個人情報管理台帳の見直し方｜各部署への洗い出し依頼と更新項目

前回の台帳を各部署へ送り、変更があれば直して返してもらう。この進め方で個人情報管理台帳を更新しようとすると、戻ってきたファイルのどこが変わったのか分からない、「変更なし」と返ってきた部署とまだ返ってこない部署の区別がつかない、システムの移行や業務の終了が台帳に載らないまま次の年を迎える、といった問題に行き当たります。ひな形を用意するだけでは、こうした問題は残ります。

この記事では、調査の範囲と「何を1件として答えてもらうか」を先に決め、部署へ依頼し、回答の不明点を確認してから台帳へ反映するまでの手順を、項目表・依頼文・架空の記入例で説明します。ここで示す項目や回答区分は記事独自の運用例で、法律や制度が定めた様式ではありません。

台帳は、作った時点の取扱いを写したものです。その後に業務や保存先が変わると、台帳と実際の取扱いがずれていきます。見直しの目的は、項目を埋め直すことではなく、このずれを見つけて直すことにあります。

変化の場面	影響する台帳の欄	例
業務の開始	行の追加（全項目）	展示会の来場者アンケートを始めた
業務の終了	状態、保管期限、削除状況	旧経費精算システムの利用を止めた
利用目的の追加	利用目的	問い合わせ者の情報をセミナー案内にも使い始めた
保存先の移行	保存先・媒体、アクセス範囲	ファイルサーバから採用管理システムへ移した
組織変更	担当部署、管理担当者	総務部の業務が人事部へ移った
閲覧できる人の変化	アクセス範囲	面接官が応募書類を閲覧できるようにした
保管・削除の運用変更	保管期限、削除方法	紙の申込書を電子化し、原本を廃棄することにした
委託・外部提供の開始	委託・提供の有無と相手	発送業務を外部の会社に任せた

部署の担当者は、システムの入れ替えや組織変更を「個人情報の取扱いの変更」として報告すべきものだと考えていないかもしれません。依頼文や調査票では、上の表のような具体的な場面を示して聞きます。

確認には2つの種類があります。1つは、全部署に同じ基準日で現状を答えてもらう定期確認です。もう1つは、業務の開始、システムの移行、組織変更などが起きたときに、その業務だけを確認する変更時の確認です。

定期確認だけでは、年度の途中で起きた変更が次の定期確認まで台帳に載りません。変更時の確認だけでは、部署が変更として報告しなかったずれを拾えません。両方を運用に組み込み、変更時の確認で更新した行も、次の定期確認で改めて確認の対象に含めます。

確認の頻度について、プライバシーマーク（Pマーク）の構築・運用指針では、台帳の内容を年1回以上、必要に応じて確認し、最新の状態に保つことを定めています（次の項で説明します）。これはPマーク制度上の要求で、すべての企業に法律で同じ頻度が義務付けられているわけではありません。Pマークを取得していない企業は、社内規程や取引先との契約で定めた頻度に従います。

区分	出典	内容
法律上の義務	個人情報保護法第23条、通則編3-4-2・別添10-3	個人データの安全管理のために必要かつ適切な措置を講じる。別添の組織的安全管理措置には「個人データの取扱状況を確認する手段の整備」が含まれる
法律上の努力義務	個人情報保護法第22条、通則編3-4-1	利用目的の達成に必要な範囲内で個人データを正確かつ最新の内容に保ち、利用する必要がなくなったときは遅滞なく消去するよう努める
Pマーク制度上の要求	構築・運用指針【JIS Q 15001:2023準拠 ver1.0】J.3.1.1	個人情報を管理するための台帳を整備し、定められた項目を含め、少なくとも年一回及び必要に応じて内容を確認し、最新の状態で維持する
この記事の提案	―	回答基準日、「1件」の単位、回答区分、受領・確認・台帳反映の区別、依頼文と記入例

個人情報保護委員会の個人情報の保護に関する法律についてのガイドライン（通則編）（令和8年6月一部改正）は、別添で「講じなければならない措置」と、それを実践する「手法の例示」を分けて示しています。通則編で確認した範囲では、台帳の特定の様式や、全事業者に共通の確認頻度・保存年数は定められていません。個人情報保護委員会のQ&A（Q10-10）も、組織的安全管理措置として講じる必要があるのは個人データの取扱状況を確認できる手段の整備であり、いわゆる「個人情報取扱台帳」の作成が義務付けられているわけではないと説明しています。同じ回答では、取り扱っている個人データとしてどのようなものがあるかを明確にすることは、取扱状況を把握するうえで有効な取組であるとされています。また、法第22条の正確性の確保について、通則編は、保有する個人データを一律に又は常に最新化する必要はなく、利用目的に応じて必要な範囲で正確性・最新性を確保すれば足りると説明しています。

Pマークの構築・運用指針【JIS Q 15001:2023準拠 ver1.0】（2024年10月1日適用開始）のJ.3.1.1「個人情報の特定」は、台帳に少なくとも含める項目として、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限、管理する個人情報の件数（概数でも可）を挙げています。同じ項目の留意事項では、台帳の整備は、事業の用に供する全ての個人情報を特定し取扱い状況を把握するための手段であって、目的ではないと説明されています。

言葉の使い分けにも注意が必要です。通則編は「個人情報」「個人データ」「保有個人データ」を使い分け、それぞれに課される義務が異なると説明しています。個人データは個人情報データベース等を構成する個人情報、保有個人データは個人データのうち事業者が開示等に応じる権限を有するものです（通則編2-1、2-6、2-7）。一方、Pマークの指針J.3.1.1は「自らの事業の用に供している全ての個人情報」を特定の対象にしています。この記事では、部署に聞く対象を「個人情報を扱う業務」とし、各行がどの区分に当たるかは管理担当が判断する事項として扱います。

なお、制度・ガイドラインの記述は、2026年10月13日に確認した公表資料に基づきます。

決めること	決め方の例	決めずに依頼すると
対象部署	組織図の全部署に加え、部署をまたぐプロジェクトチームの業務	部署をまたぐ業務が、どこからも回答されない
対象業務	前回台帳の全行と、前回以降に始めた業務。従業員の情報を扱う業務も含める	顧客情報だけが対象だと受け取られる
回答基準日	「2026年10月31日時点の状態」のように1日を指定する	回答した日の違いで、台帳の中に異なる時点の情報が混ざる
回答者と確認者	部署の実務担当が回答し、部署長が内容を確認して提出する	一人の記憶だけに頼った回答になる
回答期限	管理担当の確認と照会にかかる期間から逆算する	期限後の照会が間に合わず、反映が次の期までずれ込む

対象業務に従業員の情報を含めることは、依頼文にも明記します。JIPDECが公開している株式会社フィールドプランニングの講演レポートでは、同社が個人情報の特定を進めた際、当初は従業員の個人情報が特定の対象から漏れていたと紹介されています。1社の経験談ですが、顧客情報に意識が向いた依頼で起こり得ることとして参考になります。

部署によって回答の粒度が違うと、ある部署は「顧客情報」の1行で済ませ、別の部署は帳票ごとに10行を返してくる、ということが起こります。粒度が揃っていないと、前回の台帳と比べることもできません。

この記事では、「業務」「情報群」「管理方法」の3つが同じまとまりを1件とする分け方を提案します。同じ業務でも、保存先、アクセスできる範囲、保管期限のどれかが違えば別の件にします。保存先を移した場合も、旧保存先にデータが残っている間は、旧保存先を1件として残し、削除状況をその行で追います。これは実務上の目安で、法令や制度で決まった単位ではありません。

部署	1件にまとめる例	別の件に分ける例	分ける理由
人事部（採用）	選考中の応募書類（履歴書、職務経歴書、面接評価）	内定者の入社手続書類	保管期限とアクセスできる範囲が異なる
営業部	名刺管理アプリに登録した取引先担当者の情報	展示会で取得した来場者アンケート	取得元と利用目的が異なる
経理部	個人事業主である取引先の振込先と連絡先	従業員の立替経費の精算データ	対象者の区分と保存先が異なる

同じ情報を複数の部署が使う場合は、管理の責任を持つ部署の1件として登録し、閲覧だけする部署は「アクセスできる範囲」に書く方法があります。ただし、閲覧する部署が手元に複製を保存しているなら、その複製は保存先が異なるので別の件として扱います。

前出のフィールドプランニングの講演レポートでは、個人情報を3つのカテゴリに分け、保管形態などの3分類と組み合わせた9つのグループで台帳とリスク分析を管理する方法も紹介されています。自社の分け方を決める際の参考になりますが、これも同社独自の分け方です。

項目は「部署が答える事実」と「管理担当が確認・判断する事項」に分けます。部署に法的な区分の判断まで求めると、回答が止まったり、判断が部署ごとにばらついたりします。部署には目の前の業務で起きている事実を答えてもらい、判断は管理担当が引き取ります。

項目	回答の例	回答の注意
回答区分	変更なし／追加／変更／廃止候補／不明	1件ごとに必ず選ぶ
業務名	中途採用の選考	部署内で通じる名称でよい
個人情報の種類	氏名、連絡先、職歴、面接評価	実際の値ではなく項目名で答える
対象者の区分	応募者	顧客、取引先担当者、従業員、応募者など
取得元	本人（採用サイトの応募フォーム）	本人から、取引先から、公開情報からなど。社内のシステム間で移した場合は取得元を変えず、移動元を備考に書く
利用目的	選考と合否の連絡	部署の言葉で具体的に書く
保存先・媒体	採用管理システム「架空採用クラウド」	システム名、フォルダの場所、紙の保管場所。保存先が複数あれば件を分ける
保管方法	アカウントごとの閲覧権限で制限	施錠保管、パスワード付きファイル、権限設定など。保存先からは分からないため別に答える
管理担当者	人事部 採用担当リーダー	個人名か役職名かは社内で統一する
アクセスできる範囲	採用担当3名、面接官（担当求人のみ）	共有設定や外部ユーザーの権限も含める
件数の概数	約300件	概数でよい
利用期限	選考と合否連絡が終了するまで（架空の社内規程例）	業務で使う期間。根拠が社内規程か契約か分かれば併記する
保管期限	選考終了後6か月（架空の社内規程例）	利用を終えた後も保管を続ける期間。利用期限と同じなら同じ値を書く
削除・廃棄の方法	システム上で削除、紙はシュレッダー	直近の実施日が分かれば書く
委託・外部提供	採用管理システムの提供会社	相手の名称と、渡している範囲
変更内容と変更日	2026年7月に保存先を移行	区分が「変更」「廃止候補」のときに書く

事項	確認の内容
法令上の区分	個人データ、保有個人データに当たるか
要配慮個人情報	含まれるか。含まれる場合、取得時の同意の扱い
利用目的の範囲	部署が回答した利用目的が、公表・通知・明示した範囲に収まっているか
委託・外部提供	委託先の監督の対象か、第三者提供に当たるか。委託先の確認記録はどこにあるか
保管期限	法令・契約・社内規程に照らして妥当か
アクセス範囲	業務に必要な範囲を超えていないか
削除の要否	利用する必要がなくなっていないか。削除が予定どおり行われたか

Pマーク付与事業者は、指針J.3.1.1が台帳に含めるとしている項目（個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限、件数）を台帳側に持たせます。調査票で集めた情報を、台帳の各項目に対応づけて反映します。利用期限と保管期限、保管場所と保管方法は、それぞれ確認できるように記録します。

この調査で集めるのは、個人情報の取扱状況です。顧客名簿、履歴書、本人確認書類、個人番号が記載された書類などの実データは原則として添付させず、項目名・利用目的・保存先・アクセス範囲など、台帳更新に必要な取扱状況を回答してもらいます。実データが添付されると、調査票の回答に顧客や応募者の個人情報が混ざり、管理すべき保管先が増えます。

回答者の氏名や部署名、連絡先は、照会や記録のために必要な業務上の情報で、調査の対象となる個人情報の実データとは分けて扱います。ただし、回答者名や連絡先を含む調査票も個人情報を含む記録です。調査票と回答の保管先とアクセス範囲を管理します。

依頼文には、目的、対象範囲、基準日、期限、回答方法、回答区分、不明な場合の連絡先を入れます。次の例を、自社の名称や日付に置き換えて使ってください。

件名：【ご協力のお願い】個人情報の取扱状況確認（2026年度）回答期限：11月13日

各部署 ご担当者様

総務部の〇〇です。
個人情報管理台帳を実際の取扱いに合わせて更新するため、各部署で扱っている
個人情報の取扱状況の確認をお願いします。

■ 目的
社内で個人情報を扱う業務と、その保存先・利用目的・アクセスできる範囲を
台帳に正しく記録するためです。部署や担当者の評価を目的としたものではありません。

■ 対象
貴部署で扱っている、個人情報を含むすべての業務が対象です。
顧客や取引先の情報だけでなく、従業員・応募者の情報を扱う業務も含みます。
前回の台帳に記載がない業務も、扱っていればご回答ください。

■ 基準日
2026年10月31日時点の状態でご回答ください。

■ 回答期限
2026年11月13日（金）

■ 回答方法
添付（またはURL）の調査票に、業務・情報・保存先の組み合わせごとに1件ずつご回答ください。
同じ業務でも、保存先が違えば別の件としてご回答ください。
前回の台帳の内容を記載していますので、1件ごとに次のいずれかを選んでください。

　変更なし：基準日時点で、前回の内容と同じであることを確認した
　追加　　：前回の台帳にない業務・情報がある
　変更　　：同じ保存先の行で、利用目的やアクセスできる範囲などが変わった
　廃止候補：業務を終えた、または使わなくなった（データが残っているかも記入）
　不明　　：変わったかどうか判断できない

保存先を移した場合は、新しい保存先を「追加」、移行前の保存先を「廃止候補」として
それぞれご回答ください（移行前の保存先にデータが残っているかも記入）。
移行前の保存先を引き続き使っている場合は、その行は「変更なし」または「変更」でご回答ください。

回答がない業務は「変更なし」とは扱わず、個別に確認させていただきます。
「変更なし」を選ぶ場合も、内容を確認した方のお名前をご記入ください。

各件の回答とは別に、部署として次の3点をご記入ください。
　・前回の台帳にない業務・情報群・保存先の有無（あり／なし／不明）
　・対象範囲を確認した方のお名前と確認日
　・確認できなかった範囲（ない場合は「なし」）

■ ご注意
顧客名簿や履歴書などのファイル、個人情報の実際の値は添付しないでください。
保存先はシステム名やフォルダの場所、件数はおおよその数で構いません。

■ 不明な点の連絡先
総務部 〇〇（内線0000／メール ****@example.co.jp）
記入に迷う点は空欄のままにせず「不明」を選び、分からない点をご記入ください。

回答区分	部署が記入すること	管理担当の扱い
変更なし	確認者の名前	内容を確認し、台帳の確認日と確認者を更新する
追加	全項目	内容を確認し、新しい行として登録する
変更	変わった項目、変更日、理由	変更前の値を履歴に残し、該当する欄を更新する。保存先が変わった場合は「変更」で上書きせず、新しい保存先を「追加」の別行で扱う。旧保存先は、使わなくなった場合は「廃止候補」、引き続き使う場合は「変更なし」または「変更」とする
廃止候補	終了日、データの所在と削除状況	保存の必要性と削除状況を確認してから扱いを決める
不明	判断できない点	部署へ照会し、確認後にいずれかの区分へ移す
（未回答）	―	「変更なし」とみなさず、催促と個別確認の対象にする。台帳の確認日は更新しない

「変更なし」と「未回答」を分けておくと、回答のない部署の行が、確認済みのような顔で台帳に残り続けることを避けられます。期限前のリマインドや催促の進め方は、チェックシートの回収管理で解説しています。

以下は、架空の会社・部署・システムによる記入例です。保管期限などの数値も説明のための例で、法令上の期間を示すものではありません。

保存先の移行は、新しい保存先の行と旧保存先の行に分けて記録します。

段階	件A：採用フォルダ（旧保存先）	件B：架空採用クラウド（新保存先）
前回の台帳	中途採用の応募書類（氏名、連絡先、職歴、面接評価）。保存先は社内ファイルサーバの採用フォルダ。アクセスは採用担当3名。保管期限は選考終了後6か月（社内規程）	該当する行なし
今回の回答	区分：廃止候補。2026年7月以降は新しい応募書類を保存していない。移行前のデータは閲覧のみで残している	区分：追加。2026年7月から採用管理システム「架空採用クラウド」で応募書類を管理。面接官（各部署の部長）もシステム上で担当求人の応募書類を閲覧できる
管理担当の確認	残っているデータが新システムへ移し終えた範囲と一致するかを確認し、削除予定日を人事部と決める	面接官の閲覧が担当求人に限られている設定を画面で確認する。システム提供会社との契約で個人データの取扱いがどう定められているかを確認し、委託に当たる場合は委託先の台帳にも登録する
台帳への反映	行は消さず、状態を「新規保存停止・移行前データ保管中」とし、削除予定日（11月末）を記録する。削除を確認した時点で、完了日と確認方法を記録して「削除済み」にする	新しい行として登録し、保存先とアクセス範囲、移行日を記録する。変更理由「採用管理システムへの移行」、更新日、確認者を記録する

1つの業務でも、保存先が2つあるので2件として登録します。

段階	件C：フォームサービス	件D：営業管理システム
前回の台帳	該当する行なし	該当する行なし（取引先担当者の行はあるが、来場者情報は含まれていない）
今回の回答	区分：追加。2026年9月の展示会から、Webフォームで来場者アンケートを始めた。項目は氏名、会社名、役職、メールアドレス、関心のある製品。アクセスは営業企画担当2名	区分：追加。フォームの回答を週1回、営業管理システムに取り込んでいる。利用目的は製品資料の送付と商談の案内。アクセスは営業部全員
管理担当の確認	フォーム上で示した利用目的と、部署が回答した利用目的が一致しているかを確認する。取込み後のフォーム側データをいつ削除するかを部署と決める	展示会の共催企業へ回答を渡しているかを照会し、渡していないことを確かめる。営業部全員の閲覧が業務に必要な範囲かを確認する
台帳への反映	新しい行として登録する。取得元「本人（展示会アンケートフォーム）」、取得開始日、取込み後の削除時期を記録し、削除の実施状況をこの行で追う	新しい行として登録する。取得元「本人（展示会アンケートフォーム）」、社内の移動元「フォームサービス（件C）」、利用目的、アクセス範囲を記録する

段階	内容
前回の台帳	旧経費精算システムの申請データ（従業員の氏名、所属、振込先口座、精算内容）。保存先は旧システムの提供会社の環境
今回の回答	区分：廃止候補。2026年3月に新しいシステムへ移行し、旧システムは利用を停止した。旧システムのデータは提供会社の環境に残っており、削除の依頼はまだしていない
管理担当の確認	業務の終了と、データの削除完了は別の事実として扱う。精算データに法令や社内規程で保存が求められる記録が含まれるかを経理部と確認し、新システムへ移した範囲と照らして、旧環境で保存を続ける必要があるかを判断する。不要と判断した範囲は提供会社へ削除を依頼し、削除の完了をどう確認するか（完了報告書の受領など）を決める
台帳への反映	行は消さず、状態を「利用停止・旧環境にデータ保管中」に変える。削除依頼日と削除完了の確認予定を記録する。削除の完了を確認した時点で、完了日と確認方法を記録し、状態を「削除済み」にする

移行先の新しい経費精算システムは、保存先が異なるので別の行（区分：追加）として登録します。

例3のように「廃止候補」と回答された行をすぐに台帳から消すと、旧環境に残ったデータが台帳のどこにも載っていない状態になります。削除の完了を確認するまでは行を残し、状態の欄で区別します。

回答を受け取ってから台帳に反映するまでに、次の4つの状態を分けて記録します。これはこの記事で提案する運用上の区別で、特定のツールにある機能名ではありません。

状態	意味
受領済み	部署から回答が届いた。内容はまだ確認していない
照会中	不明点や記入漏れを部署に問い合わせている
確認済み	管理担当が内容を確認し、判断を記録した
台帳反映済み	確認した内容を台帳に書き込み、更新日・確認者・変更理由を記録した

受領済みの段階で台帳を書き換えると、照会で内容が変わったときにもう一度書き直すことになります。手順は次のとおりです。

1. 回答を受け取る：受領日を記録し、すべての件で回答区分が選ばれているか、部署単位の確認欄（次の項）が記入されているかを見ます。空欄があれば、その場で部署に戻します。
2. 不明点を照会する：「不明」の件や、保存先が「共有フォルダ」とだけ書かれている件などを部署に問い合わせます。必要に応じて、実際の画面や保管場所を見せてもらいます。
3. 内容を確認する：「管理担当が確認・判断する事項」の表に沿って判断し、判断した内容を記録します。
4. 台帳に反映する：該当する欄を更新します。変更前の値は上書きで消さず、履歴のシートや変更記録に残します。
5. 更新の記録を残す：更新日、確認者、変更理由、根拠になった回答（どの部署の、いつの回答か）を記録します。

前回の台帳の行にすべて回答がそろっても、前回の台帳にない業務の洗い出しが終わったとは判断できません。既存の行は、部署が「前回の内容を見て答える」ものなので、台帳に載っていない業務・情報群・保存先は回答の対象から外れたままになります。

そこで、既存行への回答とは別に、部署単位で「前回台帳にない業務・情報群・保存先の有無」「対象範囲の確認者・確認日」「未確認の範囲」を記録します。有無は前回台帳との差で答えてもらい、追加行を提出済みかどうかは管理担当が別に記録します。「不明」と答えた部署は、未確認の範囲と照らし合わせて照会します。

部署	前回台帳にない業務・情報群・保存先の有無	対象範囲の確認者・確認日	未確認の範囲	管理担当の扱い
人事部	あり（件B：新しい保存先）	人事部長・2026-11-10	なし	追加行を確認して反映
営業部	あり（件C・件D：新しい業務）	営業部長・2026-11-12	海外営業チームの業務（担当者が出張中）	未確認の範囲を照会し、確認するまで部署の確認完了としない
経理部	あり（新しい経費精算システム：新しい保存先）	経理部長・2026-11-11	なし	追加行は提出済み。既存行の確認とあわせて完了

「未確認の範囲」が残っている部署は、既存行の回答がそろっていても、洗い出しは未完了として扱います。

照会には時間がかかります。JIPDECの株式会社Daysの講演レポートでは、同社が個人情報を特定する際、各部署のマネージャーと1人あたり2〜3回の打ち合わせを行い、実際の作業や画面を見せてもらいながら特定したと紹介されています。同じレポートでは、担当者がバックオフィスの人だけだと、他部門の処理を把握しきれず特定に漏れが出るおそれがあるとも述べています。照会の回数や方法は会社ごとに異なりますが、書面の回答だけで判断しきれない件は、対面や画面共有で確かめる時間を見込んでおきます。

部署の数が少なく、扱う業務も限られているうちは、Excelの台帳とメールでの依頼で十分に運用できます。台帳本体は、今後もExcelやスプレッドシートで持ち続けて構いません。

手間が増えるのは、台帳そのものより、部署への依頼と回答の回収の部分です。前回の内容を部署ごとに切り出して送る、版の異なるファイルが戻ってくる、回答区分の未記入や未回答の部署を一覧と突き合わせて探す、といった作業は、部署の数に応じて増えていきます。

この依頼から回答の確認までは、チェックシートを扱うツールに任せる分担ができます。マモリスでは、部署向けの調査票を作り、回答区分をラジオボタンの必須設問に、変更内容をテキストエリアの設問にできます。設問ごとに記入例を表示でき、社内の記入ルールの資料もURLやファイルで添えられます（URL・ファイルはそれぞれ最大5個まで）。送信者側で前回の回答内容をあらかじめ設定しておくこともできます（対象はテキストと選択肢で、ファイル添付は対象外です）。

依頼はメールで送り、回答者はログイン不要のURLから回答します。下書き保存と後日の再開にも対応しています。回答状況の一覧で未回答の部署を把握でき、期限前のリマインドメールの自動送信や、未回答の相手への一括催促も使えます。届いた回答には確認済みのチェックやコメントを記録でき、不明点があれば差し戻して再提出を依頼できます。回答・確認・差し戻しの履歴は残り、PDFでも保存できます。毎年の定期確認は、繰り返し依頼として設定できます。

台帳への反映は担当者が行います。マモリスが台帳を自動で更新したり、社内の個人情報を自動で検出したり、洗い出しの漏れを判定したりするわけではありません。確認を終えた回答の内容を担当者がExcelの台帳に書き込み、更新日と確認者を記録する、という分担です。

Q1. 部署から「去年と同じです」とだけ返ってきた場合はどうしますか？

基準日時点で前回の内容を確認したうえでの回答かどうかを確かめます。調査票で1件ごとに区分を選び、「変更なし」の場合は確認者の名前を書いてもらう形にしておくと、確認した結果の「変更なし」と、確認していない回答を区別できます。部署全体を1行で「変更なし」とした回答は、件ごとの回答に直してもらいます。

Q2. 全部署への定期確認と、変更があった業務だけの確認は、どちらを優先すべきですか？

どちらか一方ではなく、両方を組み合わせます。変更時の確認は、システム移行や組織変更の社内手続きに「台帳の担当者への連絡」を組み込んでおくと、定期確認を待たずに反映できます。定期確認の頻度は社内規程で定め、Pマーク付与事業者は構築・運用指針の「少なくとも年一回、及び必要に応じて適宜」の確認も満たすようにします。

Q3. 正確に把握するために、名簿などのファイルを添付してもらった方がよいのではないですか？

名簿などの実データは原則として添付させず、項目名・利用目的・保存先・アクセス範囲など、台帳更新に必要な取扱状況を回答してもらいます。実データを集めると、調査票の回答に顧客や応募者の個人情報が混ざります。保存先の設定やアクセス範囲を確かめたい場合は、部署の画面を一緒に見て確認する方法をとります。なお、回答者名や連絡先を含む調査票も、保管先とアクセス範囲を管理します。

Q4. 委託先管理台帳とはどう分ければよいですか？

委託先管理台帳は、外部の会社と委託している業務、その会社への確認の記録を管理するものです。個人情報管理台帳は、社内で個人情報を扱う業務と情報のまとまりを管理します。個人情報管理台帳の「委託・外部提供」欄に委託先がある行は、委託先管理台帳の該当する業務を番号などで参照できるようにしておきます。委託先側の台帳の作り方は、委託先管理台帳の作り方で説明しています。

---

台帳の見直しは、全部署へ一斉に始めなくても進められます。まず1つの部署を選び、前回の台帳の内容と回答区分を載せた調査票で取扱状況を確認してみると、回答の粒度や照会にかかる時間が見えてきます。部署への依頼と回答の確認をマモリスで試してみたい方は、無料プランからご登録ください。