ISO27701:2025要求事項の考察A.1.3.2「PII主体に対する義務の決定及び履行」にはどのような対応が必要？

結論

顧客要求や法規制を特定・最新化することに加え、自社がどのように対応するのかを明確にする必要があります。

ISO/IEC27701:2025附属書A.1.3.2は、PII管理者（PII Controller）がPII主体（本人）に対して負う義務を把握し、それを確実に履行するための仕組みを求める要求事項です。

単に法令を収集するだけではなく、

「どの義務が存在し、自社はその義務をどのように実現するのか」

まで整理することが求められています。

A.1.3.2が求めていること

ISO27701:2025附属書A.1.3は、

「PII主体に対するPII管理者の義務」

に関する管理策群です。その中でA.1.3.2は、

• 法令上の義務
• 規制上の義務
• 契約上の義務
• 事業上の義務

を決定し、それらを履行する仕組みを整備することを求めています。

プライバシーマークとの対応関係

関連する要求事項として、

J.1.3「法令、国が定める指針その他の規範」

があります。

プライバシーマークでは、法令や指針を特定し、その内容を参照し遵守するための仕組みを構築することが求められています。

ISO27701との違い

大きな違いは、

「事業上の義務」

を明確に対象としている点です。プライバシーマークでは主として、

• 法令
• 国の指針
• その他の規範

への対応が求められています。一方ISO27701では、それに加えて、

顧客要求や契約上の要求事項

も管理対象として考える必要があります。

「事業上の義務」とは何か

事業上の義務として最も分かりやすい例は、

顧客からの要求事項

です。例えば、

• セキュリティチェックシートへの回答
• 個人情報保護体制の説明
• データ保管場所の確認
• 委託先管理状況の説明

などです。近年では、取引先から詳細なセキュリティアンケートへの回答を求められるケースも珍しくありません。

今後増加が予想される顧客要求

今後は、サプライチェーン全体のセキュリティ管理強化に伴い、顧客要求も増加していくと考えられます。

例えば、令和8年度末から運用開始が予定されている

SCS評価制度（サプライチェーン・サイバーセキュリティ評価制度）

もその一例です。制度の普及が進めば、評価基準への適合が取引条件の一つとなる可能性があります。

つまり、サイバーセキュリティやプライバシーに関する要求そのものが、事業上の義務になっていくと言えるでしょう。

法令の特定と維持も重要

もちろん、法令対応も引き続き重要です。加えて実務では、次のような悩みをよく耳にします。

• どの法令を確認すればよいのか
• 改正情報をどのように把握するのか
• 自社への影響をどう分析するのか

参考となる情報源

法令やガイドラインの確認先としては、

以下のような公的情報が有効です。

• e-Gov法令検索
• 個人情報保護委員会
• プライバシーマーク制度サイト
• 関係省庁の通知・ガイドライン

などです。重要なのは、法令の存在を把握するだけではなく、

その改正が自社業務へどのような影響を与えるかを理解すること

です。

実務上どのような対応が必要か

法令一覧を整備する

まず、自社に適用される法令やガイドラインを整理します。例えば、

• 個人情報保護法
• マイナンバー法
• 業界ガイドライン

などです。

顧客要求を整理する

例えば、

• 契約要求事項
• セキュリティ要求事項
• 監査対応要求

などを管理対象へ含めます。

対応方法を明確化する

要求事項ごとに、

• 誰が対応するか
• どの手順で対応するか
• どの文書で証明するか

を定めます。

定期的に見直す

法改正や取引条件変更に応じて、要求事項一覧や対応内容を更新します。

ISO27701が伝えたいこと

この要求事項の本質は、

「何を守るべきかを知り、それを実現する仕組みを持つこと」

にあります。

法令を集めるだけでは不十分であり、顧客要求を記録するだけでも不十分です。それらを踏まえて、

PII主体の権利保護を実現するための具体的な運用へ落とし込むことが求められています。

まとめ

ISO/IEC27701:2025附属書A.1.3.2「PII主体に対する義務の決定及び履行」では、PII管理者が法令上・契約上・事業上の義務を特定し、それを履行するための仕組みを整備することが求められています。

プライバシーマークのJ.1.3は法令や規範への対応を求めていますが、ISO27701はさらに、

「顧客要求などの事業上の義務」

も管理対象としている点が特徴です。そのため組織には、

• 法令の特定と最新化
• 顧客要求の整理
• 自社の対応方法の明確化
• 継続的な見直し

が求められます。この要求事項は、

「法令を知る」だけでなく、「自社としてどう対応するかを決めて実行する」

という、ISO27701における説明責任と実効性を象徴する管理策と言えるでしょう。

ISO/IEC27701:2025認証取得支援のページはこちら。

ISO/IEC27701:2025への移行支援のページはこちら。

ISO/IEC27701:2025への移行期限に関するコラムはこちら。

プライバシーマークとISO/IEC 27701:2025の違いに関するコラムはこちら。

PIIと個人情報の違いに関するコラムはこちら。

プライバシーマーク認証取得支援のページはこちら。