１認定個人情報保護団体は、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項又は仮名加工情報若しくは匿名加工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（以下この節及び第6章において「個人情報保護指針」という。）を作成するよう努めなければならない。
２認定個人情報保護団体は、前項の規定により個人情報保護指針を作成したときは、個人情報保護委員会規則で定めるところにより、遅滞なく、当該個人情報保護指針を個人情報保護委員会に届け出なければならない。これを変更したときも、同様とする。
３個人情報保護委員会は、前項の規定による個人情報保護指針の届出があったときは、個人情報保護委員会規則で定めるところにより、当該個人情報保護指針を公表しなければならない。
４認定個人情報保護団体は、前項の規定により個人情報保護指針が公表されたときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならない。
法第54条第2項の規定による届出は、別記様式第5による届出書によるものとする。
法第54条第3項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
認定個人情報保護団体は、法第54条第3項の規定による公表がされた後、遅滞なく、インターネットの利用その他の適切な方法により、同条第2項の規定により届け出た個人情報保護指針を公表するものとする。
認定個人情報保護団体は、法の定める規律が一般法としての必要最小限度のものであることを踏まえ、対象事業者の個人情報等の適正な取扱いを確保し、分野ごとにより高い水準の個人情報保護が図られるよう、取り扱う個人情報等の性質、利用方法、取扱いの実態等に即した自主ルールとして、個人情報保護指針の作成に努めなければならない。
個人情報保護指針は、法の趣旨に沿って策定される必要があるが、単に法の内容を落とし込むのみならず、事業分野等の実態に応じた自主ルールとして、利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続、仮名加工情報、匿名加工情報に係る作成の方法、その情報の安全管理のための措置等について、細目や事例を盛り込んでいくことが望ましい（※）。
個人情報保護指針における自主ルールの織り込みについて、例えば、当該事業分野における個人関連情報なども含めた適切な取扱いを促進するための各種の取組を自主的に実施することは、認定個人情報保護団体制度の趣旨を適切に踏まえた取組と考えられる。
①当該認定個人情報保護団体としては、通則ガイドライン等の軽微な改正や当該事業分野にほとんど関係のない改正も含めて、その都度、個人情報保護指針にこれを反映させるといった煩雑な対応が求められる。また、実際には、個人情報保護指針への反映までにある程度の時間を要することになるほか、さらにこうした反映を失念した場合には、その個人情報保護指針が、通則ガイドライン等とは異なる不正確な内容のままとなってしまうことになる。
②対象事業者にとっても、個人情報保護指針の内容を理解し遵守していく上で、上述①の事情により、通則ガイドライン等を正確に反映していない個人情報保護指針の遵守を強いられることになりかねないほか、僅少な自主ルールの該当箇所がどこにあるのか読み解くための非効率な作業負担を強いられることになってしまうことになる。
このため、こうした場合の個人情報保護指針については、例えば、通則ガイドライン等を複写するのではなく、当該指針が通則ガイドライン等を基礎としているものであることと、当該指針に定めのない部分は通則ガイドライン等が適用されることを明示した上で、自主ルール部分がない場合には、その旨を明確にすることで足り、僅少の自主ルール部分があれば、これのみを記載することで足りる。
認定個人情報保護団体は、個人情報保護指針の内容が公平かつ適正なものとなるよう、事業者のみならず、個人情報等に係る本人の側である消費者の意見を代表する者をはじめ、多様な関係者の意見を聴いて、個人情報保護指針を策定していくことが望ましい。
また、各分野の情勢変化に応じて、不断に見直しを図っていくことが望ましい。
認定個人情報保護団体は、個人情報保護指針を作成したとき（変更したときを含む。）は、遅滞なく、個人情報保護委員会に届け出なければならない。
当該届出があったときは、個人情報保護委員会は、インターネットの利用その他の適切な方法により当該個人情報保護指針を公表することとなる。また、当該公表がされた後、認定個人情報保護団体は、インターネットの利用その他の適切な方法により個人情報保護指針を公表（※）する必要がある。
認定個人情報保護団体は、対象事業者に個人情報保護指針を遵守させるために、必要な指導、勧告等を行なわなければならない。
注
（※）個人情報保護指針の策定上の留意点として、自主ルール部分がない場合に、通則ガイドライン等を単にそのまま網羅的に記載することや、自主ルール部分が僅少である場合に、通則ガイドライン等の網羅的な記載に加え、その該当箇所が明確ではない記載振りとすることは、次の理由により、適当ではない。
（※）基本的には「インターネットの方法」による公表が望ましいが、認定個人情報保護団体の特性などにより、当該方法以外の適切な方法による公表も可能である。