個人情報保護マネジメントシステム構築・運用指針を徹底解説 －「J.2 リーダーシップ」編－
最終更新日:2025/11/13
こんにちは。
前回は、新しいプライバシーマーク（Pマーク）の構築・運用指針の「J.1 組織の状況」について、PMSという家を建てる前の「土地調査」にあたる部分として紹介させていただきました。
自分たちを取り巻く環境（内外の課題）や、関係者（利害関係者）の期待、守るべき法律（法令）、そしてPMSを適用する範囲（適用範囲）を明確にする、という内容でしたね。
さて、その「土地調査」が終わったら、次はいよいよ「家づくり」の核心に迫っていきます。
今回は、指針の2つ目のセクションである「J.2 リーダーシップ」について、じっくりと中身を紹介していきたいと思います。
J.1が「土地」の話だとしたら、J.2は「誰が棟梁（とうりょう）になるのか」、そして「どんな理念の家を建てるのか」という、家づくりの「責任」と「方針」を決める、非常に重要なセクションです。
個人情報保護は、担当部署だけが頑張ればよい、というものではありません。
組織全体で取り組むべき経営課題だからこそ、この「リーダーシップ」が極めて重要になるのです。
さて、PMSの前提となる状況把握（J.1）が終わったら、次はそれを「誰が」推進していくのか、という体制づくりのセクション、「J.2 リーダーシップ」に進みます。
個人情報保護は、情報システム部や総務部といった特定の担当者だけが頑張っても、決してうまくいきません。
会社全体、組織全体で取り組むべき経営課題です。
だからこそ、会社のトップ、すなわち「トップマネジメント」の強い関与が不可欠となります。
このセクションでは、トップが何をすべきかが具体的に示されています。
J.2.1 リーダーシップ及びコミットメント
ここでは、トップマネジメント（通常は代表者や社長、理事長など、事業者を指揮・管理する最上位の人）が、PMSの構築・運用において、積極的にリーダーシップとコミットメントを発揮することを求めています。
「リーダーシップ」とは、従業者を率先して引っ張っていくこと。
「コミットメント」とは、利害関係者（お客様、取引先、従業者など）に対して、個人情報保護に責任を持って関与していくことを約束し、実行することです。
「担当者に任せてあるから」という姿勢ではダメだ、ということですね。
「個人情報保護は経営の最重要課題の一つである」というトップの「本気度」が、組織全体に伝わることがスタートラインとなります。
トップマネジメントが果たすべき具体的な役割
指針では、トップマネジメントが統率し、その結果について責任を持つべき事項として、以下のようなことを挙げています。
個人情報保護方針及び個人情報保護目的を確立する
会社の進むべき方向性（戦略的な方向性）と両立する形で、個人情報保護の「憲法」とも言える「個人情報保護方針」（J.2.2で後述）と、その具体的な「目標」（個人情報保護目的）を立てること。
これは、組織が個人情報保護に関してどこを目指すのか、というゴールをトップ自らが設定することを示しています。
PMS要求事項を事業者の業務手順に適切に組み入れる
個人情報保護を、「普段の業務とは別の、特別なこと」として扱うのではなく、「普段の仕事のプロセス」の一部として、自然に組み入れること。
例えば、新しいサービスを開発する時に、その企画段階から「どうやって個人情報を守るか」という観点（プライバシー・バイ・デザイン）が組み込まれているか、などです。
これを実現するためには、トップのリーダーシップが不可欠です。
PMSに必要な資源を確保する
J.1.1の内部課題でも触れましたが、PMSを適切に運用し、維持し、改善していくためには「資源（リソース）」が必要です。
具体的には、人員（適切なスキルを持つ担当者）、組織基盤（体制、施設、設備）、資金（セキュリティ対策の予算など）です。
「人はいない、お金も出さない、でもPマークは維持しろ」では、PMSは機能しません。
こうした資源を「確保する」のは、トップマネジメントの重要な責任であると明記されています。
適合の重要性を利害関係者に周知する
「PMSの要求事項（ルール）に適合すること（守ること）は、会社にとって非常に大事なんだ」ということを、J.1.2で特定した利害関係者、特に内部の従業者に対して、トップ自らの言葉で周知すること。
トップが発信するメッセージの重みは、担当者が発信するものとは比べ物になりません。
PMSを適切に運用できるようにする
仕組みが計画通りに動くように、環境を整えること。
従業者を指揮・支援する
従業者がPMSを計画通りに実施できるように、トップが指揮し、必要なサポートを行うこと。
問題が起きたときに、担当者を責めるのではなく、組織としてどう乗り越えるかを一緒に考え、支援する姿勢が求められます。
継続的改善を促進する
PMSはPDCAサイクル（J.1.5参照）を回し続けることが重要です。
その改善活動が滞りなく回るように、トップが後押しすること。
他の管理者がリーダーシップを発揮できるようサポートする
トップ一人だけでは、大きな組織の隅々まで見ることはできません。
各部門の管理職（部長や課長など）が、それぞれの職務領域において、個人情報保護のリーダーシップを発揮できるように、彼らの役割を明確にし、サポートすることもトップの仕事だとされています。
トップが「本気だ」という姿勢を、方針や資源配分、そして自らの行動で示すことが、全社の意識を高める上で何よりも重要だ、という強いメッセージが込められています。
J.2.2 個人情報保護方針
トップマネジメントの「本気」を、具体的な形として社内外に示すものが、この「個人情報保護方針」です。
これは、トップマネジメントが「私たちは、個人情報をこのように大切に扱います」という理念を宣言する、PMSにおいて最も重要な文書の一つです。
この方針は、J.3.2で設定する「個人情報保護目的」の枠組みにもなります。
いわば、PMSの「憲法」とも呼べるものです。
個人情報保護方針に含めるべき内容
この方針には、事業者が「やるべきこと」「守るべきこと」の決意表明として、少なくとも以下の内容を含むことが求められています。
事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること
ここには、「特定された利用目的の達成に必要な範囲を超えた個人情報の取り扱い（いわゆる『目的外利用』）を行わないこと、及びそのための措置を講じること」という、非常に重要な宣言が含まれます。
これは、個人情報保護の大原則ですね。
個人情報の取り扱いに関する法令、国が定める指針その他の規範の遵守
J.1.3で特定した法律やルールを、きちんと守ります、という宣言です。
コンプライアンスの姿勢を明確にします。
個人情報の漏えい、滅失又は毀損の防止及び是正に関する事項
情報セキュリティ対策をちゃんと行い、もし万が一事故が起きてしまった場合でも、被害を最小限に食い止め、原因を究明し、再発防止策を講じます、という宣言です。
安全管理への取り組みを約束します。
苦情及び相談への対応に関する事項
個人情報の持ち主である「本人」からの問い合わせやクレームに、誠実かつ迅速に対応する窓口を設け、対応します、という宣言です。
本人とのコミュニケーションを大切にする姿勢を示します。
個人情報保護マネジメントシステムの継続的改善に関する事項
J.1.5でも触れた、PDCAサイクルを回し続け、PMSを常により良いものにしていきます、という宣言です。
一度作って終わりではない、という意思表示です。
トップマネジメントの氏名
この方針の最終的な責任者として、トップマネジメントの氏名を記載する必要があります。
これにより、方針が組織のトップの意思であることを明確に示します。
制定年月日及び最終改正年月日
この方針が、いつ作られ、いつ最後に見直されたかを明確にします。
方針が古いまま放置されていないことを示します。
個人情報保護方針の内容についての問合せ先
この方針について、詳しく知りたい場合の連絡先を明示します。
透明性を確保するためですね。
内外への周知義務
そして、この方針は「文書化」する（紙やデータで作成する）だけでなく、2つの方向への周知が義務付けられています。
内部（事業者内）への周知
従業者全員（正社員だけでなく、役員、契約社員、派遣社員なども含む）に、この方針を知らせ、内容を理解させなければなりません。
朝礼で読み上げる、ポスターとして掲示する、社内イントラネットに掲載する、研修で説明するなど、様々な方法が考えられます。
「知らなかった」という人がいない状態にすることが重要です。
外部（一般の人）への入手可能な措置
一般の人（お客様、取引先、採用応募者など）が、いつでも見られる状態にしておく必要があります。
多くの企業が、自社のウェブサイトの分かりやすい場所（フッターなど）に「個人情報保護方針」や「プライバシーポリシー」として掲載しているのは、この要求事項に基づいているのです。
J.2.3.1 組織の役割、責任及び権限
立派な方針が決まったら、次はそれを「誰が」実行するのか、という具体的な「体制」を整えます。
J.2.1でトップの責任が明確になりましたが、トップ一人では実行できません。
PMSを運用していくために必要な「役割」と、その役割が持つ「責任」および「権限」を具体的に決め、それを従業者へ割り当てるとともに、その結果を利害関係者（ここでは主に従業者）に周知することが求められます。
例えば、
「個人情報保護管理者は〇〇さんです。管理者はPMS全体の運用に責任を持ちます」
「各部門の部門長は、自部門における個人情報の取り扱いに責任を持ちます」
「情報システム部は、技術的な安全管理措置に責任を持ちます」
「従業者は、定められたルールを守る責任があります」
といった具合に、誰が何に「責任」を持つのかを明確にします。
ここで大切なのは、「責任」と「権限」はセットである、ということです。
責任だけを負わせて、必要な権限（例えば、業務プロセスを変更する権限や、必要な予算を要求する権限）を与えなければ、その役割を全うすることはできません。
そして、その内容を「内部規程」（例えば「PMS体制規程」など）として文書化することが求められています。
これにより、「言った、言わない」の混乱を防ぎ、各人が自分の役割を正しく認識し、行動できるようになります。
J.2.3.2 個人情報保護管理者と個人情報保護監査責任者
体制づくりの中でも、PMSの根幹をなす、特に重要な2つの役割が「個人情報保護管理者」と「個人情報保護監査責任者」です。
この二者は、PMSのPDCAサイクルを回す上で、車の両輪とも言える存在です。
トップマネジメントは、この2つの役割を「事業者内部に属する者」から指名しなければなりません。
外部のコンサルタントなどに丸投げするのではなく、事業者内部の人が責任を持つことが求められているのです。
（もちろん、業務のサポートを外部に依頼することは可能です）
個人情報保護管理者とは
PMSの「実施」と「運用」に関する責任と権限を持つ、いわばPMSの実務上のトップ、推進役です。
この指針の内容を理解し、実践する能力のある人が指名される必要があります。
他のどのような責任（例えば、営業部長や総務部長など）を持っていたとしても、それとは関係なく、個人情報保護管理者としての権限が与えられ、業務を行うことになります。
また、個人情報保護管理者は、PMSの運用状況（ルールが守られているか、問題は起きていないかなど）を、見直しや改善の基礎として、トップマネジメントに報告するという重要な役割も担います。
トップと現場をつなぐ、PMSの「司令塔」と言えるでしょう。
個人情報保護監査責任者とは
一方こちらは、PMSがルール通りに、かつ有効に機能しているかをチェック（監査）する側のトップです。
「公平」かつ「客観的」な立場で監査を行うことが求められます。
監査責任者は、監査を指揮し、監査員を選定し、監査結果を「監査報告書」として作成し、トップマネジメントに報告する責任と権限を持ちます。
PMSの「監視役」や「診断医」のような立場ですね。
監査責任者の独立性【重要】
ここで非常に重要なポイントがあります。
添付資料の解説（docxファイル）でも強調されていますが、個人情報保護監査責任者は、その公平性・客観性を保つために、トップマネジメントや個人情報保護管理者と「兼務ができない」とされています。
指針の留意事項にも、「個人情報保護管理者と個人情報保護監査責任者とは異なる者であること」と明確に書かれています。
考えてみれば当然で、自分でルールを作って運用（管理者）しながら、自分で自分を厳しく監査（監査責任者）するのは難しいですよね。
「お手盛り」の監査になってしまう可能性があります。
また、トップマネジメントが監査責任者を兼ねてしまうと、トップ自身が作った体制をトップが監査することになり、これも客観性が保てません。
（トップは監査結果の「報告を受ける側」です）
この「実施・運用（管理者）」と「監査（監査責任者）」の役割を、組織内部で明確に分離すること（独立性）の確保は、Pマークの審査でも重要なチェックポイントとなります。
特に、人員が限られる中小規模の事業者にとっては、この体制をどう組むかが大きな課題となるかもしれませんが、PMSの品質を担保するために必須の要件なのです。
J.2.4 管理目的及び管理策（一般）
J.2の最後は、PMSに適用する「管理策」について、承認する手順を定めましょう、という項目です。
「管理策」とは、分かりやすく言えば、J.3で後ほど紹介する「リスク」に対応するための「具体的な対策」のことです。
例えば、「漏えいリスク」に対する「アクセス制限」や「暗号化」、「従業員教育」といった対策が「管理策」にあたります。
J.3で「個人情報保護リスクアセスメント」を行った結果、「このリスクには、この対策（管理策）を講じよう」と決定します。
その決定した管理策を、会社の正式なルールとして採用するために、「トップマネジメント」または「トップマネジメントによって権限が与えられた者」（例えば、個人情報保護管理者など）が、「事業者が定めた手段（承認プロセス）」に従って、きちんと「承認」することを求めています。
リスク対策が、現場の思い付きでバラバラに行われるのではなく、組織として正式に決定・承認されたプロセスであることを担保するための、大切な手順です。
まとめ
いかがでしたでしょうか。
今回は、新しいPマーク構築・運用指針の「J.2 リーダーシップ」について、その概要を紹介させていただきました。
J.1で「土地」が決まり、J.2ではその土地に家を建てるための「棟梁」と「体制」、そして「理念（方針）」が固まりました。
J.2「リーダーシップ」は、PMSを動かしていくための「エンジン」そのものです。
トップマネジメントの「本気度（コミットメント）」が、方針や資源となって組織に示され、それが個人情報保護管理者という「推進役」と、個人情報保護監査責任者という「監視役」によって、具体的に動き出します。
特に、管理者と監査責任者を明確に分け、その独立性を保つことは、PMSが正しく機能しているかを客観的にチェックするために非常に重要です。
この「J.2 リーダーシップ」がしっかり機能してこそ、この後の具体的な計画（J.3）や運用（J.5）が生きてきます。
長くなりましたが、PMSにおけるトップの関与と体制づくりの重要性が少しでも伝われば幸いです。
