J.1 組織の状況

範囲は、会社の事業で使っているすべての個人情報の取り扱いです。「一部の部署だけ」「一部の事業だけ」という決め方ではなく、すべてが対象になります。決めた範囲は文書にして、必要なときに見られる状態にしておきます。匿名加工情報と仮名加工情報も範囲に含めます。また、渡した先で個人情報になることが想定される「個人関連情報」も、範囲に含めます。
たとえば、お客様の情報、従業員の情報、採用応募者の情報、取引先担当者の名刺など、会社が扱う個人情報はたくさんあります。「うちは関係ない」と思い込まず、まず洗い出してから範囲を決めましょう。範囲の文書は、審査でも最初に確認される大事な書類です。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.1.4を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。