ASPIC、中小規模事業者向け「ASPICプライバシー認証サービス」を12月1日より開始

一般社団法人日本クラウド産業協会（ASPIC）は、中小規模の事業者を対象とした「ASPICプライバシー認証サービス」を2026年12月1日より開始すると発表しました。この新しい認証サービスは、個人情報保護法への対応を確実に行い、その運用を継続していくための第三者認証制度です。

背景：個人情報保護の実務を社会全体で底上げ

個人情報保護法は、事業の規模や業種を問わず、個人情報データベースを業務で利用するすべての事業者に適用されます。日本の中小企業は国内企業の大部分を占めており、個人情報保護を社会全体に広めるためには、この多くを占める事業者層が実務を行えるような仕組みが求められています。

個人情報保護委員会が2026年3月に発表した調査結果（従業員100人以下の事業者、有効回答4,661件）では、中小規模事業者において、個人情報保護の担当者がいない、規程やマニュアルが整備されていない、教育や点検が定期的に行われていないといった基本的な運用の不足が明らかになりました。

調査では、回答者の62.4％が個人情報保護の担当者がいないと回答し、個人データ取扱いの規程・マニュアルを整備しているのは22.0％にとどまりました。また、安全管理措置の定期的な見直しは17.8％、個人データの取扱状況の定期的な点検は18.7％、従業者教育の定期的な実施は13.7％と低い数値を示しています。さらに、79.0％の事業者が個人情報保護委員会の存在を知らなかったことも判明しました。

これらの課題として、「何をすればよいかわからない」という声が36.9％、「法令・ガイドラインを理解できる人材がいない」という声が36.1％を占めています。そのため、事業者が具体的に「何を、どのような証拠を用意すればよいか」を理解し、実行できているかを確認する仕組みが必要です。

漏えいリスクと外部サービス利用が生む「管理の空白」

個人情報保護委員会の2025年度年次報告によると、民間事業者からの情報漏えい報告は1万7,139件で、依然として高い水準にあります。情報漏えいが発生すると、報告や公表、本人への対応に大きな負担がかかるだけでなく、取引先や顧客からの信頼も損なわれるため、最低限の予防策を広く普及させることが重要です。

中小規模事業者でも、クラウドサービスや生成AIなどの外部サービスを利用して個人データを扱うことが一般的になっています。しかし、前述の調査で個人データを委託している事業者（421件）を見ると、次のような管理不足が確認されています。

• 契約後の委託先監督を実施していない：65.3％

• 再委託の有無を把握していない：32.8％

• 安全管理に関する契約条項を設けていない：33.7％

これらの課題は、社内の規程を整備するだけでは解決できません。委託先の選定、契約内容、再委託の把握、定期的な確認、そして事故発生時の連絡手順までを、実際の証拠に基づいて確認する仕組みが求められます。

2026年改正個人情報保護法への備え

2026年7月に成立・公布された改正個人情報保護法は、公布から2年以内に施行されることを基本とし、デジタル化やAI利用の進展に対応するための新たなルールが追加されます。主な実務上の論点は以下の通りです。

• データ処理などの委託先について、委託目的の範囲外での利用禁止や委託元への報告など、委託関係のルールがより明確になります。

• 16歳未満の本人に関する手続き、顔の特徴データに関する通知と本人関与、電話番号・メールアドレス・Cookie IDなどの不適切な利用や取得への対応が求められます。

• 悪質な事案に対する命令、刑事罰、課徴金など、実効性を確保するための仕組みが強化されます。

• AI開発などに関わる統計情報の作成・利用に関して新しいルールが整備され、データの目的や流れを把握する必要性が高まります。

ASPICは、改正法の施行までに、中小規模事業者が自社の個人データ、外部への提供、委託・再委託、Cookieなどによる外部送信、生成AIへの入力などを整理できるよう、早期に実務支援と確認の仕組みを整える必要があると考えています。

ASPICプライバシー認証が埋める制度上の空白

この認証制度は、既存の第三者認証制度と競い合うものではありません。個人情報保護への対応が不十分な事業者を減らし、法令遵守から継続的な運用へと段階的に引き上げるための、普及型で段階的な第三者認証制度として位置づけられています。

この認証サービスは、以下のような特徴を持っています。

• 専任の担当者を置きにくい中小規模事業者でも取り組めるように工夫されています。

• 最低限必要な法令遵守と安全管理措置が明確に示されます。

• 規程があるかどうかだけでなく、教育の記録、委託先の管理、事故対応といった実際の実施状況が証拠に基づいて確認されます。

• オンライン審査などを活用することで、費用や準備にかかる負担を抑えられます。

• クラウド、生成AI、外部委託、Cookie・外部送信といった現代的な課題も確認対象に含まれます。

• 認証後も定期的な確認と改善を促し、必要に応じてより上位の認証へと進むことができます。

ASPICプライバシー認証の4つの特徴

1. 実施すべき事項と証拠を明確化：規程の有無だけでなく、教育記録、委託先管理、事故対応などの実施状況を証拠に基づいて確認します。
2. 現代のデータ利用を重点確認：クラウド利用、外部委託・再委託、Cookieなどによる外部送信、生成AIへの入力・利用管理を審査の対象に含めます。
3. 負担を抑えたオンライン中心の審査：ゴールド認証はオンライン審査を基本とし、不備があれば是正後に認証されます。
4. 伴走支援と継続的な高度化：ASPICが認定する「認定指導員」が、所定の研修・試験を経て取得準備を支援し、認証後も毎年確認と改善を促します。

2段階認証の概要

中小規模事業者の取り組み状況に合わせて、法令遵守の基礎を確認する「ゴールド認証」と、体制や運用の定着を確認する「プラチナ認証」の2段階が設けられています。

ゴールド認証の費用は99,000円（税込）で、認証の有効期間は1年です。プラチナ認証の費用や制度の詳細は、決定次第ASPIC公式サイトで公表される予定です。

認証取得の流れ

認証取得には、以下のルートが用意されています。

●ゴールド認証（通常ルート）
申込み → 書類提出 → オンライン審査 → 判定会議 → 認証

●ゴールド認証（支援ルート）
申込み → 認定指導員による取得支援・書類確認 → 書類提出 → 判定会議 → 認証

●プラチナ認証
申込み → 書類提出 → 現地審査 → 判定会議 → 認証

●プラチナ認証（支援ルート）
申込み → 認定指導員による取得支援・書類確認 → 書類提出 → 現地審査 → 判定会議 → 認証

認証取得後も支えるオプションサービス

ASPICは、認証取得だけでなく、導入から運用、教育までをサポートするオプションサービスも提供します。

• 教育・eラーニング：役割に応じた集合研修やeラーニングを提供します。

• 規程・体制構築コンサルティング：規程、安全管理措置、管理体制の整備やプラチナ認証への移行を支援します。

• 法改正モニタリング・毎年更新支援：法令やガイドラインの改正を踏まえた更新運用を支援します。

• 委託先点検・監査サポート：外部委託先の点検や実地確認を支援します。

プライバシー認証に取り組むASPICの基盤

ASPICは、クラウド分野の専門知識、18年にわたる情報開示認定制度の運用実績、有識者による公正な審査体制、そして個人情報を適切に管理する組織体制を持っています。これらの基盤を活かし、クラウドや生成AIの時代に対応したプライバシー認証を実施します。

• 1999年の設立以来、ASP・SaaS・クラウドの普及促進と市場拡大、安心・安全なクラウドサービスの推進に取り組んできました。

• クラウドサービス情報開示認定機関として18年の実績があり、2025年6月時点で累計336サービス、225事業者を認定しています。

• 医療情報、特定個人情報、AI、IoT、生成AIなど、高度な情報管理が求められる分野の認定制度を運営しています。

• 総務省と連携し、クラウドサービスの安全・信頼性、情報セキュリティ、医療情報、AIなどに関するガイドラインや情報開示指針の策定に長年関わっています。

• 大学教授、弁護士、業界・関連団体の有識者などで構成される審査委員会により、専門性、客観性、第三者性が確保されています。

• 当該分野で実績のある他の団体との連携を通じて、事業を確実に推進します。

今後の予定

ASPICは今後、申請様式、審査基準、認証マークの使用条件、認定指導員制度の研修・試験要件などの運用に関する詳細を整備します。申請受付開始日、説明会の開催日程、専用ページなどは、決定次第ASPIC公式サイトで発表されます。

一般社団法人日本クラウド産業協会（ASPIC）について

• 名称：一般社団法人日本クラウド産業協会（ASPIC）

• 設立：1999年11月

• 会長：河合 輝欣

• 所在地：〒141-0031 東京都品川区西五反田7-17-7 五反田第1noteビル5F

• 主な活動：クラウド分野のガイドライン・指針策定、情報開示認定制度、クラウドアワード、研究会・交流会など

• URL：https://www.aspicjapan.org/