2024年4月2日
Pマークの委託先管理を簡単にするたった3つの方法
Pマーク(プライバシーマーク)における委託先管理とは、個人情報を取り扱う委託先企業や団体の適切な管理・監督・指導を行うことです。最低でも年に1回は委託先の管理を行う必要があります。
また、個人情報の取り扱いにおいて、「委託」と「提供」を誤解しやすいため、注意が必要です。
2023年6月13日
プライバシーマーク(Pマーク)のPMS運用では、「個人情報の特定」や「内部監査」など、大きく分けて7つの要求があります。
これらを運用することにより、プライバシーマーク(Pマーク)では、個人情報保護の体制強化や漏洩防止を図ることができます。
プライバシーマーク(Pマーク)とは、個人情報保護体制に関する認証制度です。
日本産業規格である「JIS Q 15001個人情報保護マネジメントシステム-要求事項」で何をしなければならないのかが記載されています。
その内容に則り、個人情報について適切な保護をとる体制を整備していく必要があり、その活動を審査されます。プライバシーマークが付与されることで、体制が整っていることを示すことが出来ます。
Pマークの基本情報、目的について詳しくはこちらの記事をご覧ください。
PMSとは、個人情報保護マネジメントシステムのことで、Personal Information Protection Management Systemsを翻訳したものです。
頭文字をとって、通称PMSと呼ばれています。
このマネジメントシステムでは、PDCAサイクルを回すことにより、個人情報保護の体制強化や個人情報の漏洩防止を図ることが出来ます。
例えば、組織内でどのような個人情報の取り扱いがあるのか洗い出しを行い、それぞれの個人情報の取り扱いにどのようなリスクがあるのかを特定します。
特定したものが実態と相違がないかチェックを行い、マネジメントレビューを行うことによって、個人情報を扱う際のリスク対策をすることが出来ます。
プライバシーマーク(Pマーク)には運転免許証のように有効期限があります。
2年間が有効期限で、免許証更新のように更新審査があります。
更新審査を受けるためには、継続的にPDCAを回しながら、個人情報保護のためのマネジメントシステム運用が求められます。
これをPMS運用と呼ぶことがあります。
更新審査で見られることは個人情報保護に向けてPMS運用ができているかどうかです。
具体的に更新審査では、2年間の運用ができているかを運用記録を基に見られます。
個人情報の取扱いに問題がないかをチェックされます。
近年、個人情報保護への関心の高まりもあり、制定・施行された法律・政令を事業者が遵守できているかといった点も審査の対象になっています。
個人でも運転免許証の更新時に前回の免許更新時に以降に制定・施行された道路交通法のアナウンスがあるのと似たようなものです。
また、更新審査を受けたあとには必ず指摘事項文書が届きます。
指摘事項文書の内容は、現地審査での改善事項をまとめたものです。
この指摘事項に対応することで、次からの運用をより良いものにしていきます。
Pマーク更新時の申請、審査の流れについて、詳しくはこちらの記事で解説しております。
プライバシーマーク(Pマーク)の運用で要求されている事は大きく分けて7つあります。
「個人情報の特定」
「法令、国が定める指針その他の規範」
「リスクアセスメント及びリスク対策」
「委託先の監督」
「認識」
「内部監査」
「マネジメントレビュー」
これらを上から順に計画を立てて実施していくことで運用を行うことができます。
新規事業を開始したり、逆に事業を撤退することで取扱う個人情報の種類や量が増減することがあります。
最低でも年1回、管理している個人情報の一覧を見直して管理しなくなったものは削除し新規追加や取扱量の増減の反映をしなければなりません。
ここで最低1回というところがポイントです。
新規事業の開始のタイミングによっては個人情報の見直しが1年先ってこともあるので、そういった場合は随時、管理している個人情報の一覧の更新かけてくださいという意図があります。
国に憲法があり法律・政令が従う形であるように、プライバシーマーク(Pマーク)の運用マニュアルやルールは前述した通り制定・施行された法律・政令を反映させて改定していくことになります。
法令を遵守していない個人情報保護のマニュアルやルールを運用したところで意味がない状況になります。
また国や業界団体が個人情報の取扱に関するガイドラインを公布していることもあります。自社に該当するかを確認し必要があれば反映することでより個人情報保護に向けたのマニュアルやルールを作成することができます。
適合性のチェックとは「JIS Q 15001個人情報保護マネジメントシステム-要求事項」というプライバシーマーク(Pマーク)の運用マニュアルやルールが実際に事業者で作成したマニュアルで満たされているかをチェックするものです。
「JIS Q 15001で要求されているルールが満たされていないと作成したマニュアルやルールに意味がないですよね」ということです。
難しい表現でしたが料理のレシピで考えると簡単かと思います。
史上最高においしいハンバーグを作るためのレシピがあるとします。
更においしいオリジナルのハンバーグをレシピを作る上で、史上最高においしいハンバーグを構成する要素を1つずつ守っているかチェックします。
このチェックで「史上最高においしいハンバーグを構成する要素を守っている」ということが適合という意味です。適合していないハンバーグを作ってもベースが史上最高でないので、そもそも史上最高を超えるレシピにならないということです。
まとめるとオリジナルレシピが史上最高レシピの要素を満たしているかをチェックすることが、自社のマニュアルやルールが「JIS Q 15001個人情報保護マネジメントシステム-要求事項」に適合しているかのチェックすることのイメージです。
PDCAを回して最後には必ず代表者へ運用状況を報告します。
理由は個人情報保護にあたってトップがリードして守るような体制を『A.3.2 個人情報保護方針』で宣言する形になっています。そのため運用状況での問題点や内部監査での指摘事項などを良いところ、悪いところを
含めて代表者に報告することで次のPDCAを回す指示が出せるような仕組みになっています。
プライバシーマーク(Pマーク)は、1度審査に合格にしたから終わりでなく、継続的にPDCAを回しながら個人情報保護のための運用が求められます。
取得後も運用をしながら、関連法令をチェックし常に最新の状態にしたマニュアルやルールでPDCAを回して個人情報保護を高めていきましょう。
← 記事の内容をまとめた動画はこちら!!
\ フォローしてね /
今聞きたいこと、今すぐ回答!
最短即日・全国対応いたします!
お問合せは
こちらから
全国どこでもオンラインで対応!
気軽にご相談ください!
相談予約は
こちらから
8,000社以上の支援実績に裏付けされた、
弊社サービスの概要を紹介しております。
資料の内容
認証パートナーの専門コンサルタントが御社の一員となって事務局業務を行います。
お客様の作業は審査機関との窓口役だけ。それ以外はすべてお任せください。
個人情報保護マネジメントシステム
高い保護レベルの個人情報保護マネジメントシステムを確立し、運用していることを示します。
認証パートナーなら、個人情報漏えい防止の観点も踏まえたサポートを実現します。
品質マネジメントシステム
品質マネジメントシステムは一貫した製品・サービスを提供し、顧客満足を向上させるための規格です。
認証パートナーなら、負担が増える形だけのISOではなく、より現場の実態に沿ったISOを実現します。
情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステムは企業・組織の情報を守る規格です(ISMSとISO27001は同義)。
認証パートナーなら、情報セキュリティリスクへの対応計画、緊急時の対応計画踏まえPDCAサイクル回せるような仕組み作りを実現します。
環境マネジメントシステム
環境マネジメントシステムは環境を保護し、変化する環境状態に対応するための組織の枠組みを示します。
認証パートナーなら、課題になりがちな環境法令の対応についても一緒にサポート致します。
ISO27017やISO22000など各種規格もお得に 新規取得や運用・更新ができます。ご気軽にお見積りください。
ISOやプライバシーマークを同時に認証取得すると費用や工数を抑えることができます。安心してご相談ください