amp;ペ-ストしただけのもの(法律的な誤りもコピ-&amp;ペ-ストされてしまったりしている)や，多少アレンジしていても，安全管理措置の具体的内容がほぼ記載されていないものが多数散見される。個人データに関してこのような事態が繰り返されないよう，形式的に規程を整備することよりも，当該事業者における個人データの取扱いにかかる具体的な内容を明記することが重要であることを，ガイドライン上で明記すべきである。より理想的には，規律の一部でもよいので，サンプルや例をガイドライン上で揭示することが望まれる。【弁護士21名共同提出】	改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
638	8-2	安全管理措置(規律整備)	8-2個人データの取扱いに係る規律の整備について以下の通り意見を提出します。《意見》規律とは何か明確に定義してほしい。《理由》「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」における「取扱規定」と同じと思いますが、異なる言葉にしたということは異なる意味と後から言われても困るからです。なお、「特	本ガイドライン(通則編)案の「個人データの具体的な取扱に係る規律」とは、個人データの取得、利用、保存等を行う場合の基本的な取扱方法等を定めたものを指します。したがって、個人データの具体的な取扱を定める取扱規程もこれに含まれますが、それらの内容を含む業務マニュアル等もこれに
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
定個人情報の適正な取扱いに関するガイドライン(事業者編)」における「取扱規定」には、「口頭で明確化する方法のほか、業務マニュアル、業務フロー図、チェックリスト等に特定個人情報等の取扱いを加えるなどの方法」が含まれているとされていますが、特定個人情報の適正な取扱いに関するガイドライン(事業者編)」における「取扱規定」と何が違うのか、明確にすべきだからです。また、「中小規模事業者における手法の例示」には「個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備する。」と規定されていますが、「基本的な取扱方法」と「規律」は何が違うのか、明確にすべきだからです。【匿名】	含まれ、また、口頭により個人データの取扱方法等として従業者に周知されているものがあれば当該内容もこれに含まれます。
639	8-2	安全管理措置(規律整備)	8-2個人データの取扱いに係る規律の整備について以下の通り意見を提出します。《意見》手法の例示として規律の内容にしか触れられておらず、規律を整備することの手法の例示を明確にしてほしい。《理由》規律とはなんなのかを理解しやすくするために必要だからです。手法の例示には、取扱規程を策定するとありますが、規律の整備の手法の例示が取扱規程を策定するということで良いのであれば、そのように明確にしてすべきだし、取扱規程の整備以外の手法の例示を示すべきだらかです。【匿名】	改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
640	8-2	安全管理措置(規律整備)	8-2個人データの取扱いに係る規律の整備について以下の通り意見を提出します。《意見》個人データの全部を委託している場合でも規律の整備が必要なのかを明確にしてほしい。《理由》技術的安全管理措置には除外規程があるものの、ここにはないので明確にすべきだからです。【匿名】	個人データの取扱いの全部を委託している場合も、個人データの取扱いに係る規律を整備することが必要です。なお、この場合は、個人データの取扱いの全部を委託することが何らかの形で定められており、適切に委託先の監督(改正後の法第22条)(委託契約の締結等を含む。)が行われていれば足りるものと考えられます。
641	8-2	安全管理措置(規律整備)	8-2個人データの取扱いに係る規律の整備について以下の通り意見を提出します。《意見》マイナンバーの場合には、担当者が変更になった場合には適切に引き継ぐ趣旨の記載がガイドラインに書いてありますが、本項目には記載がありませんので、引き継ぎをする必要はないとの理解してもよいのであれば、そのように記載してほしい。《理由》マイナンバーのガイドラインとの違いがわからないからです。【匿名】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。御指摘の「個人データを取扱り扱う担当者が変更になった場合に適切に引き継ぐこと」も手法の1つと考えられます。
642	8-2	安全管理措置(規律整備)	ガイドライン(通則編)<(別添)安全管理措置 8-2規律の整備>4.(意見)	改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
中小規模事業者における手法の例示には、当該事業者が持つ基本的な規定に各安全措置を講じることを規定すべきであることを例示に加えるべきと考えます。(理由)中小規模事業者には、中小企業だけではなく、人格なき社団も府無まれることから、中小企業の就業規則のほか、会則、規約といった、事業者内部での各種事務、順守事項についての規定が存在することが考えられる。安全管理措置に関する取扱規定の策定の程度は、その事業者が持つそのほかの規程の整備度合と整合させるべきである。【個人】	とを検討してまいります。
643	8-3	安全管理措置(組織的)	ガイドライン案 P90 の表組中の「手法の例示」で以下の簡所は「個人情報データベース等」ではなく「個人データ」にした方が適確であると考えますが検討いただけることを願います。·個人情報データベース等の利用·出力状況·個人情報データベース等の削除·廃棄の状況(委託した場合の消去·廃棄を証明する記録を含む。)·個人情報データベース等を情報システムで取り扱う場合、担当者の情報システムの利用状況(ログイン実績、アクセスログ等)【改正個人情報保護法 消费者志向で考える事業者ガイドライン研究会】	一般的に現状の案で御理解いただけるものと考えます。
644	8-3	安全管理措置(組織的)	ガイドライン案 P90 の表組の中の「(3)個人データの取扱状況を確認する手段の整備」の「手法の例示」では、「利用目的」ではなく「本人に通知した利用目的」とすることで意味が出ると考えます。【改正個人情報保護法 消费者志向で考える事業者ガイドライン研究会】	一般的に現状の案で御理解いただけるものと考えます。
645	8-3	安全管理措置(組織的)	·通則編8-3(3)につき、経産省ガイドライン2-2-3-2では個人データの取扱い状況を「一覧」できる手段の整備とされているのが通則編8-3(3)では(中小規模事業者ではなくとも)個人データの取扱状況を「確認」する手段の整備とされていることは、経産省ガイドラインよりも、個人情報取扱事業者の義務が軽減され、「一覧」までは不要となったという趣旨と理解してよいか、確認されたい。例えば、「個人データ取扱台帳」への言及がなくなっているが、改正法の下では「個人データ取扱台帳」は不要ということか、回答されたい。【金融機関における個人情報保護の実務研究会】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。御指摘の「個人データ取扱台帳」を整備することも、組織的安全管理措置を講じるための手法の1つと考えます。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
646	8-3	安全管理措置(組織的)	個人情報の保護に関する法律についてのガイドライン(通則編)について質問と意見を提出します。「(1)組織体制の整備 安全管理措置を講ずるための組織体制を整備しなければならない。」とあって、その手法の例示として「個人データの取扱いに関する責任者の設置及び責任の明確化」とありますが、会社として一人の責任者を設置すれば良いのでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」の手法の例示では事務毎に責任者を設置するように記載されていますので、異なる手法が例示されていると捉えて良いのでしょうか。また、「個人データを取扱い扱う従業者及びその役割の明確化」も同様で、どのような個人データであっても、個人データを取扱い扱うか否かを明確化すれば良いのでしょうか。「法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制」とあるが、個人情報保護法のみを対象とすれば良いのでしょうか。「個人データの漏えい等の事案の発生又は兆候を把握した場合の責任者への報告連絡体制」とありますが、「個人データの漏えい等の事案の発生」とは具体的にどのような事案が含まれるのでしょうか。また、どのようにして兆候を把握すれば良いのかがわかりませんので手法の例示を示してください。【匿名】	「個人データの取扱いに関する責任者の設置及び責任の明確化」及び「個人データを取扱い扱う従業者及びその役割の明確化」について、具体的にどのように実践するかは、特にその手法が限定されるわけではありません。また、本ガイドライン(通則編)案では、「法」とは個人情報の保護に関する法律のことを指しています。なお、「個人データの漏えい等の事案の発生」とは、典型的には保有する個人データの漏えいが発生した場合を指し、その兆候は、個人データの取扱状況の定期的な監視の他、従業員や顧客からの通報等によっても把握することが可能と考えます。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
647	8-3	安全管理措置(組織的)	個人情報の保護に関する法律についてのガイドライン(通則編)について質問と意見を提出します。「あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取扱い扱わない。」とありますが、「8-2個人データの取扱いに係る規律の整備」には、従業者に規律を遵守させるための事項が含まれないという理解で良いでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」にはこのような記載はないことから、どのような意図があるのかを明確にしてほしい。「あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取扱い扱わない。」に対する手法の例示がないので、具体例をいくつか追記してほしい。「なお、整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、システムログ又は利用実績を記録することも重要である。」とありますが、システムログ又は利用実績を記録することは「整備された個人データの取扱いに係る規律に従った運用の状況を確認するため」のみではないことから、「整備された個人データの取扱いに係る規律に従った運用の状況を確認するため」を削除してはどうでしょうか。また、「一重要である」と記載されていることから、「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」と異なり、あらゆる場面においてシステムログ又は利用実績を記録しなくてもよい」という点については、御理解のとおりです。また、特定個人情報の適切な取扱いに関するガイドライン(事業者編)(個人情報保護委員会)に記載されている手法により、個人情報全般の安全管理措置を講じていただくことも適切であり、当該ガイドラインよりも厳格な措置の実施を本ガイドライン(通則編)案で求める趣旨ではありません。改正後の法第20条により求められる安全管理措
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
明確にしてほしい。「個人情報データベース等の削除・廃棄の状況(委託した場合の消去・廃棄を証明する記録を含む。)」「個人情報データベース等を情報システムで取り扱う場合、担当者の情報システムの利用状況(ログインイン実績、アクセスログ等)」とありますが、「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」とは異なる記載となっていることから、それぞれの意味が明確化されるべきと思います。「あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する。」は抽象的過ぎて、手法の例示となっていないので、中小規模事業者でも理解できるレベルで、手法の例示を示される必要があると思います。文言だけを捉えると「(5)取扱状況の把握及び安全管理措置の見直し」と重複している内容にも読めます。また、「あらかじめ整備された基本的な取扱方法」とありますが、基本的な取扱方法を整備しなければならないのでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」における中小規模事業者における対応方法よりも厳しいように読めますが、それで正しいのでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」における中小規模事業者の対応方法は、「一しておく」と、本項目では「一する」となっていますので、この違いは何か明確にしてほしい。【匿名】	置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
648	8-3	安全管理措置(組織的)	個人情報の保護に関する法律についてのガイドライン(通則編)(案)について意見を提出します。手法の例示として「例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが考えられる。」とありますが、これらの項目を明確化すると個人データの取扱状況を把握できるようになるのでしょうか。「項目をあらかじめ明確化」する具体的な手法を示してほしい。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」では記録となっていますが、異なる記載となっていますので、記録以外の方法が含まれるということでよいのでしょうか。「個人データの取扱状況を確認する」と「個人データの取扱状況を把握可能とする」は何が違うのでしょうか。箇条書き中に「個人データの項目」とありますが、これは変化する可能性があることから、「あらかじめ明確化」する項目にすべきではないと考えますが、いかがでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」に記載されている「削除・廃棄状況」がない理由がわかりません。本項目が意図することが、会社の中に保有する個人情報ファイルの台帳のようなものを整備することでしたらば、削除・廃棄状況は必須とおもいますので、削除・廃棄状況がないということは、異なることを意図されているのでしょうか。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」には、この手段の整備においてマイナンバーを記載してはならない主旨が記載されていますが、ここにはないので、マイナンバーを記載することは問題ないと捉えて良いのでしょうか。【匿名】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。なお、特定個人情報の取扱いについては、番号法及び「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」(個人情報保護委員会)に従って措置を講じていただく必要があります。
649	8-4	安全管理措置(人的)	通則編8-4につき、経産省ガイドライン2-2-3-2で人的安全管理措置として周知徹底・教育以外に「業務上秘密と指定された個人データの非開示契約の締結」等が規定されているが、通則編8-4では非開示契約への言及がない。これは、非開示契約の締結は不要ということか、回答され	御指摘の内容も、人的安全管理措置を講じるための手法の1つと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
たい。【金融機関における個人情報保護の実務研究会】
650	8-4	安全管理措置(人的)	·通則編8-4につき中小規模事業者における手法も「同左」とされているが、これは、中小規模事業者における研修の内容、頻度等も一般の個人情報取扱事業者と同様のものとしなければならないということか、確認されたい。もしそうでないのであれば「同左」ではなく「規模に応じた頻度・内容で研修等を行う」というように、中小規模事業者の義務が軽減されていることが分かる表現としてはどうか。(通則編8-5(2)の「同左」についても同じ質問・指摘があてはまる。)【金融機関における個人情報保護の実務研究会】	御指摘の箇所については、中小規模事業者において「従業者の教育」を講じるための具体的な手法の例として、定期的な研修を行うこと等が考えられる旨を示したものであり、具体的な研修の内容、頻度等について中小規模事業者以外の個人情報取扱事業者と同様のものとしなければならないという趣旨ではありません。なお、研修の内容、頻度等については、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容であれば足りると考えます。
651	8-4	安全管理措置(人的)	安全管理措置に関して3.人的安全管理措置就業規則に機密保持を盛り込むとの表現はあるが例示に留まっている。人の不正が個人情報保護上極めて大きな問題となっている点を考えると、従業者との非開示契約(機密保持契約)は必須事項であると考える。従って、人的安全管理措置の義務事項ないしは、規律の整備の中の義務事項とすることが望ましい。【一般社団法人日本個人情報管理協会】	安全管理措置を講ずるための具体的な手法については、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容であれば足りると考えます。御指摘の内容も、人的安全管理措置を講ずるための手法の1つと考えられますが、これを行うことが、全ての事業者にとって改正後の法第20条に基づく義務であると考えておりません。
652	8-4	安全管理措置(人的)	(該当箇所)通則編の92ページ8-4人的安全管理措置(御意見)講じなければならない措置として従業員の教育が挙げられているが、法第21条に基づき、従業員の監督も同じく行わなければならない。「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」にあるように監督も人的安全管理措置に含めるとともに、監督についても手法の例示(中小規模事業者におけるものも含む。)を示すべきと考える。(理由)教育と監督は表裏一体と考えられる。なお手法の例示に「個人データについての秘密保持に関する事項を就業規則等に盛り込む」とあるが、これは監督の根拠であり、監督そのものではない。また教育の根拠になりるものでもあるが、講じ	御指摘のとおり、個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、人的安全管理措置を講じなければならないほか、改正後の法第21条に基づき従業者に対する監督をしなければなりませんが、その旨は、一般的に現状の案で御理解頂けるものと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
なければならない措置としての「従業員の教育」そのものではない。【一般社団法人 情報サービス産業協会】
653	8-4	安全管理措置(人的)	(該当簡所)通則編の92ページ8-4人的安全管理措置(御意見)「従業者」はp.42で「個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員(正社員、契約社員、嘱託社員、パート社員、アルバイト社員等)のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる」とされているが、人的安全管理措置の手法の例示では、すべておしなべて「定期的な研修等を行う」といった記述となっている。本来的にはそれぞれの職責に応じ、役割と責任を自覚させることが重要であるため、これが明確にわかる手法の例示を記載いただきたい。また中小規模事業者に関してもこれは同じく適用されると考える。(理由)手法の例示の「研修等」では経営者や管理者の役割と責任が曖昧化される懸念がある。また特に中小規模事業者の今後の取組みでは経営者の自覚が実効性をもたらす鍵となることから、職責に応じた役割と責任を明示化すべきと考える。【一般社団法人 情報サービス産業協会】	御指摘のとおり、従業者の教育に当たり、職責に応じて役割と責任を自覚させることも、人的安全管理措置を講ずるための取組の1つと考えます。なお、安全管理措置を講ずるための具体的な手法については、本ガイドライン(通則編)案に記載した全ての例示の内容を講じなければならないわけではなく、また、適切な手法はこれらに限られません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
654	8-4	安全管理措置(人的)	個人情報の保護に関する法律についてのガイドライン(通則編)(案)について意見を提出します。「また、個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、法第21条に基づき従業者に対する監督をしなければならない」とありますが、これは「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」における「a事務取扱担当者の監督」と何が異なるのでしょうか。同等の内容であれば、同等の記載とされることが想定されますので、異なる記載については、異なる理由を示してください。「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。」とあるが、「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」の同様の箇所には「留意事項等」と記載されており、何が異なるのかをお示しいただきたい。【匿名】	本ガイドライン(通則編)案のうち、安全管理措置(改正後の法第20条)については、「特定個人情報の適切な取扱いに関するガイドライン(事業者編)」(個人情報保護委員会)(以下「番号法ガイドライン」といいます。)の内容に準じていますが、マイナンバーと個人情報全般との取り扱われ方の差異等を踏まえ、適切な内容・表現としています。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。なお、従業者の監督について、番号法と個人情報保護法とで、その基本的な考え方に大きな違いはありませんが、個人情報保護法においては、個人情報取扱事業者全体に対して従業者の監督を義務づける条文(同法第21条)があるため、本ガイドライン(通則編)案においては、従業者の監督については、当該条文を参照すべき旨を記載しています。
655	8-5	安全管	●該当箇所	御理解のとおりです。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
理措置(物理的)	通則編の93ページ・3行目●意見内容必ずしも間仕切り等を設置しなくても、取扱区域において、適切な安全管理措置を講じていればよいと理解してよいか。また、管理区域においても、例示されている手段に限られず、適切な安全管理措置を講じていればよいと理解してよいか。●理由実務を行う上で、上記解釈を明確にしたいため。【一般社団法人日本クレジット協会】
656	8-5	安全管理措置(物理的)	ガイドライン案 P95 の表組の中の「(4)個人データの削除及び機器、電子媒体等の廃棄」の「中小規模事業者における手法の例示」では、「・・電子媒体等を廃棄したことを」の箇所を「・・電子媒体等を安全に廃棄したことを」とすることで意味が出ると考えます。【改正個人情報保護法 消費者志向で考える事業者ガイドライン研究会】	一般的に現状の案で御理解いただけるものと考えます。
657	8-5	安全管理措置(物理的)	安全管理措置に関して4.物理的安全管理措置自然災害(地震、津波、風水害等)、テロ、爆発、事故等による個人情報のき損(物理的破壊)を防ぐことは、社会状況を考えても極めて重要であるが、管理区域の適切な保護という表現に留まっており、不明確である。【一般社団法人日本個人情報管理協会】	御指摘の内容も、物理的安全管理措置を講ずるための手法の1つと考えます。
658	8-5	安全管理措置(物理的)	(該当箇所)通則編の94ページ中小規模事業者における手法の例示(1)(御意見)具体的手法を明記すべきである。(理由)この記述では、具体的に何をすべきなのかがわからないため。【弁護士21名共同提出】	改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
659	8-5	安全管理措置(物理的)	(該当箇所)通則編の94ページ手法の例示・中小規模事業者における手法の例示(2)1～3行目(御意見)「従業者不在時等に盗難等がなされないような措置を講じる」に変更すべきである。(理由)個人データが記載された書類等の量が多いものの事務スペースが狭い場合、すべての書類等を施錠できるスペースに保管することは、実務上困難である。特に中小規模事業者は、困難である。必ずしも施錠できるキャビネットや書庫へ保管する必要はないのではないか。例えば、事務スペースに保管しつつ、従業者不在時・退社時には、事務スペースの扉を施錠すること等でも足りるのではないか。	御指摘の内容も、物理的安全管理措置を講ずるための手法の1つと考えます。なお、安全管理措置を講ずるための具体的な手法については、本ガイドライン(通則編)案に記載した全ての例示の内容を講じなければならないわけではなく、また、適切な手法はこれらに限られません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずる
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
【弁護士21名共同提出】	ための手法の例については、Q&A等においても示すことを検討してまいります。
660	8-5	安全管理措置(物理的)	(該当簡所)通則編の94ページ手法の例示・中小規模事業者における手法の例示(2)4～6行目(御意見)「従業者不在時等に盗難等がなされないような措置を講じる」に変更すべきである。(理由)事務スペースの狭さ・レイアウトの関係等から,固定できない場合も多い。特定個人情報等とは異なり,個人データの場合,ほぼすべてのPC等で取り扱われる可能性があり,そうすると,限定された機器等ではなく,ほぼすべての機器等をセキュリティワイヤー等で固定することは困難な場合も十分あり得る。【弁護士21名共同提出】	御指摘の手法も、物理的安全管理措置を講ずるための手法の1つと考えられます。なお、本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
661	8-5	安全管理措置(物理的)	2.個人情報の保護に関する法律についてのガイドライン(通則編)(案)に対する意見等物理的安全管理措置の「管理区域」、「取扱区域」の措置は、「特定個人情報扱に関するガイドライン(事業者編)」の(別添)で示されている「管理区域」、「取扱区域」と同様の措置(各区域の明示等)まで求められていないとの理解でよいか。【一般社団法人全国銀行協会】	個人データを取り扱う区域の管理に当たって、必ずしも「管理区域」「取扱区域」について各区域の明示を求めるわけではありません。
662	8-5	安全管理措置(物理的)	(該当簡所)通則編8-5物理的安全管理措置(意見)事業者内の部署により取扱扱個人情報に差異がありますが、入居しているビルの構造などの観点から壁・間仕切りの設置や座席配置の工夫が困難なケースがある。また、観き込み防止措置は、他の業務に従事している社員からの覗き込みには効果があるが、当該作業をしている社員の不正発見の機会を減らすことにもなる。そのため、社内の複数の取扱区域をまとめて1つの取扱区域と位置付け、例えばフロア全体に社外の人間が立ち入りできないような措置を講じることで管理手法とできると理解しているが妥当かご教示願いたい。(理由)許容される事例の確認のため。【日本貸金業協会】	御指摘の手法も、物理的安全管理措置を講ずるための手法の1つとして考えられます。
663	8-5	安全管	(対象条文)	御意見を踏まえ、「個人データの削除及び機器、電
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
理措置(物理的)	4)個人データの削除及び機器、電子媒体等の廃棄個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元できない手段で行わなければならない。また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である(意見)「削除」した場合、「復元できない手段」として、特権アカウントを所持した特定のアドミニストレーターしか復元ができない場合も、該当するか。例えばデータベースの1項目の削除(削除フラグをオンにする)を行った場合に、データベース上では残るが、利用者には見えない。また、そういった1項目の削除を「完全消去」することは不可能と考える(理由)例えばSaaS上の項目である取引先の1名を「無効化」しても、データベース上はどうしても残り、完全消去ができない【株式会社セールスフォースドットコム】	子媒体等の廃棄」の手法の例示として、次を追加いたします。「情報システム(パソコン等の機器を含む。)において、個人データを削除する場合、容易に復元できない手段を採用する。」
664	8-5	安全管理措置(物理的)	(該当箇所)通則編の94ページ(1)個人データを取り扱う区域の管理(意見)マイナンバーの管理手法より負荷の軽い手法の例示をお願いする。(理由)(取扱区域の管理手法の例)としてマイナンバー同等の管理手法があげられているが、マイナンバーと個人情報全般では取り扱われ方に差異があることから、管理手法にも差異を設けて頂きたい。壁又は間仕切り等の設置、座席配置の工夫によるのぞき込みを防止する措置の実施は負担が大きく、各社にとって現実的な対応は困難と思われる。【三菱UFJ国際投信】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解頂けるものと考えますが、安全管理措置を講じるための手法の例については、Q&A等においても示すことを検討してまいります。
665	8-5	安全管理措置(物理的)	(該当箇所)通則編の94ページ(1)個人データを取り扱う区域の管理(御意見)管理区域と取扱区域について、当該区域とされる具体的な判断基準を明らかにし、可能な限りガイドラインの安全管理措置に記載いただきたい。(理由)番号制度のガイドラインでも、管理区域に設置されているサーバの情報を閲覧できる端末が設置されている区域は管理区域と取扱区域のいずれに相当するかという議論があったことから、番号制度で混乱が見られた事項については、Q&Aで示すより、可能な限り事前にガイドライン中で明確化した方が社会的な混乱が少ないと考えられる。【一般社団法人情報サービス産業協会】	具体的にどのような区域が管理区域又は取扱区域のいずれに該当するかは、個別の事例ごとに判断することとなりますが、本ガイドライン(通則編)では、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域を「管理区域」としているため、例えば、パソコンで個人情報データベース等を閲覧している場合、そのことのみをもって直ちに当該区域が管理区
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
域に該当するものではないと考えます。なお、改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
666	8-5	安全管理措置(物理的)	(該当簡所)通則編の94ページ(1)個人データを取り扱う区域の管理(御意見)「個人データを取り扱う区域の管理」において、中小規模事業者における手法の例示として、「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる」とある。記述が抽象的なため、具体的な例を記載すべき。なおwebサイトのQ&Aで示すことも考えられるが、判断のよりどころとすべき具体例はガイドライン中に示した方がよい。(理由)中小規模事業者の実情に合わせて手法を選択できるよう配意して、あえて曖昧な記述としていると思われるが、かえって何をすればよいかわかりにくいと考える。【一般社団法人 情報サービス産業協会】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事業を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示すことを検討してまいります。
667	8-5	安全管理措置(物理的)	(該当簡所)通則編の94ページ(2)機器及び電子媒体等の盗難等の防止(御意見)中小規模事業者においては、個人データを紙媒体(書類)で管理することも考えられるが、今回5000件基準を撤廃したことにより拡がった個人情報取扱事業者のなかには小商店などがあり、特定個人情報であればいざしらず、事業所の構造や業務内容によっては、紙媒体を施錠保管することが現実的ではないことがあり得る。こうした事業者にとってどのように紙媒体を保管すべきか、中小規模事業者における手法の例示で明確に示すべき。(理由)小規模な事業者での個人データの取扱いに関して明示することで、社会の不安を抑制することができると考える。【一般社団法人 情報サービス産業協会】	本ガイドライン(通則編)案に記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事業を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。また、必ずしも記述した例示の内容の全てを講じなければならないわけでもありません。したがって、物理的安全管理措置として、紙媒体で管理している個人データについて、必ず施錠保管しなければならないわけではなく、個人データの盗難等を防止するために必要と考えられる手法を講じれば足りるものと考えます。改正後の法第20条により求められる安全管理措置の基本的な内容は、一般的に、現状の案で御理解いただけるものと考えますが、安全管理措置を講ずるための手法の例については、Q&A等においても示