# 個人情報の管理台帳に、アカウントとアクセス権をどこまで書くか

台帳は法律の義務ではなく、プライバシーマークは「アクセス権を有する者」を求めますが、細かさは決めていません。台帳には部署と役割を書き、氏名とアカウントは別の一覧に分けると直し漏れが減ります。

更新日: 2026-10-13

個人情報の管理台帳に書く「アクセス権を有する者」は、プライバシーマークでは必ず含める項目です。ただ、氏名まで書くか、部署名で足りるかは、指針に定めがありません。個人情報保護法は、台帳そのものを義務づけていません。台帳には部署と役割を書き、人とアカウントの対応は別の一覧に分けて、台帳から参照します。こうすると、担当者が代わるたびに台帳を直さずに済みます。

## 法律とプライバシーマークで求められること

個人情報保護委員会の Q&A(Q10-10)は、いわゆる「個人情報取扱台帳」を作ることは義務ではない、と答えています。義務になっているのは、個人データの取扱状況を確かめる手段を整えることです。同委員会のガイドライン(通則編)の別添では、[組織的安全管理措置](/guides/compliance/what-is-security-control-measures)(社内の体制やルールで個人データを守る対策)の (3) に当たります。その手法の例示には、あらかじめはっきりさせておく項目が並んでいます。データベースの種類と名称、個人データの項目、責任者・取扱部署、利用目的、「アクセス権を有する者」などです。Q&A は、扱っている個人データをこうしてはっきりさせることを、取扱状況をつかむうえで有効な取組としています。

プライバシーマークの側は、もっと具体的です。JIPDEC の構築・運用指針の J.3.1.1(個人情報の特定)は、台帳を整え、少なくとも 8 つの項目を含めることを求めています。「アクセス権を有する者」はその 1 つで、保管場所や保管方法と並びます。台帳は少なくとも年 1 回と、必要に応じて確認し、最新に保ちます。指針が台帳のほかにアカウントの管理について求めることは、[プライバシーマーク(JIS Q 15001)でアカウント管理について求められること](/guides/compliance/privacy-mark-account-management)にまとめています。

| 比べる点 | 個人情報保護法(通則編・Q&A) | プライバシーマーク(構築・運用指針) |
| --- | --- | --- |
| 台帳を作ること | 義務ではない。取扱状況を確かめる手段は必要 | 必要 |
| 「アクセス権を有する者」 | 手段の例示の 1 つ | 台帳に必ず含める項目 |
| 見直し | 取扱状況の把握と安全管理措置の見直しが必要 | 少なくとも年 1 回と、必要に応じて |

どちらの文書も、「アクセス権を有する者」を氏名で書くか、部署や役割で書くかまでは決めていません。指針の留意事項は、台帳の整備は取扱いの状況をつかむための手段であって目的ではない、と書いています。細かさは、この目的から決めることになります。

## 台帳には役割を、氏名とアカウントは別の一覧に

台帳の 1 行は、個人情報の項目ごとに作ります。顧客名簿、応募者の情報、従業員の給与の情報といった単位です。一方でアカウントは、システムやクラウドサービスごとにあります。1 つの名簿が複数のサービスに入っていることも、1 つのサービスに複数の名簿が入っていることもあるでしょう。しかも担当者は、名簿やサービスが変わらなくても入れ替わります。氏名を台帳の各行に直接書くと、1 人の異動で何行も直すことになり、直し漏れが出やすくなります。

決め方の一例として、台帳と一覧を次のように分けます。

| 決める点 | 個人情報の台帳 | アカウントの一覧 |
| --- | --- | --- |
| 1 行の単位 | 個人情報の項目 | サービスとアカウント |
| 使える人の書き方 | 部署と役割。一覧の名前を書いて参照する | 氏名と権限の種類 |
| 直すきっかけ | 項目・利用目的・保管場所が変わったとき | 入社・異動・退職、委託の開始と終了 |

このように分けても、2 つを合わせれば「この名簿に、いま誰が入れるか」に氏名で答えられます。通則編の組織的安全管理措置(1)の手法の例示にも、関係する項目があります。個人データを扱う従業者とその役割、その従業者が扱う個人データの範囲をはっきりさせることです。役割で台帳を書き、氏名を一覧に置く形は、この例示とも合っています。

アカウントの一覧には、権限の種類も書きます。通則編の技術的安全管理措置(システムの設定や仕組みによる対策)の (1) はアクセス制御です。その手法の例示には、ユーザー ID に付けるアクセス権で、システムを使える従業者を限ることが入っています。同じサービスでも、見るだけの人、データを書き出せる人、ほかの利用者を追加できる管理者がいます。アカウントが悪用されたときに持ち出せる範囲は、この 3 つで違います。一覧の項目は、[共有アカウントの棚卸しの手順と台帳の項目](/guides/shared-accounts/shared-account-inventory)が参考になります(その記事では、アカウントの一覧を台帳と呼んでいます)。

1 つの ID を複数の人で使う[共有アカウント](/guides/shared-accounts/what-is-shared-account)は、書き方が変わります。サービスの利用者一覧には ID の名前しか出ないので、その先にいる人は自社の一覧でしか分かりません。そのため、共有アカウントの行には、使う人の氏名を並べます。年 1 回の確認では、サービスの利用者一覧と自社の一覧を突き合わせます。共有アカウントの行は、その部署に聞いて確かめます。

## 保管場所にクラウドサービスを書くとき

保管場所の欄にクラウドサービスを書くときは、サービス名に加えて、2 つのことを確かめて書き添えます。

1 つ目は、サービスを提供する事業者が、保存した個人データを取り扱うことになっているかどうかです。Q&A(Q7-53)によると、第三者への提供や委託に当たるかの基準は、保存したデータに個人データが含まれるかではありません。事業者が個人データを取り扱うことになっているかです。取り扱わないことになっている例は、契約でそう定め、適切にアクセス制御をしている場合です。取り扱うことになっていれば、事業者に個人データを渡したことになります。委託として扱うなら、委託先の監督(プライバシーマークでは J.9.4)の対象に入ります。取り扱わない場合も、使う側が自分で安全管理措置を行う必要があります(Q7-54)。

2 つ目は、事業者とサーバーがどの国にあるかです。Q&A(Q10-25)は、外国の事業者のクラウドサービスを使う場合を扱っています。事業者が個人データを取り扱わない場合でも、その国の制度を把握したうえで安全管理措置を行うよう求めています。サーバーが国内にあっても同じです。そのうえで、事業者のある国とサーバーのある国の名称を、本人が知り得る状態に置くことも求めています。台帳に国まで書いておけば、次の公表の内容をそこから作れます。

## プライバシーポリシーに載せる範囲

台帳やアカウントの一覧そのものを公表する決まりはありません。求められているのは、保有個人データの安全管理のために行った措置を、本人が知り得る状態に置くことです。保有個人データは、自社に開示や削除などを行う権限がある個人データのことです。根拠は個人情報保護法 32 条 1 項 4 号と施行令 10 条 1 号です。知り得る状態とは、本人が知ろうとすれば知ることができる状態で、求められたときに遅れずに答える形も含みます。ただし、知られると安全管理に支障が出るおそれのあるものは除かれます。

通則編 3-8-1 は、載せる内容の例を挙げています。技術的安全管理措置の例は「アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定」です。一方で、支障を及ぼすおそれのある例には「アクセス制御の範囲、アクセス者の認証手法等」を挙げています。アクセス制御をしていることは書き、誰がどのシステムに入れるかや、ログインをどう確かめているかは書かない、という線引きです。通則編は、ガイドラインに沿って措置を行っている、と書くだけでは適切でないともしています。概要をホームページに載せ、残りは問い合わせに答える形でもかまいません。


## よくある質問

**個人情報の管理台帳は法律で義務ですか**

義務ではありません。個人情報保護委員会の Q&A(Q10-10)がそう答えています。ただし、個人データの取扱状況を確かめる手段を整えることは義務で、扱う個人データを一覧ではっきりさせることは有効な取組とされています。

**台帳に担当者の氏名まで書く必要がありますか**

プライバシーマークの指針は細かさを決めていません。台帳には部署と役割を書き、氏名とアカウントは別の一覧に置いて、台帳から参照する方法があります。2 つを合わせれば、誰が入れるかに氏名で答えられます。

**プライバシーポリシーに台帳の中身を載せますか**

台帳を載せる決まりはありません。公表するのは安全管理のために行った措置で、概要を載せ、残りは問い合わせに答える形でもかまいません。アクセス制御の範囲や認証の方法は、載せると支障が出るおそれのある例です。

**保管場所にクラウドサービスはどう書きますか**

サービス名に加えて、事業者が保存した個人データを取り扱うことになっているか、事業者とサーバーがどの国にあるかを書き添えます。委託に当たるかと、公表する内容の判断に使います。

## 参考資料

- [JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023 準拠 ver1.0】」(2023 年 12 月 25 日制定)](https://privacymark.jp/guideline/pm_shishin2023v1.0.pdf)
- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(令和 8 年 6 月一部改正)](https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf)
- [個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」(令和 7 年 7 月 1 日)](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)

## Junify の場合

**人手で続けると** 求められている措置を自社の運用に読み替え、アカウントの一覧・権限・記録を監査で出せる形で保ち、指針が改定されるたびに読み直すことになります。

**Junify なら** 共有アカウントの行に並べた氏名は、年 1 回の確認のたびに部署へ聞いて確かめ直すことになります。Junify に登録したアカウントは、導入時にパスワードを変えて Junify だけが持ち、管理者がアカウントごとに使う人を決めます(割り当て)。使えるのは割り当てた人だけなので、その画面の氏名を台帳から参照する一覧にでき、聞いて回る必要はありません。誰が・いつ使ったかも一人ずつ残ります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [CIS Controls v8.1 の Control 5(アカウント管理)と Control 6(アクセス制御管理)は何を求めるか](/guides/compliance/cis-controls-account-access-management): Control 5 は全アカウントの一覧、使われていないアカウントの停止、管理者専用アカウントを求めます。Control 6 は権限を与える・外す手順と、社外向けサービスと管理者の多要素認証を求めます。どれも IG1(最初の段階)です。
- [漏えい等の報告で、アクセスの記録(ログ)から示すこと](/guides/compliance/data-breach-report-access-logs): 報告の 9 項目のうち、アクセスの記録で裏づけるのは概要の経過、個人データの項目、本人の数、原因の 4 つです。見られていないことを記録で確かめられなければ、その範囲は漏えいかそのおそれに当たり得ます。
- [政府の統一基準が求める ID の管理と委託先の対策](/guides/compliance/government-unified-standards-accounts): 統一基準は、ID を適切に管理し、不要になれば速やかに止め、権限を必要最小限にするよう求めます。ガイドラインは 1 人 1 つの ID を原則とし、共用は使った人を特定できる仕組みを条件に認めます。委託先には情報を守る対策を契約で求めます。