個人情報保護マネジメントシステム構築・運用指針を徹底解説 －「J.8 取得、利用及び提供に関する原則」編－
最終更新日:2025/11/13
こんにちは。
ここでは、新しくなったプライバシーマーク（Pマーク）の「個人情報保護マネジメントシステム構築・運用指針」について、セクションごとに紹介させていただいています。
前回までの「J.1」から「J.7」で、私たちはPMS（個人情報保護マネジメントシステム）という「家」を建てるための、「PDCAサイクル（Plan-Do-Check-Act）」の「枠組み」を一通り見てきました。
J.1で「土地調査」をし、J.2で「棟梁と理念」を決め、J.3で「設計図」を作り、J.4で「基盤（資材や職人）」を整え、J.5で「施工」し、J.6で「検査」、J.7で「修繕・改善」を行う、という流れでしたね。
さて、その立派な「家（PMSの枠組み）」が完成しました。
しかし、その家は「何のため」に建てたのでしょうか。
もちろん、「個人情報」という、私たちの大切な「財産」を安全に守るためですよね。
J.1からJ.7までが「家の建て方（マネジメントシステム）」のルールだったとすれば、今回から紹介する「J.8」以降は、その家の中で、最も大切な「財産（個人情報）」を、「具体的にどう取り扱うか」という「個別のルール」について定めたものです。
今回は、その中でも最も重要で、ボリュームのある「J.8 取得、利用及び提供に関する原則」について、じっくりと中身を紹介していきたいと思います。
ここは、個人情報保護法（Pマークの親法とも言える法律）の要求事項とも密接にリンクする、実務の「心臓部」です。
項目が非常に多いですが、一つひとつが皆さんの日々の業務に直結する大切なルールですので、ぜひお付き合いください。
このJ.8セクションは、個人情報の「入り口（取得）」から、「内部での取り扱い（利用）」、そして「出口（提供）」に至るまでの一連の流れ（ライフサイクル）における、基本的な「原則」を定めています。
J.8.1 利用目的の特定
まず、個人情報を取り扱う「大前提」です。
事業者は、個人情報を「何のために使うのか」という「利用目的」を、できる限り「具体的に」特定することが求められています。
家づくりで言えば、「この部屋は何に使うか」を明確にするのと同じです。
「具体的」とは？
添付資料（Wordファイル）の解説にもあるように、例えば「事業活動に用いるため」といった、抽象的で曖昧な表現は不十分です。
本人（個人情報の持ち主）が、自分の情報が「何に使われるか」を、予測・認識できるレベルまで具体的にする必要があります。
（良い例）
・「ご注文いただいた商品の発送のため」
・「新商品に関する情報をご案内するため」
・「従業者の給与計算及び社会保険手続きのため」
（不十分な例）
・「当社のサービス向上のため」
・「マーケティング活動のため」
・「顧客管理のため」
特定した利用目的は、J.3.1.1で紹介した「個人情報管理台帳」にも、もちろん記載する必要があります。
そして、一度特定した利用目的の「達成に必要な範囲内」でしか、その個人情報を取り扱ってはならない、というのが大原則になります（J.8.6で後述します）。
J.8.2 適正な取得
利用目的が決まったら、次はその個人情報を「どうやって手に入れるか（取得）」のルールです。
指針は、事業者は「適法」かつ「公正な手段」によって個人情報を取得しなければならない、と定めています。
当たり前のことのように聞こえますが、非常に重要です。
▼「適法」とは、法律違反をしない、ということです。
▼「公正な手段」とは、社会通念上、正々堂々とした方法で取得する、という意味です。
例えば、
・意図的に利用目的を偽って取得する（例：「アンケートです」と言って、実際には営業リスト目的で集める）
・優越的な地位を利用して、不当に取得する
・他人が不正に取得したと知りながら、それを買い取る
といった行為は、「適正な取得」とは言えません。
また、添付資料（Wordファイル）の解説にもあるように、第三者（他の会社など）から個人情報を取得する場合には、その提供元が「適正に取得」したものであるかを確認することも、間接的に求められることになります。
J.8.3 要配慮個人情報などの取得
個人情報の中には、その取り扱いに「特に配慮」が必要な、デリケートな情報があります。
これを「要配慮個人情報（ようはいりょこじんじょうほう）」と呼びます。
要配慮個人情報とは
本人に対する不当な差別や偏見、その他の不利益が生じないように、特に配慮が必要な情報のことです。
具体的には、
・人種、信条、社会的身分
・病歴、犯罪の経歴、犯罪被害情報
・身体障害、知的障害、精神障害などがあること
・健康診断やその他検査の結果
・医師などによる指導・診療・調剤の情報
などが、法律で定められています。
2023年版準拠での追加点
そして、添付資料（Wordファイル）の解説にもあるように、今回の指針改定（JIS Q 15001:2023準拠）に伴い、
「性生活、性的指向、労働組合に関する情報」
についても、日本国内で取得した場合でも「要配慮個人情報と同様に取り扱う」ことが、Pマークのルールとして追加・明確化されました。
取得の原則（最重要ポイント）
これらのデリケートな情報（要配慮個人情報）を取得する際のルールは、通常の個人情報よりも、はるかに厳格です。
原則として、
「あらかじめ、取得・利用・提供する旨について、書面によって本人に明示し、かつ、書面によって本人の同意を得る」
ことが求められます。
「口頭での同意」や「黙示の同意（なんとなくOKそう）」ではダメで、「書面（Webフォームの同意ボタンへのチェックなど、電磁的記録を含む）」で、はっきりと同意を得ることが必要なのです。
これは、「あらかじめ本人の同意を得る」ことだけを求める個人情報保護法よりも、「書面による明示」と「書面による同意」を求めるPマーク指針の方が、より厳格な要求となっています。
例外
もちろん、この厳格なルールにも例外があります。
例えば、
・a) 法令に基づく場合（例：労働安全衛生法に基づく従業員の健康診断結果の取得）
・b) 人の生命、身体又は財産の保護のために必要がある場合（例：本人が意識不明で、家族に既往歴を確認する）
・g) 委託、h) 事業承継、i) 共同利用によって取得する場合
・j), k) 学術研究機関が利用する場合
など、11項目の例外が定められています。
しかし、これらに該当しない限りは、必ず「書面による明示と同意」が必要だと覚えておく必要があります。
J.8.4 個人情報を取得した場合の措置
では、個人情報を取得したら、次に何をすべきでしょうか。
指針では、「あらかじめ、その利用目的を公表している場合を除き」、取得した後「速やかに」、その利用目的を「本人に通知」し、又は「公表」することを求めています。
・「通知」とは、本人に直接知らせること（例：メールを送る、書面を渡す）。
・「公表」とは、広く一般に知らせること（例：自社のウェブサイトに掲載する）。
J.8.5のように「直接書面」で取得する場合は、取得する「前」に明示しますが、それ以外の方法（例えば、口頭や、第三者経由）で取得した場合は、取得した「後」に、速やかに利用目的を知らせる（通知または公表）必要がある、ということです。
例外
この「通知」または「公表」が不要な場合も、例外として定められています。
・a) 本人や第三者の生命、身体、財産などを害するおそれがある場合
・b) 事業者の権利や正当な利益を害するおそれがある場合（例：企業秘密が明らかになる）
・c) 国の機関などの事務（例：警察の捜査）に支障を及ぼすおそれがある場合
・d) 取得の状況からみて利用目的が明らかであると認められる場合
この「d)」が実務上は重要です。
例えば、
・「お問い合わせフォーム」に名前や連絡先を記入してもらう（→「お問い合わせへの回答のため」が明らか）
・「名刺交換」をする（→「今後のビジネス上の連絡のため」が明らか）
といった場合は、取得の都度、改めて「利用目的は～です」と通知・公表しなくてもよい、とされています。
（ただし、名刺情報を本人の同意なくメルマガ配信などに使うのは、この「明らか」の範囲を超える可能性が非常に高いので注意が必要です）
J.8.5 J.8.4のうち本人から直接書面によって取得する場合の措置
J.8.4が「取得した後」の措置だったのに対し、J.8.5は「取得する前」の、最も重要なルールのひとつです。
「本人から、書面に記載された個人情報を、直接取得する」場合の措置です。
ここでいう「書面」とは、紙の申込書や契約書だけでなく、「Webサイトの入力フォーム」や「メールでの受付」といった「電磁的記録」も含まれます。
現代のビジネスでは、ほとんどの「取得」が、これに該当すると言っても過言ではありません。
J.8.5のルール（最重要ポイント）
この方法で取得する場合、
「あらかじめ、利用目的を含む以下の事項（a～h）を、本人に書面によって明示し、かつ、書面によって本人の同意を得る」
ことが求められます。
ここでも、J.8.3（要配慮個人情報）と同様に、
「明示」すること（分かりやすく示す）
「同意」を得ること（本人が納得してOKすること）
の両方が、取得する「前」に必要とされています。
これも、「同意」までは求めていない個人情報保護法よりも、厳格なPマーク独自の要求事項です（Pマークの上乗せルールと呼ばれます）。
明示が必要な事項（a～h）
では、何を「明示」する必要があるのでしょうか。
最低限、以下の事項（または、それと同等以上の内容）を明示する必要があります。
a) 事業者の名称又は氏名
（誰が取得するのか）
b) 個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
（誰が管理の責任者か）
c) 利用目的
（J.8.1で特定した、具体的な利用目的）
（※以下は、該当する場合のみ明示が必要です）
d) 個人情報を第三者に提供することが予定される場合の事項
（「誰に」「何を」「何のために」「どうやって」提供するのか、など）
e) 個人情報の取扱いの委託を行うことが予定される場合には、その旨
（「委託します」ということ。委託先名を出す必要まではないとされています）
f) J.10.4～J.10.7に該当する（開示等の請求に応じる）場合には、その旨及び問合せ窓口
（後で紹介する「開示してください」といった本人の権利に応じますよ、ということと、その窓口）
g) 本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果
（「この情報を提供するかどうかは、あなたの自由です。ただし、提供いただけない場合、〇〇のサービスが受けられません」といった説明）
h) 本人が容易に知覚できない方法によって個人情報を取得する場合には、その旨
（例えば、Webサイトの閲覧履歴をCookie（クッキー）で取得する場合や、位置情報アプリで情報を取得する場合など、本人が「今、情報を取られている」と気づきにくい方法を使う場合は、そのことを明示する）
これらのa～hの事項を、Webフォームならその入力ページやリンク先の「個人情報の取り扱いについて」といったページに分かりやすく記載し、最後に「上記に同意します」のチェックボックスを設ける、というのが、このJ.8.5に対応した典型的な方法となります。
J.8.6 利用に関する措置
無事に個人情報を取得できました。次は「利用」のルールです。
1. 目的の範囲内での利用
大原則は、J.8.1で特定し、J.8.5などで本人に明示・同意を得た「利用目的の達成に必要な範囲内」でしか、個人情報を利用してはいけない、ということです。
2. 不適正な利用の禁止
添付資料（Wordファイル）の解説にもあるように、「違法又は不当な行為を助長し、又は誘発するおそれのあるもの」は除かなければなりません。
例えば、
・違法行為（例：振り込め詐欺）を行っていると疑われる事業者に、それを知った上で個人データを提供する。
・本人の属性（例：国籍、居住地など）に基づいて、不当に差別的な取り扱い（例：サービスの提供を拒否する）を行うために、個人情報を分析・利用する。
といったことは、たとえ「利用目的の範囲内」であったとしても、禁止されます。
3. 目的外利用のルール
では、特定した利用目的の「範囲を超えて」個人情報を利用したい場合（目的外利用）は、どうすればよいでしょうか。
例えば、「商品の発送のため（当初の目的）」に取得した顧客情報を、「新商品の開発のためのアンケート（当初の目的外）」にも使いたい、といった場合です。
この場合、原則として、
「あらかじめ、J.8.5のa)～f)に示す事項（事業者名、管理者、“新しい”利用目的、第三者提供の有無、委託の有無、開示等の窓口）を本人に通知し、本人の同意を得る」
ことが、改めて必要になります。
勝手に使ってはいけない、ということですね。
例外
この「目的外利用」にも、本人の同意が不要な例外があります（J.8.5の例外とは少し異なります）。
・a) 法令に基づく場合
・b) 人の生命、身体又は財産の保護のために必要がある場合
・c) 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合
・d) 国の機関などへの協力
・e), f) 学術研究機関が利用する場合
これらの例外に該当しない限り、目的外利用は「本人の再度の同意」が必要となります。
J.8.7 本人に連絡又は接触する場合の措置
これは、J.8.6の「利用」の中でも、特に「本人に連絡又は接触する」という、より積極的な利用（例：ダイレクトメールの送付、営業電話）を行う場合の、Pマーク独自の上乗せルールです。
J.8.7のルール
個人情報を利用して本人に連絡又は接触する場合、原則として、
「J.8.5のa)～f)に示す事項」に加えて、「取得方法（どこで、どうやってその情報を手に入れたか）」を本人に通知し、「本人の同意を得る」
ことが求められます。
例えば、他社から適法に取得したリスト（第三者提供）を使って、いきなり自社の商品Aのダイレクトメールを送ることは、原則としてできません。
まず、「私たちはB社からあなたの情報を取得しました。商品Aの案内を送ることに同意いただけますか？」という通知と同意取得のプロセスが（原則として）必要になる、ということです。
（※ただし、添付資料の解説にある通り、「同意を得るために連絡すること自体は許容」されます。例えば、最初の1通目に「同意確認」のレターを同封し、返信やWebでの登録をもって「同意」とみなす、といった運用が考えられます）
例外
この厳格なルールにも、多くの例外があります。
▼a) J.8.5の措置において、あらかじめ、「本人に連絡又は接触すること」を“利用目的として含め”、J.8.5のa)～f)の事項を明示し、既に本人の同意を得ているとき。
（これが最も実務的な対応です。つまり、最初のWebフォームの同意取得時に、利用目的に「当社の商品・サービスのご案内のため」と明記し、同意を得ておく、ということです）
▼b) 委託、c) 事業承継の場合
▼d) 共同利用の場合（重要ポイント）
特定の者との間で、個人情報を「共同利用」している場合は、例外となります。
ただし、この「共同利用」が認められるためには、
「共同利用すること」
「共同利用される個人情報の項目」
「共同利用する者の範囲」（本人から見て明確である必要があります）
「共同利用する者の利用目的」
「管理について責任を有する者（管理責任者）の氏名又は名称及び住所並びに（法人の場合）代表者の氏名」
の5項目を、あらかじめ本人に「通知」し、又は「本人が容易に知り得る状態（例：Webサイトに常時掲載）」に置く必要があります。
さらに、Pマーク独自の要求事項として、
「共同して利用する者との間で、共同利用について契約によって定めている」
必要があります（これは個人情報保護法では推奨事項ですが、Pマークでは要求事項です）。
なお、添付資料（Wordファイル）の解説にある通り、今回の指針改定で、JISの改正に伴い、以前のPマーク指針で求められていた「共同利用に対する本人の同意」は不要となりました（法律と足並みが揃いました）。
ただし、上記の「5項目の通知・公表」と「契約の締結」は、引き続きPマークの要求事項として残っています。
▼e) J.8.4のd)（取得の状況から利用目的が明らか）の場合（例：名刺交換）
▼f)～i) 法令に基づく場合、人の生命・身体・財産の保護の場合、など
J.8.8 個人データの提供に関する措置
J.8セクションの後半は、「利用」から、さらに一歩進んだ「提供」のルールです。
「提供」とは、自社が保有する個人データ（J.3.1.1の台帳で管理しているような、検索可能な状態のデータ）を、自社（法人格）以外の「第三者」が利用可能な状態に置くことを指します。
「第三者提供」にあたるもの
・他の会社（たとえ親会社やグループ会社であっても、法人格が別なら第三者です）に、個人データを渡すこと。
・自社のWebサイトやSNSに、本人の同意なく個人情報を掲載すること（不特定多数の第三者が利用可能になるため）。
「第三者提供」にあたらないもの（重要）
以下の3つは、法律上・指針上、「第三者提供」とはみなされず、J.8.8の原則（本人の同意）が不要とされています。
C) 委託（J.9.4で、委託先の監督責任が問われます）
D) 事業承継（合併など）
E) 共同利用（J.8.7で紹介した、5項目の通知・公表と契約が前提）
提供の原則（本人の同意）
上記3つ（委託・事業承継・共同利用）にあたらない、「純粋な第三者提供」を行う場合、
原則として、「あらかじめ、本人に対して、J.8.5のa)～d)に示す事項（事業者名、管理者、提供の目的、提供の詳細など）を通知し、本人の同意を得る」
ことが必要です。
例外（同意が不要な場合）
この「本人の同意」にも、例外があります。
▼a) 同意取得済み
（J.8.5（直接書面取得時）やJ.8.7（連絡時）に、第三者提供を行うことを含めて、既に同意を得ている場合）
▼b) オプトアウト
（本人の求めに応じて「停止」することを前提に、あらかじめ所定の事項を本人に通知・公表し、個人情報保護委員会に「届け出る」ことで、本人の同意なく提供できる制度です）
ただし、Pマーク指針では、このオプトアウトの適用を、「本人の同意を得ることが困難な場合」（例：大量の個人データを扱う場合など）に「限定」するという、法律よりも厳しい上乗せルール（JIS Q 15001にはない、Pマーク独自のもの）がありましたが、添付資料（PDF P44）の記載を見ると、2023年準拠版ではこの限定がJIS Q 15001の本文（A.14）にはなく、J.8.8のNo.2 b)の本文にも見当たりません。
（※添付資料Word J.8.8～J.8.10の解説には【Pマークの上乗せ】として「本人の同意を得ることが困難な場合」に限定すると記載があります。こちらを正として採用します）
添付資料（Wordファイル J.8.8～J.8.10）の解説に基づき、Pマークではオプトアウトの適用は「本人の同意を得ることが困難な場合」に限定される、と理解するのが安全です。
また、要配慮個人情報や、不正に取得した情報は、オプトアウトの対象にできません。
▼c), d), e) 委託、事業承継、共同利用（これらはそもそも第三者提供にあたらないため）
▼f)～l) 法令に基づく場合、人の生命・身体・財産の保護、公衆衛生、国の機関への協力、学術研究機関への提供の場合。
J.8.8.1 外国にある第三者への提供の制限
第三者提供の中でも、特に「外国」にある第三者に個人データを提供する場合の、非常に厳格なルールです。
この場合、J.8.8の例外（f～l、法令や生命保護など）にあたらない限り、以下の「いずれか」の要件を満たす必要があります。
▼A) あらかじめ外国にある第三者への提供を認める旨の「本人の同意」がある場合
ただし、単なる同意ではダメで、同意取得時に、本人に対して以下の情報を提供する必要があります。
・d) 当該外国の名称
・e) 当該外国における個人情報の保護に関する制度に関する情報（適切かつ合理的な方法で得られたもの）
・f) 当該第三者が講ずる個人情報の保護のための措置に関する情報
もし、これらの情報が特定できない場合は、「その旨及びその理由」や、「それに代わる本人に参考となるべき情報」を提供しなければなりません。
▼B) 提供先が「基準適合体制」を整備している場合
提供先（外国の事業者）が、日本の個人情報取扱事業者が講ずべき措置（安全管理措置など）に「相当する措置」を「継続的に講ずるために必要な体制」を整備している場合です。
このルートを選ぶ場合、「本人の同意」は不要になりますが、代わりに「提供元」である日本企業に、以下の重い義務が課されます。
・j) 提供先の体制や、現地の制度（法律など）が体制の実施に影響しないか、定期的に確認すること。
・k) もし支障が生じた場合は、必要な措置を講じ、体制の継続が困難になったら、提供を「停止」すること。
・l) 本人の求めに応じて、j)やk)に関する情報を提供すること。
▼C) 個人情報保護委員会が「我が国と同等の水準にある」と定める国・地域にある場合
現在（2023年時点）、EU（欧州連合）と英国（イギリス）が、これに該当します。
これらの国・地域にある第三者への提供は、上記A)やB)の措置は不要となり、国内の第三者提供と同じ扱い（J.8.8の原則＝本人の同意）でよいことになります。
J.8.8.2 / J.8.8.3 第三者提供に係る記録の作成等
個人データを「提供した側」と「提供を受けた側」の双方に、そのやり取りを「記録」し、保管することを義務付けるルールです。
これは、万が一、情報の不正な流通が起きた場合に、その「経路」を追跡できるようにするためです。
J.8.8.2（提供する側）
個人データを第三者に「提供した」ときは、原則として、以下の事項などを「記録」し、「保管」する必要があります。
・提供した年月日
・提供先の氏名又は名称
・（同意を得ている場合）本人の同意を得ている旨
・（オプトアウトの場合）届け出ている旨
・（同意を得ていない場合）本人の氏名、データの項目、など
J.8.8.3（提供を受ける側）
第三者から個人データの「提供を受けた」ときは、原則として、以下の事項などを「確認」し、「記録」し、「保管」する必要があります。
・提供を受けた年月日
・提供元の氏名又は名称及び住所（代表者の氏名）
・提供元による当該個人データの「取得の経緯」（これが非常に重要です）
・（同意を得ている場合）本人の同意を得ている旨
・本人の氏名、データの項目、など
例外（記録・確認が不要な場合）
この煩雑な「記録・確認」義務にも、例外があります。
J.8.8の「第三者提供にあたらない」とされた、
「委託」「事業承継」「共同利用」
の場合や、「法令に基づく場合」「人の生命・身体・財産の保護の場合」などは、この記録・確認は不要とされています。
J.8.8.4 個人関連情報の第三者提供の制限等
J.8セクションの中でも、特に新しく、技術的に複雑なルールです。
個人関連情報とは
まず、「個人関連情報」とは、添付資料（Wordファイル）の解説にある通り、「生存する個人に関する情報」のうち、個人情報、仮名加工情報、匿名加工情報の「いずれにも該当しない」ものです。
代表例は、
・Cookie（クッキー）情報
・Webサイトの閲覧履歴（単体では個人を識別できないもの）
・位置情報（単体では個人を識別できないもの）
・個人と紐づいていないIDでの購買履歴
などです。
想定されるシナリオ
このルールが適用されるのは、以下のようなシナリオです。
（提供元A社）は、自社サイトを訪れたユーザーの「Cookie ID」と「閲覧履歴」を持っています（これはA社にとっては個人関連情報）。
（提供先B社）は、自社の会員リストとして「氏名」と「Cookie ID」の対応表を持っています（これはB社にとっては個人情報）。
A社がB社に、「Cookie ID」と「閲覧履歴」を提供します。
B社は、その情報を受け取り、自社の会員リストと「突合（紐づけ）」します。
結果、B社は「〇〇さん（氏名）が、A社のサイトで、この商品を見ていた」という「個人データ」を取得することになります。
ルール
このような、「提供元」では個人情報でなくても、「提供先」で個人データになることが「想定される」場合に、このルールが発動します。
▼（提供元 A社）の義務
A社は、B社に情報を提供する際、「B社が、当該本人（〇〇さん）の同意を得ていること」を「確認」しなければなりません。
▼（提供先 B社）の義務
B社は、A社から情報を受け取る前に、あらかじめ本人（〇〇さん）に対し、「A社からこういう情報（個人関連情報）を受け取って、あなたの個人データ（氏名）と紐づけますよ」ということを通知・明示し、「同意」を得ておく必要があります。
外国への提供の場合
もし、提供先B社が「外国」にある第三者の場合は、ルールがさらに厳しくなります。
・A社は、B社が本人の同意を得ていることの「確認」に加えて、B社が本人に対し、J.8.8.1のA)で求められた情報（外国の名称、その国の制度、B社が講じる措置）を「提供していること」も「確認」しなければなりません。
・さらに、A社自身も、J.8.8.1のB)（基準適合体制）で求められた措置（定期的な確認や、問題発生時の提供停止など）を講じる必要があります。
記録義務
提供元A社、提供先B社は、これらの「確認」や「同意取得」に関するやり取りを、J.8.8.2 / J.8.8.3に準じて「記録」し、保管する義務があります。
J.8.9 匿名加工情報
J.8セクションの最後は、比較的新しい情報の類型、「匿名加工情報」と「仮名加工情報」の紹介です。
まず、「匿名加工情報」です。
匿名加工情報とは
特定の個人を「識別することができない」ように個人情報を加工し、かつ、元の個人情報を「復元することができない」ようにした情報です。
（例：氏名を削除し、住所を「〇〇県」までにし、年齢を「30代」にする、など）
ルールとメリット
法令等で定められた「適切な加工」を行い、ルール（後述）を守れば、J.8.1～J.8.8で紹介してきたような「利用目的の制限」や「本人の同意（取得・提供時）」が、一切不要となります。
データを、より自由に分析・活用したり、他社に提供（販売）したりできることが最大のメリットです。
守るべき主なルール
・(b) 加工方法等情報（どうやって加工したか、という情報）は、安全管理措置を講じること。
・【重要】添付資料（Wordファイル）の解説にある通り、元の個人情報を「復元することができるもの」（例：氏名と置き換えた仮IDの対応表など）は、匿名加工情報の作成後は「廃棄」する必要があります。
・(c) 匿名加工情報を作成した時や、第三者に提供する時は、「どのような情報項目が含まれているか」を「公表」すること（例：「年代、性別、購買履歴」など）。
・(d) 作成した事業者も、提供を受けた事業者も、「識別行為（元の本人を特定しようとすること）」をしてはならない。
J.8.10 仮名加工情報
最後に、「仮名加工情報（かめいかこうじょうほう）」です。
仮名加工情報とは
「他の情報と照合しない限り、特定の個人を識別することができない」ように、個人情報を加工した情報です。
匿名加工情報との最大の違いは、「（他の情報と照合すれば）元に戻せる（本人を識別できる）」点にあります。
（例：氏名を「仮ID」に置き換える。この「仮ID」と「氏名」の対応表（＝削除情報等）は、事業者が厳重に保管する）
ルールとメリット
匿名加工情報ほど自由ではありませんが、一定のルール下で、当初の利用目的の範囲を超えた「内部分析」などに活用しやすくなる、というメリットがあります。
（利用目的の変更手続き（J.8.6）が、公表だけでよくなります）
守るべき主なルール
・(3) 加工して作成した場合、元の個人情報から削除した情報や、仮IDの対応表（＝削除情報等）が漏えいしないよう、厳重に安全管理措置を講じること。
・(5) c) 利用にあたっては、本人を識別するために、「他の情報と照合してはならない」。
・(5) d) 本人への「連絡」（電話、郵便、メール、訪問など）のために、この情報を「利用してはならない」。
・(6) 第三者への提供は、原則として「禁止」されています。
（※ただし、J.8.8で第三者提供にあたらないとされた「委託」「事業承継」「共同利用」の場合は、提供が可能です）
Pマーク独自の注意事項（最重要ポイント）
添付資料（Wordファイル）の解説にある通り、Pマーク事業者にとっては非常に重要な注意点があります。
法令（個人情報保護法）上は、「仮名加工情報（個人データでないもの）」が漏えいした場合、個人情報保護委員会への「報告義務」などが「適用除外」となる場合があります。
しかし、プライバシーマーク制度においては、
「仮名加工情報が漏えいした場合であっても、通常の個人情報の漏えいと同様に、J.4.4.2（緊急事態への準備）やJ.9.2（安全管理措置）に基づき、適切に対応する必要がある」
とされています。
つまり、Pマーク事業者は、仮名加工情報が漏えいした場合でも、「法律上は報告不要だからOK」とはならず、Pマークのルール（緊急事態対応）に従わなければならない、ということです。
まとめ
いかがでしたでしょうか。
今回は、新しいPマーク構築・運用指針の、最も長く、最も中核的なルールである「J.8 取得、利用及び提供に関する原則」について、その概要を紹介させていただきました。
J.8.1～J.8.7までは、「取得」と「利用」に関するルール、特にPマーク独自の上乗せルールである「書面による同意（J.8.5）」や「連絡時の同意（J.8.7）」が重要でした。
J.8.8以降は、「提供」に関するルールで、特に「外国への提供（J.8.8.1）」「記録義務（J.8.8.2 / J.8.8.3）」「個人関連情報（J.8.8.4）」といった、現代のビジネス環境を反映した複雑なルールを紹介しました。
そして最後に、データを利活用するための「匿名加工情報（J.8.9）」と「仮名加工情報（J.8.10）」のルール（特にPマーク独自の漏えい時対応）も紹介しました。
J.1～J.7で建てた「家（PMSの枠組み）」の中で、J.8で紹介した「具体的なルール」を守りながら、大切な「財産（個人情報）」を取り扱う。
これが、Pマーク運用の実態そのものと言えます。
長くなりましたが、個人情報の「取り扱い」に関する全体像が、少しでも伝われば幸いです。
