Pマーク審査に役立つ！個人情報管理台帳のサンプル＆作成のコツ

「どんな流れで個人情報管理台帳を作成すればいいのか？」

「どの範囲まで個人情報を特定すればいいのか？」

Pマーク取得担当の方がつまづくのが、個人情報管理台帳の作成ではないでしょうか。

そこで、この通りに進めるだけでOKの、個人情報管理台帳のサンプルを公開いたします！

作成のポイントは、「細かく作りすぎないこと」です。

本記事の作成５ステップを読むことで、思い当たった業務をもとに個人情報を特定することがなくなり、時間をかけずに個人情報管理台帳を作成できます。

１．個人情報の特定とは

個人情報の特定とは、プライバシーマーク（Pマーク）の規格要求事項にある管理策（A3.3.1）にて求められているものです。

管理策（A3.3.1）を簡単にまとめると、以下の4つを行いなさい、と言われています。

1. 自社の業務に関連するすべての個人情報を特定するために手順を整えなさい
2. 個人情報を管理するための台帳をつくりなさい
3. 少なくと次の項目は台帳に含めなさい
   個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期間
4. 台帳は少なくとも年に1回と、必要に応じて適宜確認して、最新の状態で維持すること

個人情報管理台帳で個人情報の管理をすることで、リスクが見えてきますので対応をしましょう。

２．そもそも「個人情報」の定義とは

個人情報保護法（個人情報保護に関する法律）では、個人情報とは、生存する個人の情報のことであり、氏名、生年月日や住所等により個人を識別できるものと大まかに定義されています。

単独では 個人を特定することができなくても、2つ以上組み合わせることで個人を特定できるものは全て個人情報です。指紋、静脈、虹彩、顔写真や動画などの生体情報も個人情報です。

ただし、死者の情報や法人は個人情報に含まれず、生存している人のみが該当となります。そこには、外国人や赤ちゃんなど未就学児童も含まれます。

３．個人情報管理台帳フォーマットサンプル

作成方法の説明の前に、まずは実際の個人情報管理台帳を見てみましょう。

作成方法に沿って項目を全て埋めると、以下のような台帳が完成します。

４．個人情報管理台帳の作成５ステップ

それでは、実際に個人情報管理台帳を作成する流れを解説します。

1. ガイドラインを読んで概要を把握
2. 業務フロー図の作成
3. 管理台帳のフォーマットの作成
4. 個人情報の洗い出し
5. 各個人情報の項目を埋める

（１）ガイドラインを読んで概要を把握

いきなり個人情報を特定するのではなく、まずはJIPDECが発行している「ガイドライン」を読んでみましょう。

「個人情報保護マネジメントシステムの導入・実践ガイドブック」と書かれている通り、何をしなければいけないかがまとめられたものとなっています。

概要を把握してから特定を始めた方がスムーズに進みます。

参考URL：プライバシーマーク新規取得・更新のための新ガイドブック発売｜一般財団法人 日本情報経済社会推進協会

（２）業務フロー図の作成

個人情報特定をする際に役に立つのが、自社の業務フロー図です。

業務フロー図があると、どの業務にどんな個人情報を利用しているのか、情報の整理整頓がしやすくなります。

（３）管理台帳のフォーマットの作成

概要を把握し、業務フローの確認まで進んだら、次は台帳のフォーマットの作成です。

①個人情報管理台帳に必要な項目

個人情報管理台帳には必須項目があり、項目が不足すると審査で指摘を受ける可能性があります。必須項目は以下のとおりです。

• 個人情報の項目
• 利用目的
• 保管場所
• 保管方法
• アクセス権を有する者
• 利用期限
• 保管期間

項目の追加は、必要に応じて行ってもかまいません。

ただ、項目が多くなりすぎてしまうと、それだけで作業の負担が増えてしまいます。

まずは最低限必要な項目のみで台帳を作成することから始めてみましょう。

②様式作成

項目が決まったら様式の作成です。

よくある方法としては、一覧表として個人情報を特定する方法です。

特定した個人情報をまとめて確認することができるので、作成後の確認も容易となります。

（４）個人情報の洗い出し

様式の作成までできたら、自社で利用している個人情報を業務フローを元に洗い出してみましょう。

この業務ではこんな個人情報がある、などと一つ一つ確認していきます。

（５）各個人情報の項目を埋める

個人情報の洗い出しが終わったら、様式の項目を埋めていきましょう。

上記「（4）個人情報の洗い出し」と同じタイミングでも構いません。

自分たちのやりやすいタイミングで実施するのがよいでしょう。

５．台帳は細かく作りすぎないことが一番大事

台帳を作成する際に大事にしてほしいことは”管理のしやすさ”です。

プライバシーマーク（Pマーク）は取得して終わりではありません。PDCAサイクルを回し、継続して個人情報を保護しなければいけません。

定期的に更新を行う記録が複雑になってしまうと、作業自体がしづらく、更新が負担となってしまいます。

そのため、記録を作る際はなるべくシンプルな様式にし、誰が見てもわかるような状態にすることをおすすめします。

６．個人情報管理台帳の失敗事例

実際に、個人情報管理台帳を作った際の「失敗事例」を紹介します。

（事例１）個人情報を細かく特定しすぎて失敗

全ての項目を「個人情報管理台帳」に特定していては、いつまで経っても完成することはできません。

ある企業では、個人情報管理台帳の項目を複雑にしてしまったため、全ての個人情報を特定し、台帳を作成するまでに3か月程度かかってしまいました。

当社サポートの場合、準備開始から審査まで約5か月程度、認証取得まで6～10カ月程度ですが、その企業ではその後も記録を作成するための時間を取られたため、準備から認証取得まで2年程かかってしまいました。

（事例２）部門毎に特定してしまい膨大な記録に

事例1とは別に、よくやってしまう失敗事例があります。

それは、企業内に複数部門がある場合に、部門ごとに個人情報管理台帳を作成してしまう事例です。

部門が十数部門もあるとある企業では、各部門で個人情報管理台帳を作成することとしました。

出来上がった個人情報管理台帳を確認すると、各部門で利用している個人情報は特定されていました。

しかし、名刺など、どの部門でも利用する個人情報も特定されており、それらの個人情報が台帳全体の半数を占めていたのです。

事例1、2もどちらともプライバシーマーク（Pマーク）の要求を満たしている特定方法になります。やり方自体は間違ってはいないのですが、余計な時間や労力を費やしてしまっていることになります。

いかに効率的に、個人情報の特定や台帳の作成ができるかを考えていきましょう。

７．まとめ

プライバシーマーク（Pマーク）を取得するための準備として、個人情報管理台帳の作成は大事なものです。

ただし、複雑な仕組みにしてしまうと、認証取得や更新の負担になってしまうリスクが存在します。

自社にあった取組みにすることで、皆さんの負担にならないようにしてください。

自分たちの負担を減らし、適切に個人情報を保護できるようにしましょう。

個人情報管理台帳の作成、更新に時間がかかっている場合、コンサルタントによる無料相談も可能です。
お気軽にご連絡ください。

ISO・Pマーク認証更新でお悩みの方へ

認証パートナーは、8000社を超える企業様に認証率100%で支援してきた実績と経験豊富なコンサルタントの知見を活かし、お客様の目標達成を全力でサポートいたします。 アドバイスや取り次ぎだけでなく、書類作成や監督に向けての準備、年々変化するルールへの対応まで、お客様のパートナーとして共に歩んでまいります。 認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。

• 無料相談はこちら
• 見積もり依頼はこちら