個人情報取扱規程（社内規程）（監修用ドラフト）

⚠ 本ファイルは弁護士監修前の草稿である。監修完了まで販売・配布を禁止する。

商品ID: kojinjoho-toriatsukai-kitei / 価格: 3,480円 / 立場バージョン: 事業者（社内規程）／規程厳格度: 大企業・中堅企業向け厳格版・中小企業向け簡易版

本ドラフトは第2部で「大企業・中堅企業向け厳格版」と「中小企業向け簡易版」の差分を提示する構成とし、第1部には両者の中間的な標準構成をベース条文として掲載する。2022年（令和4年）4月施行の改正個人情報保護法（漏えい等報告義務化、個人関連情報の第三者提供規制、外国にある第三者への提供規制の強化等）に対応した条項構成とする。

第1部: 規程本文（標準構成）

個人情報取扱規程

第1条（目的）

本規程は、〇〇株式会社（以下「会社」という。）が取得し、又は保有する個人情報及び個人関連情報の取扱いに関し、個人情報の保護に関する法律（以下「個人情報保護法」という。）その他の関係法令を遵守し、個人の権利利益を保護するとともに、会社の事業の適正な運営を図ることを目的として定めるものである。

第2条（適用範囲）

1. 本規程は、会社の全ての役員及び従業員（正社員、契約社員、パートタイマー、アルバイト、嘱託社員、派遣社員その他の名称・雇用形態を問わず会社の業務に従事する者をいう。以下「従業者」という。）に適用されるものと解される。
2. 会社から個人データの取扱いの委託を受けた委託先についても、委託契約に定めるところにより本規程に準じた取扱いを求めるものとする。

第3条（定義）

本規程における用語の意義は、個人情報保護法の定めるところによるほか、次の各号に定めるとおりとする。 （1）「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）又は個人識別符号が含まれるものをいう。 （2）「個人データ」とは、個人情報データベース等を構成する個人情報をいう。 （3）「保有個人データ」とは、会社が開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるもの等一定のものを除いたものをいう。 （4）「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。 （5）「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの（Cookie等の端末識別子に紐づくウェブ閲覧履歴、位置情報等であって特定の個人を識別できない状態のものを含む。）をいう。 （6）「仮名加工情報」とは、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。 （7）「匿名加工情報」とは、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元できないようにしたものをいう。

第4条（個人情報保護管理者の設置）

1. 会社は、個人情報及び個人関連情報の適正な取扱いを統括管理するため、個人情報保護管理者を置く。
2. 個人情報保護管理者は、〇〇部門の責任者又は会社が指名する役員をもって充てる。
3. 個人情報保護管理者は、次の各号に掲げる職務を行う。 （1）本規程の運用状況の監督及び改善 （2）個人データの安全管理措置の実施状況の確認 （3）漏えい等の事案が発生した場合の対応の統括 （4）従業者に対する教育・研修の企画及び実施 （5）その他個人情報保護に関する重要事項の決定

第5条（取得における留意事項）

1. 会社は、個人情報を取得するに当たっては、あらかじめその利用目的を可能な限り特定するものとする。
2. 会社は、偽りその他不正の手段により個人情報を取得してはならない。
3. 会社は、要配慮個人情報を取得するに当たっては、あらかじめ本人の同意を得るものとする。ただし、法令に基づく場合その他個人情報保護法上本人の同意を要しないとされる場合はこの限りでない。
4. 会社は、個人情報を取得したときは、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表するものとする。

第6条（利用目的の特定及び目的外利用の禁止）

1. 会社は、個人情報を取り扱うに当たっては、第5条に基づき特定した利用目的の達成に必要な範囲を超えて取り扱ってはならない。
2. 会社は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えないものとし、変更した利用目的について本人に通知し、又は公表するものとする。
3. 前2項の規定にかかわらず、次の各号のいずれかに該当する場合は、目的外で個人情報を取り扱うことができるものと解される。 （1）法令に基づく場合 （2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき （3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき （4）国の機関等が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

第7条（個人データの管理）

1. 会社は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
2. 会社は、個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置（以下「安全管理措置」という。）を講じるものとする。
3. 安全管理措置には、次の各号に掲げる措置を含むものとする。 （1）組織的安全管理措置（責任者の設置、取扱規程の整備、点検・監査体制の構築等） （2）人的安全管理措置（従業者に対する教育・研修、誓約書の取得等） （3）物理的安全管理措置（個人データを取り扱う区域の管理、機器・電子媒体等の盗難防止、廃棄方法の管理等） （4）技術的安全管理措置（アクセス制御、アクセス者の識別と認証、外部からの不正アクセスの防止、情報システムの使用に伴う漏えい等の防止等）

第8条（従業者及び委託先の監督）

1. 会社は、個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、従業者に対し必要かつ適切な監督を行うものとする。
2. 会社は、個人データの取扱いの全部又は一部を第三者に委託する場合、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督を行うものとする。
3. 前項の監督には、委託先の選定基準の設定、委託契約における安全管理措置に関する条項の整備、及び委託先における取扱状況の把握を含むものとする。

第9条（第三者提供の制限）

1. 会社は、次条に定める場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
2. 前項の規定にかかわらず、次の各号のいずれかに該当する場合は、本人の同意を得ることなく個人データを第三者に提供することができる。 （1）法令に基づく場合 （2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき （3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき （4）国の機関等が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
3. 会社は、個人データを第三者に提供したとき、及び第三者から個人データの提供を受けたときは、個人情報保護法の定めるところにより、提供年月日、当該第三者の氏名又は名称その他の事項を記録し、一定期間保存するものとする。

第10条（外国にある第三者への提供）

1. 会社は、外国（個人情報保護法上、個人情報の保護に関する制度が我が国と同等の水準にあると認められる国等を除く。以下同じ。）にある第三者に個人データを提供する場合、あらかじめ次の各号に掲げる情報を本人に提供した上で、当該外国にある第三者への個人データの提供を認める旨の本人の同意を得るものとする。 （1）当該外国の名称 （2）当該外国における個人情報の保護に関する制度に関する情報 （3）当該第三者が講ずる個人情報の保護のための措置に関する情報
2. 前項の規定にかかわらず、提供先が個人情報保護法上会社と一体的に個人情報を取り扱う体制を整備している者と認められる場合その他の法令が定める要件を満たす場合には、同項の同意を要しないものと解される。
3. 会社は、外国にある第三者へ個人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じて当該措置に関する情報を提供するものとする。

第11条（個人関連情報の第三者提供の制限）

1. 会社は、個人関連情報取扱事業者から個人関連情報の提供を受けて、これを個人データとして取得することが想定されるとき（提供先において提供を受けた個人関連情報を個人データとして取得することが想定される場合）は、あらかじめ、当該提供先が本人からの同意を取得していること等の個人情報保護法上の要件を確認しなければ、当該個人関連情報を提供してはならない。
2. 会社が個人関連情報を第三者へ提供するに当たり前項の確認を行った場合、会社は、当該確認に係る記録を作成し、一定期間保存するものとする。
3. 本条は、会社が広告配信等の目的でCookie等を通じて取得した閲覧履歴等を外部の事業者に提供する場面において特に留意すべき規定であると解される。

第12条（保有個人データに関する事項の公表等）

会社は、保有個人データに関し、次の各号に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くものとする。 （1）会社の氏名又は名称及び住所並びに代表者の氏名 （2）全ての保有個人データの利用目的 （3）保有個人データの利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の求めに応じる手続並びに当該求めに係る手数料の額 （4）保有個人データの取扱いに関する苦情の申出先 （5）その他保有個人データの適正な取扱いの確保に関し必要な事項

第13条（開示等の請求への対応）

1. 会社は、本人から、保有個人データの利用目的の通知、開示、内容の訂正、追加若しくは削除、利用の停止、消去又は第三者への提供の停止（以下「開示等」という。）の請求を受けたときは、本人からの請求であることを確認の上、個人情報保護法の定める手続に従い、遅滞なく対応するものとする。
2. 会社は、前項の請求に対し、保有個人データの内容の全部又は一部を開示することにより次の各号のいずれかに該当する場合には、その全部又は一部を開示しないことができる。 （1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 （2）会社の業務の適正な実施に著しい支障を及ぼすおそれがある場合 （3）他の法令に違反することとなる場合
3. 会社は、保有個人データの利用停止等の請求を受けた場合において、当該請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行うものとする。ただし、多額の費用を要する場合その他利用停止等を行うことが困難な場合であって、本人の権利利益を保護するために必要なこれに代わるべき措置をとるときは、この限りでない。

第14条（漏えい等の事案発生時の対応）

1. 従業者は、個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事案（以下「漏えい等事案」という。）の発生又はそのおそれを知った場合、直ちに個人情報保護管理者に報告しなければならない。
2. 個人情報保護管理者は、前項の報告を受けた場合、速やかに次の各号の措置を講じるものとする。 （1）事実関係の調査及び原因の究明 （2）影響を受ける本人の範囲の特定 （3）二次被害の防止その他の必要な措置 （4）再発防止策の検討及び実施
3. 会社は、漏えい等事案のうち、要配慮個人情報の漏えい等、財産的被害のおそれがある漏えい等、不正の目的をもって行われたおそれがある漏えい等、又は1,000人を超える漏えい等その他個人情報保護法及び関連する個人情報保護委員会規則が定める報告対象事態に該当するものが発生したときは、同法及び同規則の定めるところにより、個人情報保護委員会に速報及び確報を行うものとする。
4. 会社は、前項の報告対象事態に該当する場合、本人に対しても、個人情報保護法の定めるところにより、当該事態の内容等について通知するものとする。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するために必要な代替措置をとるときは、この限りでない。

第15条（教育及び監査）

1. 会社は、従業者に対し、個人情報の取扱いに関する教育及び研修を定期的に実施するものとする。
2. 個人情報保護管理者は、本規程の遵守状況について、定期的に自己点検又は内部監査を実施し、その結果を踏まえ必要な改善措置を講じるものとする。

第16条（懲戒）

従業者が本規程に違反した場合、会社は、就業規則の定めるところにより懲戒処分を検討するものとする。

第17条（規程の改廃）

本規程の改廃は、取締役会又は会社が定める機関の決議による。

第18条（施行期日）

本規程は、〇〇〇〇年〇〇月〇〇日から施行する。

以上

第2部: 規程厳格度によるバリエーション

本商品は、企業規模・体制に応じて「大企業・中堅企業向け厳格版」と「中小企業向け簡易版」の2バリエーションを想定する。第1部は両者の中間的な標準構成であり、以下は各バージョンへ調整する際の差分（代替条文）である。

A. 大企業・中堅企業向け厳格版への変更

専任の個人情報保護部門を設置でき、グループ会社間でのデータ共有や海外拠点との連携が想定される規模の企業を想定した加重修正。

A-1. 第4条（個人情報保護管理者の設置）に個人情報保護委員会（社内組織）の設置を追加

追加条文例: 「会社は、個人情報保護管理者を補佐し、個人情報保護に関する重要事項を審議するため、法務部門、情報システム部門及び事業部門の代表者で構成する個人情報保護委員会を設置する。個人情報保護委員会は、少なくとも半期に1回開催するものとする。」

解説: 部門横断的な合議体を設けることで、事業部門ごとに異なる個人データの利用実態を統一的に把握・統制することが可能になると考えられる。

A-2. 第8条（委託先の監督）にグループ会社間提供・共同利用の条項を追加

追加条文例: 「会社は、グループ会社との間で個人データを共同して利用する場合、個人情報保護法上の共同利用の要件（共同利用する旨、共同利用される個人データの項目、共同利用者の範囲、利用目的及び管理責任者を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くこと）を満たすよう、グループ内個人情報保護規程を別途整備するものとする。」

解説: グループ経営を行う企業では、個々の第三者提供として同意取得の手続を都度行うことは実務上煩雑であるため、共同利用スキームを整備することが一般的な対応と考えられる。

A-3. 第10条（外国にある第三者への提供）にBCR・SCC相当の社内基準整備を追加

追加条文例: 「会社は、海外関係会社又は海外の委託先へ個人データを移転する場合に備え、移転先における相当措置の継続的な実施を確保するための社内基準（グローバルデータ移転ポリシー等）を整備し、定期的にその実施状況を確認するものとする。」

解説: 国際的なデータ移転を伴う事業を営む企業では、個別の同意取得に加え、標準契約条項（SCC）に相当する社内的な移転基準を整備することが、GDPR等の域外規制との整合性の観点からも望ましいと考えられる。

A-4. 第14条（漏えい等対応）にインシデント対応チーム（CSIRT等）の設置を追加

追加条文例: 「会社は、漏えい等事案の発生に備え、情報システム部門、法務部門及び広報部門の代表者で構成するインシデント対応チームをあらかじめ組成し、初動対応、報告、公表及び再発防止策の検討を統括させるものとする。」

解説: 大規模な漏えい等事案では、監督官庁対応、本人対応、報道対応等が同時並行で必要になることが多く、専門チームによる統括的な対応体制を平時から整備しておくことが望ましいと考えられる。

A-5. 第15条（教育及び監査）に外部監査・認証取得を追加

追加条文例: 「会社は、プライバシーマーク又はISO/IEC 27001等の第三者認証の取得・維持に努めるとともに、少なくとも年1回、外部専門家による個人情報保護監査を受けるものとする。」

解説: 大企業・中堅企業では、取引先からの要求水準に対応するため、第三者認証の取得が事実上必須となる場合があり、その取得・維持プロセスを規程上明記することで社内的な優先度を担保できると考えられる。

B. 中小企業向け簡易版への変更

専任の個人情報保護部門を置くことが難しい中小企業を想定し、既存の管理部門による兼務及び外部専門家の活用を前提とした簡略構成に調整する。

B-1. 第4条（個人情報保護管理者の設置）を代表者又は管理部門長の兼務に簡略化

修正後: 「会社は、個人情報保護管理者として、代表者又は代表者が指名する管理部門の責任者を充てる。個人情報保護管理者は、必要に応じて外部の専門家（弁護士、ITコンサルタント等）の助言を受けることができる。」

解説: 専任部署の設置が難しい中小企業では、既存の管理部門長等が個人情報保護管理者を兼務し、専門的判断が必要な場面でのみ外部専門家を活用する体制が現実的と考えられる。

B-2. 第7条（安全管理措置）を中小規模事業者向けの実施水準に調整

修正後: 「会社は、個人情報保護委員会が示す中小規模事業者向けの安全管理措置の実施水準を参考に、次の各号の措置を講じるものとする。（1）個人データを取り扱う担当者を明確化すること（2）個人データを取り扱う機器を限定し、盗難・紛失等を防止する措置を講じること（3）個人データを含む書類・記録媒体を施錠可能な棚等で保管すること（4）個人データを扱うパソコン等について、ウイルス対策ソフトの導入等の基本的な情報セキュリティ対策を講じること」

解説: 個人情報保護委員会のガイドライン（通則編）は、従業者数100人以下の中小規模事業者について、大企業と同水準の対策までは求めず、実施可能な範囲での対応で足りる旨の考え方を示している。本規程もこれに沿った簡略な水準を明記することで、過剰な体制整備負担を避けつつ最低限の対応を確保することが可能になると考えられる。

B-3. 第8条（委託先の監督）を委託先選定チェックリスト方式に簡略化

修正後: 「会社は、個人データの取扱いを第三者に委託する場合、委託先が個人情報の適正な取扱いに関する基本的な体制（社内規程の有無、担当者の設置状況等）を備えているかを簡易なチェックリストにより確認し、委託契約に安全管理措置に関する条項を含めるものとする。」

解説: 委託先に対する詳細な実地監査等を行う人的リソースが乏しい中小企業では、委託開始前のチェックリスト確認と契約条項の整備という最低限の対応を明記することが現実的な運用になると考えられる。

B-4. 第14条（漏えい等対応）を外部相談窓口の活用を前提に簡略化

修正後: 「会社は、漏えい等事案が発生した場合、個人情報保護管理者が中心となり事実関係の把握及び初動対応を行うとともに、必要に応じて顧問弁護士又は外部のセキュリティ専門家に相談し、個人情報保護委員会への報告及び本人への通知の要否・方法について助言を受けるものとする。」

解説: 報告対象事態の該当性判断や本人通知の方法は専門的知見を要するため、平時から相談可能な外部専門家を確保しておくことが、体制の薄い中小企業にとって現実的な対応になると考えられる。なお、漏えい等の報告義務自体は事業者の規模を問わず適用される点に留意が必要である。

B-5. 第15条（教育及び監査）を簡易な年次確認に縮小

修正後: 「会社は、少なくとも年1回、全従業者に対し個人情報保護法及び本規程に関する簡易な研修又は注意喚起を実施するとともに、個人情報保護管理者が本規程の遵守状況を年1回確認するものとする。」

解説: 独立した内部監査体制を組成することが難しい場合であっても、最低限の年次確認プロセスを明記することで、規程が形骸化することを防ぐ効果が期待できると考えられる。

第3部: 逐条解説（購入者向け）

第1条・第2条（目的・適用範囲） 本規程の対象者を明確化する条項。個人情報保護法上の義務主体は「個人情報取扱事業者」であり、事業の用に供している限り、事業規模を問わず適用される点に留意が必要である。派遣社員についても、実際に個人データを取り扱う場面がある以上、本規程の適用対象に含めることが望ましいと考えられる。

第3条（定義） 2022年（令和4年）4月施行の改正個人情報保護法により新設・整理された「個人関連情報」（第11号関連）の定義を含めている点が本規程の特徴である。従来、Cookie等の識別子に紐づく閲覧履歴等は個人情報に該当しないものとして規制の対象外とされてきたが、提供先において個人データとして取得することが想定される場合には、個人関連情報として第三者提供規制の対象となった点が2022年改正の重要なポイントであると解される。

第4条（個人情報保護管理者の設置） 体制整備の中核をなす条項。個人情報保護法及び関連ガイドラインは特定の役職者の設置を法律上義務付けているわけではないが、安全管理措置（組織的安全管理措置）の一環として、責任者の設置が実務上強く推奨されると解される。

第5条・第6条（取得・利用目的） 利用目的の特定・公表義務及び目的外利用の禁止を定める中核条項。要配慮個人情報（第5条第3項）の取得には原則として本人の同意が必要である点は、2015年改正で新設され現在も維持されている規律であり、健康診断結果、犯罪歴等を取り扱う人事部門において特に留意すべき論点である。

第7条（個人データの管理・安全管理措置） 安全管理措置の4分類（組織的・人的・物理的・技術的）は、個人情報保護委員会のガイドライン（通則編）が示す整理に沿ったものである。2022年改正では、保有個人データについて「消去に関する事項」の公表等が新たに求められるようになった点も踏まえ、データの保存期間・廃棄ルールを明確化しておくことが望ましいと考えられる。

第8条（従業者及び委託先の監督） 委託先の監督義務は、いわゆる「委託先の再委託」の場面でも及ぶと解されており、再委託を行う場合には、委託元の会社が委託先を通じて再委託先の監督状況も把握する必要があると考えられる。テレワークの普及に伴い、従業者の自宅等の社外環境における個人データの取扱いについても、本条の監督義務の一環として留意すべき論点が増えている。

第9条（第三者提供の制限） 第三者提供記録の作成・保存義務（第3項）は2017年改正で導入された規律であり、いわゆる「名簿屋対策」として重要な位置づけを持つ。提供記録は、原則として提供の都度作成し、一定期間（提供の場合は原則3年、受領の場合は原則1年、契約書等で確認できる場合は3年）保存する必要があるとされる。

第10条（外国にある第三者への提供） 2022年改正により規制が強化された条項である。改正前は本人への情報提供が努力義務にとどまる場面もあったが、改正後は、移転先の外国における個人情報保護制度の内容や、移転先が講ずる保護措置に関する情報を本人に提供した上で同意を得ることが必要とされ、また同意取得後も移転先における相当措置の継続的な実施を確保する義務及び本人の求めに応じた情報提供義務が課されるようになったと解される。クラウドサービスの利用等により意図せず外国に個人データが保管される事例（いわゆる「シャドーIT」的な外国移転）にも注意を要する。

第11条（個人関連情報の第三者提供の制限） 2022年改正で新設された規律に対応する条項である。広告配信のためのCookie情報連携等、提供元では個人を識別できない情報であっても、提供先において他の情報と照合して個人データとして利用することが想定される場合には、提供元が本人同意の取得状況等を確認する義務を負う点が実務上重要である。いわゆる「クッキー規制」と呼ばれる場面の中心的な規律であり、広告・マーケティング部門との連携が特に必要になる条項と考えられる。

第12条・第13条（保有個人データの公表・開示等請求対応） 2020年改正により、開示請求の方法についてデジタル化対応（電磁的記録による開示の請求権付与等）が図られた点、利用停止・消去等の請求権の要件が緩和された点（従来は目的外利用等の違法な取扱いがある場合に限定されていたものが、利用する必要がなくなった場合や重大な漏えい等が生じた場合等にも拡大された点）が重要な改正ポイントである。開示等請求への対応フローを整備しておかないと、期限徒過や不適切な拒否により本人からの苦情・行政指導につながるリスクがあると考えられる。

第14条（漏えい等の事案発生時の対応） 2022年改正における最大の変更点である漏えい等報告の義務化に対応する条項である。改正前は努力義務にとどまっていた個人情報保護委員会への報告が、一定の重大性を有する漏えい等事案（要配慮個人情報の漏えい、財産的被害のおそれのある漏えい、不正目的による漏えいのおそれ、1,000人を超える漏えい等）については法的義務とされ、速報（覚知後おおむね3〜5日以内が目安とされる）及び確報（原則30日以内、不正目的による場合は60日以内が目安とされる）の期限が個人情報保護委員会規則で定められている。本人通知義務も同時に法定化された点を踏まえ、社内の報告フロー（従業者→個人情報保護管理者→経営陣→監督官庁）を明確に定めておくことが実務上極めて重要と考えられる。

第15条・第16条（教育・監査・懲戒） 規程の実効性を担保するための組織的措置。教育・監査の実施記録は、監督官庁による報告徴収・立入検査等が行われた場合に、会社が適切な安全管理措置を講じていたことを示す資料としても機能し得ると考えられる。

第17条・第18条（改廃・施行期日） 一般条項。個人情報保護法は今後も定期的な見直し（3年ごと見直し規定）が予定されており、施行後も法改正動向を踏まえた規程改定が必要になる点に留意が必要である。

第4部: 監修者への確認依頼事項

1. 第14条第3項の漏えい等報告の対象事態（要配慮個人情報、財産的被害のおそれ、不正目的、1,000人超）の記載が、現行の個人情報保護法施行規則の最新の文言と齟齬がないか確認いただきたい。
2. 第14条の速報・確報の期限の記載（本文の解説部分に記載した「おおむね3〜5日以内」「原則30日以内・60日以内」の目安）について、規程本文若しくは解説により具体的な日数を明記すべきか、監修時点の実務運用に照らして確認いただきたい。
3. 第10条の外国にある第三者への提供に関する規定について、いわゆる「相当措置の継続的な実施の確保」に関する会社の義務の記載が、個人情報保護委員会規則上の要件を過不足なく反映しているか確認いただきたい。
4. 第11条の個人関連情報の第三者提供制限について、広告配信・マーケティング分野における実務上の典型的な適用場面（Cookie連携等）の追加解説が必要か確認いただきたい。
5. 中小企業向け簡易版（第2部B-2）における安全管理措置の実施水準の記載が、個人情報保護委員会ガイドラインの「中小規模事業者」の定義（従業員数100人以下、ただし一定の除外あり）及び最新の実施内容と整合しているか確認いただきたい。
6. 第13条の開示等請求への対応について、電磁的記録による開示請求（2020年改正対応）に関する社内の具体的な対応方法（PDF交付、CSV交付等）を規程に明記すべきか確認いただきたい。
7. 第9条第3項の第三者提供記録の保存期間（提供・受領それぞれの原則的な期間）について、規程本文に具体的な年数を明記すべきか、内規等の別文書に委ねる設計とすべきか確認いただきたい。
8. 個人情報保護法が定める3年ごと見直しの動向を踏まえ、本テンプレートの販売開始時点で追加の法改正情報又は改正予定がないか確認いただきたい。