更新日：2026年9月23日
個人データの処理に関する影響評価書は、汎用のひな形に会社名を差し替えれば完成するものではありません。処理主体と役割、データの種類、目的、受領者、システム、保管・移転先、リスクと対策が実際の運用に合っている必要があります。誰が作成し、当局に提出するかも役割に応じて整理します。
提出と更新
法定の提出先・期限を個人データ保護法91/2025/QH15と政令356/2025/NĐ-CPの該当規定で確認し、開始時期と変更履歴を残します。新しいCRMの導入、データ項目の追加、処理目的や国外移転先の変更があれば更新要否を検討します。ソフトウェアごとに機械的に一通ずつ作成するか、企業全体で一通にするかという形式論より、処理の範囲と責任分担が追跡できる構成が重要です。
評価書、委託契約、データフロー図、情報システムのセキュリティレベル資料には共通の情報を使えますが、それぞれの法的目的は異なります。提出後も本人の請求、アクセス管理、事故対応の運用記録を整備してください。
