個人情報管理台帳の作り方｜Pマークで必要な項目・書き方の例・よくあるミス

個人情報管理台帳とは

個人情報管理台帳は、会社が扱っている個人情報を業務ごとに一覧にした表です。プライバシーマーク（以下、Pマーク）の審査基準であるJIPDECの構築・運用指針で、作成と少なくとも年1回の見直しが求められています（出典：JIPDEC「構築・運用指針」）。

台帳は、それ自体が目的というより、Pマークのほかの仕組みの土台になる文書です。

• リスク分析は、台帳の行ごとに行う
• 委託先の管理は、台帳で「どの個人情報をどこに預けているか」を見て洗い出す
• 教育や現地審査では、従業者が台帳どおりに扱っているかが確かめられる

申請時には、台帳の冒頭1ページのコピーと、それに対応するリスク分析結果を提出します。

台帳に載せる項目

指針が台帳に求める項目を、当サイトの言葉でまとめると次のとおりです。

件数の項目は、2023年版の指針で新たに加わりました。古いひな形を使っていると抜けていることがあるので注意しましょう。

実務では、これに加えて「取得の方法（Webフォーム、紙、名刺交換など）」「委託先・提供先」「要配慮個人情報かどうか」「台帳の管理番号」「担当部署」などの列を足すと、リスク分析や委託先管理につなげやすくなります。

作り方の手順

手順1 業務を全部並べる

いきなり個人情報から考えると漏れが出ます。まず、会社の業務を部署ごとに並べます。営業・顧客対応・受託業務・採用・人事労務・経理・総務などです。

手順2 業務ごとに、扱う個人情報を書き出す

業務ごとに「誰の、どんな情報を、どこから受け取っているか」を書き出します。お客様の情報だけでなく、次のような社内の情報も個人情報です。

• 従業者の情報（人事、給与、健康診断、マイナンバー）
• 採用応募者の情報（履歴書、面接記録）
• 取引先担当者の名刺・連絡先
• 問い合わせ・資料請求・セミナー申込
• 取引先から預かって処理している個人情報（受託業務）

手順3 1行ずつ項目を埋める

書き出した個人情報を1行ずつ台帳に載せ、項目を埋めます。保管場所は「パソコン」ではなく「共有ドライブの採用フォルダ」のように、審査員が実物を確かめられる粒度で書くのがコツです。アクセスできる人は個人名ではなく、役職や部署で書くと人の入れ替わりに強くなります。

手順4 リスク分析・委託先管理につなげる

台帳ができたら、行ごとにリスク分析を行います。また「委託先」の列から、委託先の一覧と評価、契約の確認へつなげます。給与計算や税理士、クラウドサービス、配送、システム保守などは委託に当たることが多く、洗い出し漏れが起きやすいところです。

記入例（Web制作会社・従業員18名の場合）

以下は説明のための架空の例です。自社の実態に合わせて書いてください。

よくあるミス

民間の解説記事でよく挙がる台帳の指摘は、次のようなものです（出典：LRM「審査指摘事項への対応」、イーポート「Pマークの審査で落ちる理由」）。

• 登録漏れ：従業者・採用応募者・名刺・問い合わせなど、社内の個人情報が載っていない
• 項目の不足：保管期限が決まっていない、件数の列がない
• 実態とのずれ：台帳では「施錠保管」なのに、現場では机の上に置いたまま
• 従業者が知らない：現地審査で台帳と違う保管場所を答えてしまう
• 見直していない：新しい業務やシステムを導入したのに台帳が古いまま

特に最後の2つは、作るときより運用の問題です。台帳を作ったら、教育で従業者に共有し、業務が変わるたびに更新する流れを決めておきましょう。

見直しのタイミング

指針では、台帳を少なくとも年1回見直すことが求められています。これに加えて、次のようなときにも見直すと、審査で「古いまま」と指摘されにくくなります。

• 新しい業務・サービスを始めたとき、やめたとき
• 新しいシステムやクラウドサービスを導入したとき
• 委託先を変えたとき
• 内部監査やマネジメントレビューで指摘があったとき

見直した日付と内容は、記録として残します。

業種別：漏れやすい個人情報の例

業種によって、台帳に載せ忘れやすい個人情報があります。以下は当サイトによる例です。自社の業務に当てはめて確認してください。

どの業種でも、従業者・採用応募者・名刺・問い合わせの4つは共通して漏れやすい項目です。

台帳からリスク分析へつなげる

台帳の1行は、そのままリスク分析の1単位になります。たとえば上の記入例の「3 採用」の行なら、次のように取り扱いの段階ごとにリスクと対策を考えます。

台帳の保管場所・アクセスできる人・保管期限が具体的に書けていると、リスク分析の対策も具体的に書けます。台帳を丁寧に作ることが、その後の文書づくりを楽にします。

セキュカクで台帳を作る

セキュカクでは、業種・扱っている個人情報・保管場所・委託先をボタンで選ぶだけで、業務ごとの個人情報管理台帳と、それにつながるリスク分析をAIが自社用に作ります。台帳はPマークの文書一式（1社49,800円・税込）に含まれます。件数や保管期限など、会社にしか分からない値は「要確認」として残すので、必ず実態を確かめて埋めてください。