「個人情報保護法」「マイナンバー法」「プライバシーマーク制度」 実務に関わる「個人情報」の取り扱いについて

A：個人情報を特定する手順に関する規程

既に取得している個人情報はもとより、新しく取得する個人情報の特定する場合にも漏れがないように定めます。
個人情報保護管理者が、個人情報の特定に関する最新状況を速やかに把握できる仕組みにします。

【個人情報保護基本規程条文例】

（個人情報の特定）

第〇条　個人情報保護管理者は、事業の用に供するすべての個人情報を特定するための手順を内部規程として文書化する。
�A　個人情報責任者は、「個人情報保護細則」に定められた手順に従い、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限などを記載した、個人情報を管理するための台帳を整備するとともに、当該台帳の内容を少なくとも年一回、適宜に確認し、最新の状態で維持する。

【個人情報保護細則条文例】

（個人情報の特定）

第○条　各部門の個人情報責任者は、「個人情報特定調査表」に従い、保有する個人情報の特定（リストアップ）をする。
�A個人情報責任者は、個人情報担当者に指示して「個人情報特定調査表」を完成させ確認の後、推進事務局へ提出する。
�B推進事務局は、必要に応じて部門ヒアリングを実施し、全部門の個人情報を特定し、「個人情報管理台帳」に整理する。また、部門間に跨って取扱う個人情報については「個人情報取扱フロー図」を作成する。
�C新規の個人情報を取得する場合は、第○条に従い、個人情報責任者の承認を得るものとする。

B：法令、国が定める指針その他の規範の特定、参照及び維持に関する規程

特定した法令等について常に最新版を参照し、必要がある場合には、個人情報保護マネジメントシステムに反映させる手順を規定します。

【個人情報保護基本規程条文例】

（法令、国が定める指針その他の規範）

第○条　個人情報保護管理者は、個人情報の取扱いに関する法令、国が定める指針その他の規範を特定し参照できる手順を確立し、かつ、維持する。

【個人情報保護細則条文例】

（法令、国が定める指針その他の規範）

第○条　推進事務局は、個人情報の取扱いに関する法令、国が定める指針及びその他の規範（以下、法令等という）を特定し、「個人情報保護法規制一覧表」に登録する。
�A法令等は、「個人情報保護法規制一覧表」に定める保管場所（URL等）を参照する。
�B推進事務局は、3カ月毎に以下のサイトの情報確認の上、「個人情報保護法規制一覧表」を更新する。その他法令等の改定に気づいた場合は、随時「個人情報保護法規制一覧表」を更新する。

• ● JIPDEC プライバシーマーク事務局https://privacymark.jp
• ● 個人情報保護委員会https://www.ppc.go.jp/
• ● 都道府県

C：個人情報に関するリスクアセスメント及びリスク対策の手順に関する規程

リスクは環境の変化や技術の進歩等により変動しますので、定期的な見直しや必要に応じて見直しを実施することを規定します。

【個人情報保護基本規程条文例】

（リスクアセスメント及びリスク対策）

第〇条　個人情報に関するリスクについて、次の事項を踏まえて、個人情報保護リスクアセスメント（リスクを特定、分析及び評価）をするための手順を定め、かつ実施する。手順及び実施した内容については、少なくとも年一回及び必要に応じて適宜に見直す。
１. 次の観点を、個人情報保護のリスク基準とする。
　a) 構築・運用指針に定める事項
　b) 法令及び国が定める指針その他の規範に関する事項
　c) 個人情報の漏えい、滅失又はき損等に関する事項
２. 繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にする。
３. 個人情報保護リスクを特定する。
　a) 事業毎に、個人情報の取扱いを特定する。
　b) 個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する。
　c) 上記で特定したリスクのリスク所有者を特定する。
４. 個人情報保護リスクを分析・評価する。
　a) 前号で特定したリスクと、第１号のリスク基準とを比較する。
　b) リスク対応の優先順位を明らかにする。

【個人情報保護細則条文例】

（個人情報のリスク認識）

第○条　推進事務局は、前条で整理した「個人情報管理台帳」を個人情報責任者に通知する。
�A個人情報責任者は、前項の通知に基づき、特定した個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄に至る個人情報の取扱いの一連の流れの各局面において、適正な保護措置を講じない場合に想定されるリスクを洗い出し、「個人情報リスク管理台帳」を作成し、推進事務局へ提出する。

（個人情報保護リスク区分）

第○条　個人情報保護リスクが顕在化した場合の影響度、リスクの発生確率及び個人情報の規模等を総合的に評価して、個人情報を重要度に応じて次のとおり３区分する。

1. 1.重要個人情報
2. 2.一般個人情報
3. 3.その他個人情報（重要個人情報、一般個人情報以外の個人情報）

�A漏えい等での対外的な影響が大きいものを重要個人情報とする。重要個人情報とは次に掲げるものとする。

1. 1.一般消費者の個人情報
2. 2.顧客支給品に含まれる個人情報
3. 3.システムの運用・保守・サービスで取扱う個人情報で特にデータ量が多いもの
4. 4.社内の個人情報であって全社的規模に相当するもの
5. 5.社会的通念から影響の大きいもの（採用関連情報など）

�B漏えい等での対外的な影響が中程度以下のもので、個人情報の規模が比較的大きいものを一般個人情報とする。

D：会社の各部門階層での権限及び責任に関する規程

個人情報保護管理者及び部門責任者等の権限や責任を明確に規定しなければなりません。

【個人情報保護基本規程条文例】

（役割、責任及び権限）

第〇条　社長は、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果を利害関係者（従業者）に周知する。
�A 社長は、責任及び権限を、次の事項を実施するために割り当てる。
１. 個人情報保護マネジメントシステムを、構築・運用指針の要求事項に適合させる。
２. 個人情報保護マネジメントシステムの運用の成果を社長に報告させる。
�B 役割及び役割に対する責任及び権限を、内部規程として文書化する。

【個人情報保護職務権限規程条文例】

（役割及び責任権限）

第４条　当社の個人情報保護実施・運用に関わる役割及び責任権限は次のとおりとする。

1. 代表取締役社長
   1. 1.当社の個人情報保護実施・運用に関する最終責任及び権限
   2. 2.個人情報保護方針の策定、承認、実行、維持及び見直しの実施
   3. 3.個人情報保護方針の全従業者への周知徹底及び一般への公開実施
   4. 4.個人情報保護に必要な資源の準備　他
2. 個人情報保護管理者
   1. 1.規格「構築・運用指針」の要求事項に適合した個人情報保護マネジメントシステムの実施及び維持の実施
   2. 2.各部門の個人情報責任者及び個人情報保護推進委員会への個人情報保護マネジメントシステム遵守に関する周知徹底の実施
   3. 3.個人情報保護方針の全従業者への周知徹底の実施　他

E：緊急事態(漏えい、滅失または毀損した場合)への準備及び対応に関する規程

緊急事態に備えての対応手順を規定する必要があります。その手順は、緊急時に実施可能なものでなければなりません。
漏えい等が発生した場合の本人への対応、個人情報保護委員会、一般財団法人日本情報経済社会推進協会プライバシーマーク推進センター、指定機関、認定個人情報保護団体等関係機関及びマスコミ等への対応も規定しておく必要があります。

【個人情報保護基本規程条文例】

（緊急事態への準備）

第〇条　緊急事態を特定するための手順及び特定した緊急事態にどのように対応するかの手順を内部規程として文書化する。
�A　緊急事態への準備及び対応に関する規定には、個人情報保護リスクを考慮し、その影響を最小限とするための手順を含むこと。
�B　緊急事態への準備及び対応に関する規定には、緊急事態が発生した場合に備え、次の事項を対応手順に含むこと。

1. 1.漏えい、滅失又はき損が発生した個人情報の内容を本人に速やかに通知するか、又は本人が容易に知り得る状態に置くこと。
2. 2.二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、発生原因及び対応策を、遅滞なく公表すること。
3. 3.事実関係、発生原因及び対応策を関係機関に直ちに報告すること。

�C　緊急事態が発生した場合、定めた手順に従って緊急事態への対応を実施する。

【個人情報保護危機管理規程条文例】

（報告義務）

第○条　個人情報に関する事故が発生した場合、あるいは事故発生の可能性が発覚した場合、発見者並びに社外から報告を受けた社員は、速やかに「苦情・相談窓口」へ報告すること。
�A「苦情・相談窓口」の部門長は、担当者からの報告に基づき、個人情報保護管理者へ事故報告書を提出すること。

（個人情報保護管理者の責務）

第○条　個人情報保護管理者は、事故報告書の内容を判断して、次のとおり対応処置を実施すること。

1. 1.該当する個人情報の利用、提供及び委託等の中止
2. 2.社内の関連部門・部署の該当業務の中止
3. 3.業務委託先に対する連絡と対応処置の指示等

�A個人情報保護管理者は、事故報告書の内容並びに対応処置に関して代表取締役社長へ報告し承認を得ること。

（危機管理対策委員会）

第○条　個人情報保護管理者は、個人情報事故が発生し、かつ重大問題に繋がると判断した場合には、社長の承認を得て「個人情報保護に関する危機管理対策委員会」を設置する。

I：社内教育に関する規程

事業会社等は、全従業員に個人情報保護マネジメントシステムを適切に運用するための必要な教育を行わなければなりません。

教育の対象者

全従業員：役員、正社員、契約社員、派遣社員、パート、アルバイト等

教育の目的

以下の項目に関して理解させること及び理解度のチェックを実施

1. ・個人情報保護方針
2. ・個人情報保護マネジメントシステムに適合することの重要性や利点等
3. ・個人情報保護マネジメントシステムに適合するための役割や責任等
4. ・個人情報保護マネジメントシステムに違反した場合のリスク等

規定に盛り込む項目例

1. a. 目的
2. b. 時期・期間・対象者
3. c. 内容、方法及び場所
4. d. 体制（担当者）
5. e. 通知手続
6. f. 受講者の出欠確認方法
7. g. 実施効果の確認方法
8. h. 実施記録の内容及び保管方法等

【個人情報保護教育規程条文例】

（適用範囲）

第○条　本規程における教育の適用範囲は、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）、役員及び派遣社員も含むものとする。

（教育訓練内容）

第○条　教育訓練の内容は、次のとおりとする。
1.個人情報保護についての関係法令及び社内規程等に基づく実務研修

（教育責任者）

第○条　教育責任者は、個人情報保護管理者があたり、教育訓練の企画・立案を統括する。

（教育責任者の役割）

第○条　教育責任者は次の業務を実施する。

1. 1.年度の教育計画の立案
2. 2.教育実施及び実施結果の評価
3. 3.教育実施状況の関連部署への報告

J：文書化した情報の管理に関する規程

個人情報保護方針、内部規程、計画書及び記録は、個人情報保護マネジメントシステムを構成する文書として管理しなければなりません。

文書の範囲

1. 個人情報保護方針
2. 内部規程
3. 計画書
4. 記録

文書管理

1. 発行・改訂の管理
2. 最新版の管理
3. 保管・配布の管理

記録の管理

1. 必要な記録の特定
2. 保管・保護・保管期間・廃棄方法等

【個人情報保護基本規程条文例】

（文書化した情報の管理）

第〇条　個人情報保護マネジメントシステム及び構築・運用指針で要求されている文書化した情報は、次の事項を確実にするために管理する。

1. 1.必要な時に、必要な所で、入手可能かつ利用に適した状態である。
2. 2.十分に保護されている（例えば、機密性の喪失、不適切な使用及び完全性の喪失からの保護）。

�A 文書化した情報の管理にあたっては、次の事項を実施する。

1. 1.配付、アクセス、検索及び利用
2. 2.読みやすさが保たれることを含む、保管及び保存
3. 3.変更の管理（例えば、版の管理）
4. 4.保持及び廃棄

�B 個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理する。

【個人情報保護文書管理規程条文例】

（適用範囲）

第○条　本規程は、個人情報保護に関する個人情報保護マネジメントシステム文書及びそれに関連する文書に適用する。
規程→基本規程に定められた管理項目を、実務に適用するために必要となる手順を規定した文書
細則→基本規程に定められた事項に関する管理の対象及び手順を規定した文書
様式→基本規程に定められた計画書及び管理台帳等を記載するための書式文書

（文書管理手順）

第○条　管理の対象となる規程及び細則は、『文書管理一覧表』に定める。
�A規程及び細則の作成、承認、改定の作業手順は次項に定め、配布範囲及び廃棄手順は『文書管理一覧表』に定める。
�B新たに規程及び細則等を作成する場合は、当該規程等の担当部門が起案し、個人情報責任者及び個人情報保護管理者が確認し、代表取締役社長の承認後、『文書管理一覧表』に追加登録し管理するもとする。

L：点検に関する規程

点検には、監視、測定、分析及び評価と監査が含まれます。
監視、測定、分析及び評価は、各部門及び各階層で日常的に気づいた事があった場合に是正していくことを規定します。
監査は、個人情報保護マネジメントシステムの「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」への適合状況と運用状況を定期的かつ必要に応じて随時点検し評価しなければなりません。

規定に盛り込む事項例

1. a. 目的
2. b. 時期・期間・対象
3. c. 実施体制
4. d. 監査担当者の責務と権限、倫理、守秘義務
5. e. 計画（基本計画・個別計画・代表者による計画の承認等）
6. f. 被監査部門への通知手続方法
7. g. 監査報告書（代表者への報告、報告会等の開催）
8. h.フォローアップ
9. i.監査記録の内容及び保管方法等

【個人情報保護基本規程条文例】

（監視、測定、分析及び評価）

第〇条　各部門及び階層の管理者が定期的に、及び適宜にマネジメントシステムが適切に運用されていることを確認する手順を内部規程として文書化する。
�A 個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定する。

1. 1.対象とする個人情報保護マネジメントシステムの運用状況
2. 2.前号で対象とした運用状況の監視、測定、分析及び評価の方法
3. 3.第１号で対象とした運用状況の監視及び測定の実施時期
4. 4.第１号で対象とした運用状況の監視及び測定の実施者
5. 5.第１号で対象とした運用状況の分析及び評価の時期
6. 6.第１号で対象とした運用状況の分析及び評価の実施者

【個人情報保護監査規程条文例】

（適用範囲）

第○条　監査の対象範囲は、次のとおりとする。

1. 1.情報システム：個人情報を処理するすべての情報システム
2. 2.業務：個人情報保護マネジメントシステムに基づいて個人情報を取り扱う全業務
3. 3.部門：個人情報保護マネジメントシステムに基づいて個人情報を取り扱う関連部門

（監査時期）

第○条　監査の実施時期は、次のとおりとする。

1. 1.個人情報保護マネジメントシステムの修正等の実施に応じて適時行うこと。
2. 2.運用状況の監査は、毎年一定の期間を定め行うこと。
3. 3.その他必要に応じて随時監査を行うこと。

（実施体制）

第○条　個人情報保護監査責任者は、監査に係る事項を主管する。
�A個人情報保護監査責任者は、監査人による実施体制を編成することができる。

M：是正処置に関する規程

緊急事態の発生、外部機関の指摘、点検結果及び外部からの苦情等により不適合が発見された場合、その不適合に対して是正処置を講ずる手順を規定しなければなりません。

規定に盛り込む項目例

1. a. 不適合の対処
2. b. 不適合の原因を除去するための処置の検討
3. c. 是正処置を計画し、計画された処置を実施
4. d. 実施された全ての是正処置の有効性を調査、分析及び評価
5. e. 個人情報保護マネジメントシステムの改善

【個人情報保護基本規程条文例】

（不適合及び是正処置）

第〇条　次の事項を含めて、不適合に対する是正処置を実施するための責任及び権限を定める手順を内部規程として文書化する。
１. その不適合に対処し、該当する場合には、必ず、次の事項を行う。
　a) その不適合を管理し、修正するための処置をとる。
　b) その不適合によって起こった結果に対処する。
２. 次の事項によって、その不適合の原因を除去するための処置を検討する。
　a) その不適合を調査及び分析する。
　b) その不適合の原因を特定する。
　c) 類似の不適合の有無、又はそれが発生する可能性を検討する。
３. 是正処置を計画し、計画された処置を実施する。
４. 実施された全ての是正処置の有効性を調査、分析及び評価する。
５. 必要な場合には、個人情報保護マネジメントシステムの改善を行う。
　�A 不適合が明らかとなった場合、前項各号の事項を実施する。
　�B 第1項各号の実施結果について、文書化した情報を保持するとともに、社長が承認する。

【個人情報保護細則条文例】

（是正処置の手順）

第〇条　不適合が発生した場合には、次に掲げる手順で是正処置を実施する。
１. 是正処置担当者は、その不適合に対処し、該当する場合には、必ず、次の事項を行う。
　a) その不適合を管理し、修正するための処置をとる。
　b) その不適合によって起こった結果に対処する。
２. 是正処置担当者は、次の事項によって、その不適合の原因を除去するための処置を検討する。
　a) その不適合を調査及び分析する。
　b) その不適合の原因を特定にする。
　c) 類似の不適合の有無、又はそれが発生する可能性を検討する。
（以下省略）

N：マネジメントレビューに関する規程

個人情報保護マネジメントシステムをより良いものとするための仕組み全体の見直し。
個人情報保護マネジメントシステムの運用状況や内外の諸環境の検討等。

規定に盛り込む項目例

a. 前回までのマネジメントレビューの結果を踏まえた見直しの状況
b. 個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
c. 以下の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評価
　1) 不適合及び是正処置
　2) 確認及び点検の結果
　3) 監査結果
　4) 個人情報保護目的の達成
d. 利害関係者からのフィードバック
e. リスクアセスメントの結果及びリスク対応計画の状況
f. 継続的改善の機会

【個人情報保護基本規程条文例】

（マネジメントレビュー）

第〇条　マネジメントレビューを実施する手順を内部規程として文書化する。
�A 社長は、個人情報保護マネジメントシステムが、引き続き、適切、妥当かつ有効であることを確実にするために、少なくとも年一回及び必要に応じて適宜にマネジメントレビューを実施する。
�B マネジメントレビューの実施にあたっては、次の事項を考慮する。
　１. 前回までのマネジメントレビューの結果を踏まえた見直しの状況
　２. 個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
　３. 以下の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評価
　　a) 不適合及び是正処置
　　b) 確認及び点検の結果
　　c) 監査結果
　　d) 個人情報保護目的の達成
　４. 利害関係者からのフィードバック
　５. リスクアセスメントの結果及びリスク対応計画の状況
　６. 継続的改善の機会

【個人情報保護細則条文例】

（マネジメントレビュー）

第○条　社長は、毎年3月に個人情報保護マネジメントシステム見直し会議（以下、見直し会議という）を開催する。
�A見直し会議の参加者は、社長のほか個人情報保護管理者、個人情報保護推進委員会メンバー及び個人情報保護監査責任者とする。
�B次に掲げる手順で個人情報保護マネジメントシステムの見直しを実施する。

1. 1.個人情報保護推進事務局は、基本規程第○条に定める事項について情報を準備し、見直し会議に報告する
2. 2.個人情報保護推進事務局から提供された情報をもとに個人情報保護マネジメントシステムの見直しを行い、決定事項について改善を指示する
3. 3.個人情報保護管理者は、改善の実施結果を社長に報告する

O：内部規程の違反に関する罰則の規程

個人情報の取り扱いで個人情報保護マネジメントシステムに違反した場合の措置を規定する。
罰則規定は、自社の就業規則等に定められているものを適用することも可能であるが、その場合には、本規定の中で適用する規則等を明示する必要があります。

【個人情報保護基本規程条文例】

（懲戒）

第○条　本規程に違反した場合は、就業規則の罰則に則って処罰を受けるものとする。