１．2022年4月から審査の内容が変わる？

2021年8月と2022年1月、２回に渡ってJIPDECより新しい構築・運用指針が公表されました。
2022年4月以降にPマーク審査を受ける全ての事業者は、新審査基準での審査対応が必要になります。

というのも「個人情報保護マネジメントシステム構築・運用指針」に改正個人情報保護法の内容が追加された「個人情報保護マネジメントシステム構築・運用指針」が公表されたのです。

今回は、2022年4月に施行される改正個人情報保護法への対応やプライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針について一緒に確認していきましょう。

２．プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針の概要

今回公表された変更内容は、規格改訂ではなく「運用指針」の改定です。

『これまで通りの要求事項をより分かりやすい内容に落とし込んだので、この内容を見ながらPマークを運用し直していってね』という内容です。

そもそも、これまでのプライバシーマーク（Pマーク）制度では『JIS附属書A』と言われる、規格要求事項（JIS Q 15001:2017）に対しての管理目的と管理策が記された規程を基に、審査では実際の取り組み内容が確認されていました。

～2022年3月31日

規格要求事項の本文（JIS本文）の内容については、審査時にヒアリングで確認する等の対応がされていたものの、
根本的なJIS本文についての考え方や、「じゃあ実際どうすればいいの？」といった具体的な実施内容はイマイチよく分からないような状態でした。

附属書Aの管理策を実施すれば本文の要求事項が満たされるようになっていたので、附属書Aの内容しか把握していなかった方もいらっしゃるのではないでしょうか。

これらのことから、
JIS本文の内容と附属書Aの内容を紐づけし、より具体的な実施内容と関係性を明確にした、「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」が公表されることとなりました。

2022年4月1日～

３．2022年施行の改正個人情報保護法への対応 どのルールを変える必要があるか

2021年8月の「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」を基にさらに個人情報保護法の改正を含む内容が2022年1月19日に指針に追加されました。

改正個人情報保護法の大まかなポイントは以下です。

（１）本人の権利保護の強化
・開示請求がこれまでよりも簡単にできるようになる

（２）事業者の責務の追加とペナルティの強化
・個人情報漏えい時に個人情報保護委員会への報告が義務化される
・法定刑・罰金刑の最高額が引上げされる

（３）データ利用活用の促進
・仮名個人情報の登場

（４）個人関連情報の新設
・cookie等の第三者提供において提供先で個人情報となる場合、
本人の同意取得が必要になる

（５）個人情報の利用と提供のルール強化
・法定刑・罰金刑の最高額が引上げされる

（６）外国事業者に対しての提供の条件追加
・提供先の取り扱い状況の定期的な確認及び情報提供の義務

また、2022年1月にJIPDECから公表された「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」の現行審査基準との対応表を確認すると改正個人情報保護法の改訂対応内容がわかりやすくなっていますね。
では運用における具体的な変更箇所について例をあげて確認していきましょう。

（１）の開示請求を例にあげると、これまでは原則開示請求は紙媒体での請求に限られていました。
しかしながら、今回からデータでの受付も可能とし、これらを「開示請求する本人が把握できるようにしておくことが重要」であるとしています。

あなたの会社のHPに開示請求についての記載はどうなっていますか。
もしかしたらHP修正が必要となってくるかもしれませんね。
改正個人情報保護法への対応について不安や疑問のある方は、専門的な知識を持っているコンサルタントへの相談もおすすめです。ぜひお気軽にお問い合わせください。

４．これからの運用スケジュール

新運用指針の公表が2022年1月のため、実質の移行期間はたったの3か月しかありません。
大まかなスケジュールは下図をご覧ください。

◆図◆

※【JIPDEC】2021年8月30日：『プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針の公表および審査基準の改定について』をもとに作成

公表された運用指針と照らし合わせながら、自社のルールの見直しをしていくことは少なからず必要になってくるでしょう。

2022年4月1日以降の申請から新審査基準での審査がスタートします。
4月1日以降で新指針・改正法（詳細は３．どのルールを変える必要があるかで説明しています）が未対応・不適合だった場合は指摘事項となりますが、変更案等の計画書が確認できれば指摘にはなりません。（計画は原則3か月以内）

しかしながら、公表されたからすぐに対応！というわけではなく、
2022年3月31日までの運用記録は現行基準・現行法の実績が確認されますのでご注意ください。

まとめ

・2021年8月の公表は要求事項の考え方をわかりやすくまとめ直したものである
・2022年1月の公表は8月に公表された内容を基に改正個人情報保護法の内容が追加された
・HP等、改正内容に対応しなければならない点がある

いかがでしたでしょうか。
今回の公表は、
改正個人情報保護法が「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」に追加されたという内容でした。

新たな対応が必要な項目もあり、移行期間はたったの3か月しかないことは注意が必要です。

改正個人情報保護法の把握、そしてそれに基づいたPマーク運用の整備等、必要であれば専門的な知識を持っているコンサルティング会社への相談をしてみることが近道になるかもしれません。
ぜひお気軽にお問い合わせください。

ISO・Pマークについてのお悩みはありませんか？

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン
  相談予約

ISO・Pマークについてのお悩みはありませんか?

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン相談予約