2024年4月11日
Pマークは認証取得して終わりではなく、継続して運用を行う必要があります。Pマーク運用でやることは大きく11項目で、次回の審査まで２年分PDCAサイクルを回しましょう。
その中でも重要なのは個人情報管理台帳の見直しです。年に1回は見直しを行い、最新の状態を保つ必要があります。
プライバシーマーク（Pマーク）は、運転免許証と同じく、一定の有効期限が設けられています。その期間は2年で、その間に更新審査を受ける必要があります。
更新審査を受けるためには、個人情報保護のためのマネジメントシステムを継続的に運用し、PDCAサイクルを回すことが求められます。これを「PMS運用」と呼ぶこともあります。
更新審査では、過去2年間の運用記録を基に、個人情報の取扱いに問題がないかどうかが確認されます。近年、個人情報保護に対する社会的な関心が高まる中、事業者が新たに制定・施行された法律や政令を遵守しているかどうかも審査の一部となっています。
以下に運用で行うことを大きく11項目に分けて述べていきます。
プライバシーマーク（Pマーク）の定期運用をするために、まず年間のスケジュールを作成しましょう。
11個を運用していくにあたり、これをいつのタイミングで実施するのか、
誰が実施するのかを必ずスケジューリングしておきましょう。
コツとしては、審査までの2年分を立てるということと、申請期限から逆算して立てておくということです。
仕事上の個人情報の取り扱い内容や数量、方法などが変更になっているかと思いますので、1年に1回は最新の状態にできるようにしましょう。
その中でも個人情報名・属性・利用目的・保管方法・保管場所・アクセス権限・利用期限・廃棄方法は業務のやり方が変更すると内容も変わってきます。見落としがちになる為、必ず業務の流れを確認しながら見直しをしましょう。
特に注意すべき点としては、取り扱う個人情報や件数等が明確でないため、変更がないと思い込みがちですが、業務の進行方法（システムの導入、媒体、管理方法）が変わっていることを見落とすことがあります。したがって、業務フローに従って見直しを行うことが重要です。
自社に該当する法令が変わっていたり、把握していた法令の改訂がある可能性があるので、1年に1回は最新状態にしましょう。
この項番では「法令」「国が定める指針」「その他の規範」を把握する必要があり、事業者が自らの業務に関連のある範囲で参照すべき法令等を特定しなければなりません。
事業者が遵守すべき「法令、国が定める指針その他の規範」を特定し、その内容を理解しておくことが重要になります。
どういうものが該当するかというと「法律や地方自治体が定める条例」「法律ではないが、国が定めて、事業者が遵守しなければならない通達や指針」「事業者が所属する業界団体などが定めるガイドライン」等を見直しする必要があります。
規格では 「3.4.2.5 個人情報を3.4.2.4以外の方法によって取得した場合の措置」に基づけばよく、利用目的が本人に対して通知または公表されていれば、同意を得ることは不要です。
ところが、自社の主務官庁や所属する業界団体が発行するガイドラインなどにおいて、お問い合わせフォームでの個人情報の取得においては、HP上で利用目的を通知 し、HP上で同意を得ることを求めていた場合、それに従うことが必要です。
もし、あらかじめこれらのガイドラインの内容を理解しておくことができなければ同意を得ない、という大きなリスクを抱えることになります。
このように、個人情報に関わるリスク分析を実施する上では、事業者が遵守すべき「法令、国が定める指針その他の規範」を特定し、その内容を理解しておくことが重要にな
２．個人情報台帳の見直しや３．法規制一覧で更新した情報をもとに、リスクの見直し、対策の見直し、残留リスクの見直しをしましょう。
リスク分析の見直しは、個人情報保護をしていくときに大事なフェースです。
自社で取り扱っている個人情報がどんなリスクにさらされているのか、そのリスクに対して自社は何をしていくのかをここでしっかり決めましょう。
年間スケジュールでも計画はしていますが、ここでは監査と教育について、より詳細な計画を立てましょう。
特に管理者や事務局だけではなく、組織内の人を巻き込む必要があるので、無理のない計画を立てるようにしてください。
個人情報台帳の見直しなどによって、新たな委託先や現状の委託先の取り扱いしている個人情報や内容が変わっている可能性があります。
見直し、再評価を実施するようにしましょう。
個人情報保護教育も忘れずに実施しましょう。
規格要求に記載のある4項目を、全従業員、必要な場合には関係者に教育を実施します。
教育を実施した記録と、各対象者の理解度をはかったテストなどを集めておくようにしてください。
運用の確認は取得のときに決めた運用状況を各部門や各階層で確認するものです。
残留リスクが顕在化してないか、リスク対策が実施できているかなどを確認しましょう。
例えば入退室管理や来訪者管理などが、漏れなく実際に実施できているかを確認することです。
実施するべき監査は大きく分けて2点あります。
要求事項と文書を比較、評価する文書監査、文書・ルールやリスク分析で実施することに決めた対策と運用状況を比較、評価する運用監査の2点を実施しましょう。
作成した監査計画をもとに漏れなく実施できるようにしましょう。
マネジメントレビューを実施しましょう。
個人情報保護マネジメントシステムの運用状況や組織を取り巻く状況などをトップにインプットしてアウトプットをもらいましょう。 特にトップの意思決定が必要になったときは注意です。トップのスケジュール調整が必要なため、前々から段取りして進めるようにしましょう。
わかりやすいところでは、８．運用の確認や９．監査ででてきた不適合や課題を再発しないように対策を打っておきましょう。
不適合や課題を見つけたのに放っておくというのは、運用の状態としてはよろしくありません。
「プライバシーマーク（Pマーク）運用においてやること11点」を説明してきましたが、その中でも
年間のスケジュールを作成・個人情報管理台帳の見直し・リスク分析の見直しに特に重点をおきましょう！年間スケジュールではまずは運用の計画を立てることにより、いつ誰が何をするのかが明確になり運用を進めやすくなります。
特に、個人情報管理台帳の見直し・リスク分析の見直しはリモートワーク等の業務のやり方も変わって来ている企業も多いため、業務フローから見直しすることで隠れていたリスクを把握することができます。
「プライバシーマーク（Pマーク）運用において行うべき11のポイント」を説明してきました。 これらの11のポイントは、審査で必ず確認されるものです。全てを漏れなく実施できるよう、計画的に進めましょう。
さらに、2年に1回はこれに加えて、審査に向けた申請書類の作成や審査対応も必要になります。直前になって慌てて準備・・・なんてことがないよう、前もって準備を進めておきましょう。
ISO・Pマーク認証更新でお悩みの方へ
認証パートナーは、8000社を超える企業様に認証率100%で支援してきた実績と経験豊富なコンサルタントの知見を活かし、お客様の目標達成を全力でサポートいたします。
アドバイスや取り次ぎだけでなく、書類作成や監督に向けての準備、年々変化するルールへの対応まで、お客様のパートナーとして共に歩んでまいります。
認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。
← 記事の内容をまとめた動画はこちら!!
＼ フォローしてね ／
今聞きたいこと、今すぐ回答！
最短即日・全国対応いたします！
お問合せは
こちらから
全国どこでもオンラインで対応！
気軽にご相談ください！
相談予約は
こちらから
8,000社以上の支援実績に裏付けされた、
弊社サービスの概要を紹介しております。
資料の内容
認証パートナーの専門コンサルタントが御社の一員となって事務局業務を行います。
お客様の作業は審査機関との窓口役だけ。それ以外はすべてお任せください。
個人情報保護マネジメントシステム
高い保護レベルの個人情報保護マネジメントシステムを確立し、運用していることを示します。
認証パートナーなら、個人情報漏えい防止の観点も踏まえたサポートを実現します。
品質マネジメントシステム
品質マネジメントシステムは一貫した製品・サービスを提供し、顧客満足を向上させるための規格です。
認証パートナーなら、負担が増える形だけのISOではなく、より現場の実態に沿ったISOを実現します。
情報セキュリティマネジメントシステム
情報セキュリティマネジメントシステムは企業・組織の情報を守る規格です（ISMSとISO27001は同義）。
認証パートナーなら、情報セキュリティリスクへの対応計画、緊急時の対応計画踏まえPDCAサイクル回せるような仕組み作りを実現します。
環境マネジメントシステム
環境マネジメントシステムは環境を保護し、変化する環境状態に対応するための組織の枠組みを示します。
認証パートナーなら、課題になりがちな環境法令の対応についても一緒にサポート致します。
ISO27017やISO22000など各種規格もお得に 新規取得や運用・更新ができます。ご気軽にお見積りください。
ISOやプライバシーマークを同時に認証取得すると費用や工数を抑えることができます。安心してご相談ください
