表1
表2
1.背景―個人情報保護の実務を社会全体で底上げ
個人情報保護法は、規模や業種を問わず、個人情報データベース等を事業に利用する事業者に適用されます。中小企業庁の集計では、日本の中小企業は336万4,891社(2021年6月時点)で、国内企業の大部分を占めます。個人情報保護を社会全体に定着させるには、この大きな事業者層の実務を底上げする仕組みが不可欠です。
個人情報保護委員会が2026年3月に公表した調査(従業員100人以下の事業者、有効回答4,661件)では、担当者、規程、教育、点検など、基本的な運用の不足が明らかになりました。
調査項目 ： 比率
個人情報保護の担当者がいない ： 62.4％
個人データ取扱いの規程・マニュアルを整備： 22.0％
安全管理措置を定期的に見直している ： 17.8％
個人データの取扱状況を定期的に点検 ： 18.7％
従業者教育を定期的に実施 ： 13.7％
個人情報保護委員会を知らなかった ： 79.0％
出所：個人情報保護委員会「中小規模事業者における個人情報等の安全管理措置に関する実態調査」(令和7年度)
また、課題として「何をしてよいかわからない」36.9％、「法令・ガイドラインを理解できる人材がいない」36.1％が上位となっています。周知に加え、事業者が「何を、どの証拠まで用意すればよいか」を具体的に理解し、実施できているかを確認する仕組みが必要です。
2.漏えいリスクと外部サービス利用が生む「管理の空白」
個人情報保護委員会の2025年度年次報告では、民間事業者等からの漏えい等報告の処理件数は1万7,139件で、前年度の1万9,056件から減少したものの、依然として高い水準にあります。漏えい事故が発生した場合、報告・公表・本人への対応に多大な負担が生じ、取引先や顧客の信頼も損なうため、最低限の予防措置を広く定着させる必要があります。
中小規模事業者でも、クラウドサービスや生成AIなどの外部サービスを利用して個人データを扱うことが一般化しています。一方、前記調査で個人データを委託している事業者(421件)を見ると、次の管理不足が確認されています。
・契約後の委託先監督を実施していない ： 65.3％
・再委託の有無を把握していない ： 32.8％
・安全管理に関する契約条項を設けていない： 33.7％
この課題は、社内規程の整備だけでは解消できません。委託先の選定、契約、再委託の把握、定期的な確認、事故時の連絡手順までを、実際の証拠で確認することが重要です。
3.2026年改正個人情報保護法への備え
2026年7月に成立・公布された改正個人情報保護法は、公布後2年以内の施行を基本とし、デジタル化・AI利用の進展を踏まえた規律を追加します。主な実務上の論点は次のとおりです。
・データ処理等の委託先について、委託目的の範囲外利用の禁止や委託元への報告など、委託関係の規律が明確化されます。
・16歳未満の本人に関する手続、顔特徴データに関する通知・本人関与、電話番号・メールアドレス・Cookie ID等の不適正利用・取得への対応が求められます。
・悪質事案に対する命令、刑事罰、課徴金など、実効性確保の仕組みが強化されます。
・AI開発等に関係する統計情報の作成・利用について新たなルールが整備され、データの目的・流れを把握する必要性が高まります。
ASPICは、改正法の施行までに、中小規模事業者が自社の個人データ、外部提供、委託・再委託、Cookie等の外部送信、生成AIへの入力を棚卸しできるよう、早期に実務支援と確認の仕組みを整える必要があると考えています。
4.ASPICプライバシー認証が埋める制度上の空白
本制度は、既存の第三者認証と競合するものではありません。個人情報保護への未対応層を減らし、法令遵守から継続的な運用へと段階的に引き上げるための普及型・段階型の第三者認証制度として位置付けます。
・専任担当者を置きにくい中小規模事業者でも取り組める
・最低限必要な法令遵守と安全管理措置を明確に示す
・規程の有無だけでなく、教育、委託先管理、事故対応等の実施証拠を確認する
・オンライン審査等により費用と準備負担を抑える
・クラウド、生成AI、外部委託、Cookie・外部送信等の現代的課題を確認する
・認証後も定期確認と改善を行い、必要に応じて上位認証へ移行できる
画像1: https://www.atpress.ne.jp/releases/630944/LL_img_630944_1.png
表1
※ISO/IEC 27018：クラウドサービス上の個人情報保護に関する国際規格 ※ISO/IEC 42001：AIマネジメントシステムに関する国際規格
5.ASPICプライバシー認証の4つの特徴
1 実施すべき事項と証拠を明確化：規程の有無だけでなく、教育記録、委託先管理、事故対応などの実施証拠を確認します。
2 現代のデータ利用を重点確認：クラウド、外部委託・再委託、Cookie等の外部送信、生成AIへの入力・利用管理を審査対象に含めます。
3 負担を抑えたオンライン中心の審査：ゴールド認証はオンライン審査を基本とし、不備がある場合は是正後に認証します。
4 伴走支援と継続的な高度化：所定の研修・試験を経てASPICが認定する「認定指導員」が取得準備を支援し、認証後も毎年の確認と改善を促します。
6.2段階認証の概要
中小規模事業者の取組状況に応じて、法令遵守の基礎を確認する「ゴールド認証」と、体制・運用の定着を確認する「プラチナ認証」を設けます。
画像2: https://www.atpress.ne.jp/releases/630944/LL_img_630944_2.png
表2
※プラチナ認証の費用および制度細目は予定であり、正式決定時にASPIC公式サイトで公表します。
7.認証取得の流れ
●ゴールド認証(通常ルート)
申込み → 書類提出 → オンライン審査 → 判定会議 → 認証
●ゴールド認証(支援ルート)
申込み → 認定指導員による取得支援・書類確認 → 書類提出 → 判定会議 → 認証
●プラチナ認証
申込み → 書類提出 → 現地審査 → 判定会議 → 認証
●プラチナ認証(支援ルート)
申込み → 認定指導員による取得支援・書類確認 → 書類提出 → 判定会議 → 認証
8.認証取得後も支えるオプションサービス
ASPICは、認証取得だけでなく、導入・運用・教育までを支援するオプションサービスを提供します。
・教育・eラーニング：役割に応じた集合研修・eラーニングを提供
・規程・体制構築コンサルティング：規程、安全管理措置、管理体制の整備とプラチナ認証への移行を支援
・法改正モニタリング・毎年更新支援：法令・ガイドラインの改定を踏まえた更新運用を支援
・委託先点検・監査サポート：外部委託先の点検や実地確認を支援
9.プライバシー認証に取り組むASPICの基盤
ASPICは、「クラウド分野における専門性」「18年にわたる情報開示認定制度の運用実績」「有識者による公正な審査体制」「個人情報を適切に管理する組織体制」を備え、クラウド・生成AI時代に対応したプライバシー認証を実施する基盤を有しています。
・1999年の設立以来、ASP・SaaS・クラウドの普及促進と市場拡大、安心・安全なクラウドサービスの推進に取り組んできました。
・クラウドサービス情報開示認定機関として18年にわたる実績があり、2025年6月時点で累計336サービス、225事業者を認定しています。
・医療情報、特定個人情報、AI、IoT、生成AIなど、高度な情報管理が求められる分野の認定制度を運営しています。
・総務省と連携し、クラウドサービスの安全・信頼性、情報セキュリティ、医療情報、AI等に関するガイドラインや情報開示指針の策定に長年関わっています。
・大学教授、弁護士、業界・関連団体の有識者等で構成する審査委員会により、専門性、客観性および第三者性を確保します。
・当該分野で実績のある他団体との連携により、着実な事業推進を図ります。
10.今後の予定
ASPICは今後、申請様式、審査基準、認証マークの使用条件、認定指導員制度の研修・試験要件などの運用細目を整備します。申請受付開始日、説明会日程、専用ページ等は、決定次第ASPIC公式サイトでお知らせします。
■一般社団法人日本クラウド産業協会(ASPIC)について
名称 ： 一般社団法人日本クラウド産業協会(ASPIC)
設立 ： 1999年11月
会長 ： 河合 輝欣
所在地 ： 〒141-0031 東京都品川区西五反田7-17-7 五反田第1noteビル5F
主な活動： クラウド分野のガイドライン・指針策定、情報開示認定制度、
クラウドアワード、研究会・交流会等
URL ： https://www.aspicjapan.org/
