J.3 計画

個人情報を洗い出す手順を内部規程に文書化し、台帳に整理します。台帳には、項目、利用目的、保管場所、保管方法、アクセスできる人、利用期限、保管期限、件数（概数でよい）を入れます。台帳は少なくとも年1回、必要に応じて見直し、最新の状態を保ちます。台帳は、全体を把握するための手段です。匿名加工情報、仮名加工情報、提供先で個人情報になる個人関連情報も対象になります。
たとえば、お客様名簿、従業員の履歴書、取引先の名刺、防犯カメラの映像、問い合わせフォームの入力内容などが対象です。部署ごとに洗い出すと、漏れが減ります。台帳は一度作って終わりにせず、新しい業務が増えたら更新しましょう。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.3.1.1を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。