個人データの取扱台帳は、「どの個人データを、何のために、誰が、どこに置き、誰へ預け・提供しているか」を1行ずつ書く一覧表です。令和8年改正の各テーマで「自社の何を確認するか」は、この台帳の列に置き換えると見つけやすくなります。このページは、台帳の項目と、改正テーマとの対応を整理したものです。台帳の様式を法律やガイドラインが定めているわけではなく、本サイトの整理です。
1. 台帳に持たせる項目と、確認する改正テーマ
| 項目 | 書くこと | 根拠・書くときの注意 | 関係する改正テーマ |
|---|---|---|---|
| データの種類・名称 | 顧客名簿、会員データベース、採用応募者の書類など、まとまりごとの名前 | ガイドラインが把握のための項目として挙げる「データベース等の種類・名称」にあたる | — |
| 個人データの項目 | 氏名、連絡先、購入履歴など、含まれる項目の種類（中身そのものは書かない） | 「個人データの項目」も同じく挙げられている。16歳未満の本人が含まれうるか、顔特徴データ等が含まれるかは、印の列で拾う | こどもの個人情報／顔特徴データ等 |
| 利用目的 | 取得時に示した目的と、実際の利用 | 「利用目的」も把握のための項目の例。目的外利用や要配慮個人情報の取得の規律緩和は、目的の書き方に関わる | 目的外利用等の規律緩和／統計作成等の特例 |
| 責任者・取扱部署・アクセス権を有する者 | 部署名、役職、アクセスできる人の範囲 | ガイドラインが挙げる項目。個人名でなく役職・部署で書くと、異動で台帳が古くならない | — |
| 置き場所・保存期間・削除の予定 | システム名、紙の保管場所、保存期間 | ガイドラインは、取得、利用、保存、提供、削除・廃棄の段階ごとに取扱方法を定めることを挙げる | 取扱規程の見直し箇所 |
| 預け先（委託先）と再委託の有無 | 委託先の名称、委託する業務、再委託の有無、契約書の所在 | 法第25条は委託先の監督を求め、ガイドラインは委託先の選定、契約、取扱状況の把握、再委託の確認を挙げる。改正では委託先自身に新設される義務がある | 委託先の取扱い／委託先契約で定める事項 |
| 提供先（第三者提供） | 提供先、提供の根拠（同意、法令等）、提供日、記録の所在 | 法第29条は、第三者に提供したときの記録の作成と保存を定める。オプトアウトによる提供をしているかも印を付ける | オプトアウト制度の強化 |
| メールアドレス・電話番号・Cookie IDなどの扱い | 個人情報に当たらない形で保有しているか | 改正で規律が入る連絡可能個人関連情報の対象になりうるものを、別の列で拾う | 連絡可能個人関連情報 |
| 漏えい等が起きたときの連絡先 | 社内の連絡経路、報告・本人通知の担当 | ガイドラインは、漏えい等事案に対応する体制の整備を挙げる。報告や通知の扱いは、改正で検討中の論点がある | 漏えい等報告・通知／6論点 |
右端の列は、その項目を埋めるときに読むページです。自社が改正の対象になるかどうかは該当性チェックで絞り、最終的な判断は顧問弁護士または個人情報保護委員会にご確認ください。
2. 記入用の枠（社内の担当者が記入）
| データの名称 | 項目 | 利用目的 | 責任部署 | 置き場所・保存期間 | 預け先・提供先 | 印（16歳未満／顔特徴データ等／オプトアウト） | |
|---|---|---|---|---|---|---|---|
記入例（架空の事業者の3行）
次の表は、架空の雑貨通販会社「例示商事」を想定した書き方の例です。実在の事業者や実際の台帳ではなく、法令が定める様式でもありません。個人データそのものは書かず、まとまりごとの名称と項目の種類だけを書く、という形を示しています。
| データの名称 | 項目 | 利用目的 | 責任部署 | 置き場所・保存期間 | 預け先・提供先 | 印（16歳未満／顔特徴データ等／オプトアウト） |
|---|---|---|---|---|---|---|
| 会員登録データ | 氏名、メールアドレス、住所、注文履歴 | 商品の発送、会員向け案内 | EC運営部 | 会員管理システム／退会後1年で削除予定 | 預け先: システム運用会社A（再委託の有無を確認済み） | 16歳未満の会員: 登録時に生年月日を取らないため要確認 |
| 問い合わせ対応記録 | 氏名、連絡先、問い合わせ内容 | 問い合わせへの回答、品質改善 | お客様窓口 | 共有フォルダ／回答完了から2年で削除予定 | 預け先・提供先: なし | 該当なし |
| 発送業務の預け入れデータ | 氏名、住所、電話番号、注文商品 | 商品の梱包と発送 | 物流担当 | 委託先の倉庫システム／発送完了後の消去を契約で確認 | 預け先: 倉庫会社B（契約書の保管場所を記入） | 該当なし |
3. 台帳を作る順番
- 部署ごとに、顧客・従業員・応募者・取引先など、個人データを扱う業務を洗い出す。
- 業務ごとに、データのまとまりを1行にする。中身は写さず、種類・項目・置き場所だけを書く。
- 預け先と提供先を、契約書や利用しているサービスの一覧から拾う。部署が把握していない外部サービスが出やすい。
- 印の列を付け、改正テーマのページで確認する範囲を絞る。
- 政令・規則・ガイドラインが公表されたら、台帳の列と「決まっていないこと」の欄を見直す。確認と見直しの履歴は改正対応の記録簿に残す。
台帳の項目を経営層への報告資料に持ち上げる対応は、経営層への報告の4区分の4節にあります。
4. まだ決まっていないこと
- 台帳の様式や必須項目を定める規定は、確認した資料にはありません。
- 改正の細目（対象の範囲、記録・通知・報告の方法など）は、政令・委員会規則・ガイドラインで定められる見込みの事項があり、公布や公表の月日は未定です。決定状況はまだ決まっていないこと一覧と決定タイムラインで確認できます。
よくある質問
個人データの取扱台帳を作ることは、法律で義務付けられていますか。
「取扱台帳」という名前の書類を作ることを義務付ける規定は、確認した資料には書かれていません。ガイドラインは、個人データの取扱状況を把握するための項目（データベース等の種類・名称、個人データの項目、責任者・取扱部署、利用目的、アクセス権を有する者など）を例に挙げています。第三者提供を行ったときの記録の作成は、法第29条が定めています。
台帳に、個人データそのものを書き込んでよいですか。
書きません。台帳に書くのは、データの種類・項目・置き場所・預け先などの「情報の所在」です。氏名や住所など個人データの中身を台帳に写すと、台帳自体が管理の対象になります。
台帳の様式は、改正で変わりますか。
台帳の様式を定める規定は確認していません。政令・委員会規則・ガイドラインで決まる事項は、台帳の列に影響する可能性があるため、公布や公表のたびに「決まっていないこと」の欄を見直す形が考えられます。
出典
- S-117個人情報保護委員会「ガイドライン（通則編）」 別添10-2・10-3（取扱規程と、データベース等の種類・個人データの項目・責任者・利用目的・アクセス権を有する者などの把握のための項目）（確認日 2026-10-15）
- S-120個人情報保護委員会「ガイドライン（通則編）」 委託先の監督（法第25条関係）、およびe-Gov 個人情報の保護に関する法律 第25条・第29条（確認日 2026-10-15）
- S-119個人情報保護委員会「令和8年改正個人情報保護法」（2026-10-15時点で政令・規則の公布の掲載なし）（確認日 2026-10-15）