「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第1項第4号・施行令第10条第1号）について、ホームページにおいては、安全管理措置の概要及び問合せ窓口を掲載し、安全管理措置の具体的な内容については、本人からの問合せに応じて遅滞なく回答する、という対応を取ることはできますか。

個人情報取扱事業者は、「保有個人データの安全管理のために講じた措置」について、「本人の知り得る状態」に置く必要がありますが、「本人の知り得る状態」は、「本人の求めに応じて遅滞なく回答する場合」を含みます。例えば、ホームページにおいて、安全管理措置の概要及び問合せ窓口を掲載し、本人からの問合せがあれば、安全管理措置の具体的な内容を遅滞なく回答する体制を構築している場合には、保有個人データの安全管理のために講じた措置について、「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」に置いたこととなります。（令和3年9月追加）

ガイドライン（通則編）（10（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。

ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の例等を示しています。「講じなければならない措置」として示している内容については、全ての個人情報取扱事業者において講じていただく必要がありますが、これを実践するための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしもガイドライン（通則編）で示す例示の内容の全てを講じなければならないわけではなく、また、適切な手法は例示の内容のみに限定されるものではありません。

従業者の監督（法第24条）・委託先の監督（法第25条）についても、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第1項第4号・施行令第10条第1号）として、本人の知り得る状態に置く必要がありますか。

法第24条及び法第25条は、法第23条の安全管理措置の一環として、従業者及び委託先に対する監督義務を明記するものであり、従業者及び委託先に対する監督は、法第23条の安全管理措置の一部を成します。このため、従業者及び委託先に対する監督についても、法第23条の規定により保有個人データの安全管理のために講じた措置として、本人の知り得る状態に置く必要があります。（令和3年9月追加）

個人情報法務

プライバシーポリシーの作り方｜安全管理措置条項

Q: ガイドライン（通則編）（10（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。

ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の 例 等を示しています。 「講じなければならない措置」として示している内容については、全ての個人情報取扱事業者において講じていただく必要がありますが、これを実践するための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、 必ずしもガイドライン（通則編）で示す例示の内容の全てを講じなければならないわけではなく 、また、 適切な手法は例示の内容のみに限定されるものではありません 。

Q: 従業者の監督（法第24条）・委託先の監督（法第25条）についても、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第1項第4号・施行令第10条第1号）として、本人の知り得る状態に置く必要がありますか。

法第24条及び法第25条は、 法第23条の安全管理措置の一環 として、従業者及び委託先に対する監督義務を明記するものであり、 従業者及び委託先に対する監督は、法第23条の安全管理措置の一部を成します 。このため、従業者及び委託先に対する監督についても、法第23条の規定により保有個人データの安全管理のために講じた措置として、 本人の知り得る状態に置く必要があります 。 （令和3年9月追加）

2023年11月3日

著作者：rawpixel.com／出典：Freepik

今回は、プライバシーポリシーの作り方ということで、安全管理措置条項について見てみたいと思います。

ではさっそく。なお、引用部分の太字、下線、改行などは管理人によるものです。

メモ

　このカテゴリーでは、インハウスとしての法務経験からピックアップした、管理人の独学や経験の記録を綴っています。
　ネット上の読み物としてざっくばらんに書いており、感覚的な理解を掴むことを目指していますが、書籍などを理解する際の一助になれば幸いです。

安全管理措置条項の法的意味

個人情報取扱事業者には、保有個人データに関する所定事項の公表義務があり（法32条1項）、講じた安全管理措置の内容も、その公表事項のひとつになっています（施行令10条1号）。

なので、安全管理措置条項の法的意味は、講じた安全管理措置の内容を（プライバシーポリシーに記載することで）公表すること、になります。

ただし、その保有個人データの安全管理に支障を及ぼすおそれがあるものについては、公表の必要はないとされています（施行令10条1号括弧書き）。

▽法32条1項4号

（保有個人データに関する事項の公表等）
第三十二条　個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
四　前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

　↓　施行令10条1号

（保有個人データの適正な取扱いの確保に関し必要な事項）
第十条　法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。
一　法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

「本人の知り得る状態」とは、本人が知ろうとすれば、知ることができる状態に置くことをいいます。

▽通則ガイドライン3-8-1

（※1）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

安全管理措置についていえば、問合せ窓口を掲載したうえで、概要や一部をホームページに掲載し、本人からの問合せがあれば具体的な内容を遅滞なく回答する体制を構築しておく、という対応も可能とされています。

もっとも、"ガイドラインに沿って適切に安全管理措置を実施しています"、といった内容の掲載や回答のみでは不十分です。

▽通則ガイドライン3-8-1

　なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

▽ガイドラインQ&A 9-3

　「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第1項第4号・施行令第10条第1号）について、ホームページにおいては、安全管理措置の概要及び問合せ窓口を掲載し、安全管理措置の具体的な内容については、本人からの問合せに応じて遅滞なく回答する、という対応を取ることはできますか。: 　個人情報取扱事業者は、「保有個人データの安全管理のために講じた措置」について、「本人の知り得る状態」に置く必要がありますが、「本人の知り得る状態」は、「本人の求めに応じて遅滞なく回答する場合」を含みます。
　例えば、ホームページにおいて、安全管理措置の概要及び問合せ窓口を掲載し、本人からの問合せがあれば、安全管理措置の具体的な内容を遅滞なく回答する体制を構築している場合には、保有個人データの安全管理のために講じた措置について、「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」に置いたこととなります。
（令和3年9月追加）

安全管理措置の内容

安全管理措置（法23条）の具体的内容として、通則ガイドラインでは、

基本方針の策定
個人データの取扱いに係る規程の整備
組織的安全管理措置
人的安全管理措置
物理的安全管理措置
技術的安全管理措置
外的環境の把握

が挙げられています（通則ガイドライン10（別添））。

雑感

　上記の表現ではあまりイメージが湧いてこないので、ざっくりわかりやすくいうと、

プライバシーポリシーを作成しましょう（基本方針の策定）
個人情報保護に関する社内規程を整備しましょう（個人データの取扱いに係る規程の整備）
責任者の明確化と業務分掌を適切に行い、ルールに則った運用がされているか実態のチェックを怠らず、PDCAを回しましょう（組織的安全管理）
従業員を教育しましょう（人的安全管理措置）
書庫に鍵をかける、離席時のスクリーンセーバー、オフィスの入退出管理など、基本的なアナログ管理をしっかりやりましょう（物理的安全管理措置）
内部的なアクセス権者の限定、外部からのサイバー攻撃への防御など、情報セキュリティ対策を講じましょう（技術的安全管理措置）
外国で個人データを取り扱う場合はその国の制度等を把握しましょう（外的環境の把握）

という感じです（※あくまでもイメージづくりのための大ざっぱな内容）。

通則ガイドラインには、上記の項目に沿って詳細な内容が書かれていますが、これらを全て講じないといけないわけではありません（あくまでも例示）。

▽通則ガイドラインQ&A 10-1

　ガイドライン（通則編）（10（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。: 　ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の例等を示しています。
　「講じなければならない措置」として示している内容については、全ての個人情報取扱事業者において講じていただく必要がありますが、これを実践するための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしもガイドライン（通則編）で示す例示の内容の全てを講じなければならないわけではなく、また、適切な手法は例示の内容のみに限定されるものではありません。

安全管理措置条項の記載内容

上記のように安全管理措置として講じるべき内容は個々の事業者で異なるので、本人の知り得る状態に置くべき内容も、個々に異なるとされています。

▽通則ガイドライン3-8-1

　当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。

実際は、安全管理措置条項では、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置（プラス、外国での取り扱いがあるような会社では外的環境の把握）あたりに触れるにとどめ、あとは問合せ窓口を掲載しているものが多いように思います（「本人の求めに応じて遅滞なく回答する」のパターン）。