プライバシーマーク（Pマーク）

← 用語集トップへ戻る

プライバシーマーク（Pマーク）とは

プライバシーマーク（Pマーク）は、個人情報を適切に取り扱う体制を整えている事業者を、第三者機関が審査して認める制度です。よく「あの会社のサイトで見かけるロゴ」として知られていますが、本質はロゴそのものではありません。個人情報を守る「仕組み」を継続的に運用できているかを、外部の目で確かめてもらう認証制度です。

デジタルブックやPDFの制作を外注する担当者にとっては、預ける個人情報を委託先が安全に扱えるかを見極める、わかりやすい目印になります。個人情報の管理体制は外からは見えにくく、口頭で「しっかりやっています」と言われても真偽の確かめようがありません。第三者の審査を通したという事実が、その見えにくさを補ってくれるわけです。まずは制度の基本から押さえていきましょう。

制度の運営元と準拠する規格

Pマーク制度は、一般財団法人日本情報経済社会推進協会（JIPDEC）が運営しています。審査そのものは、JIPDECのほか業界団体などの「付与機関」が担当します。認証の基準となるのは、JIS Q 15001という日本産業規格です。これは「個人情報保護マネジメントシステム（PMS）」の要求事項を定めた規格で、個人情報を集める・使う・保管する・捨てるまでの一連のルールを、組織として運用することを求めています。

なお規格は定期的に改訂されます。準拠する版や細かな要求事項は、審査時点の最新の公式情報を確認するのが確実です。

ロゴマークと登録番号の意味

Pマークを取得した事業者は、名刺やパンフレット、Webサイト、そしてデジタルブックの奥付などにロゴマークを表示できます。ロゴには登録番号が併記されており、この番号を付与機関のサイトで照合すれば、有効な認証かどうかを確認できます。取引先から提示された番号が実在するか、有効期限が切れていないかは、担当者が自分で裏取りできる情報です。

認証の対象は「会社全体」

Pマークの大きな特徴は、認証の対象が「会社（法人）全体」だという点です。特定の部署やサービスだけを切り出して取ることは、原則としてできません。つまりPマークを持つ会社は、組織のどこで個人情報を扱っても一定のルールに従う建付けになっています。後述するISMS（情報セキュリティの認証）が部門やサービス単位で範囲を選べるのとは、ここが大きく違います。委託先を選ぶときに、この「範囲の違い」を知っておくと判断を誤りにくくなります。

なぜ委託先選定でPマークが重視されるのか

制作の外注そのものは珍しくありません。問題は、外注の過程で個人情報が動くことです。ここでPマークが「選定基準」として効いてきます。理由を、法律・実例・役割の3つの角度から見ていきます。

個人情報保護法が定める「委託先の監督義務」

個人情報保護法では、個人データの取扱いを外部に委託する場合、委託した側（委託元）に対して、委託先を必要かつ適切に監督する義務を課しています。ここで見落とされがちなのは、情報を渡した側の責任が消えないという点です。委託先で漏えいが起きても、監督を怠っていれば委託元の責任が問われます。

とはいえ、中小企業が委託先のセキュリティを一社ずつ細かく監査するのは現実的ではありません。専任のセキュリティ担当を置ける会社は多くありませんし、制作会社に立ち入り調査を求めるのも簡単ではないでしょう。そこで、第三者が体制を審査したPマークの有無が、監督義務を果たすうえでの有力な判断材料になります。実際、委託先を評価する社内基準に「Pマークまたは同等の認証を保有していること」と明記しておけば、担当者ごとに判断がぶれるのを防げます。監督の記録という意味でも、認証の確認結果を残しておくと後から説明しやすくなります。

デジタルブック制作で預ける個人情報の実例

「うちは個人情報なんて渡していない」と思う担当者もいます。ですが、制作の現場では意外なところで個人情報が動きます。たとえば次のようなケースです。

• 会員向けカタログの制作で、閲覧を許可する会員名簿を共有する
• 営業資料のデジタルブックに、顧客の導入事例（担当者名・顔写真）を掲載する
• アンケート結果や問い合わせ履歴を、原稿データとして制作会社に渡す
• ダウンロード時に取得したリード情報を、配信設定のために共有する

これらはすべて個人情報です。制作会社のサーバーやクラウドストレージに一時的にでも置かれる以上、預け先の管理体制は無視できません。とくに導入事例やお客様の声のように、写真と氏名がセットになった情報は、掲載許可の範囲を超えて社外に渡ると本人とのトラブルに直結します。「制作のために一度渡しただけ」というつもりでも、データが相手の環境に残り続ければ、そこがリスクの起点になります。どの情報が誰の手元に、いつまで置かれるのかを意識するだけで、確認すべき委託先の条件は自然と見えてきます。

Pマークが果たす「事前スクリーニング」の役割

Pマークは、委託先を絞り込む最初のふるいとして機能します。全社員への教育、個人情報の取扱ルール、事故時の対応手順、アクセス権限管理といった仕組みが審査を通っている、という前提で話を始められるからです。ゼロから相手の体制を聞き取るより、はるかに効率的です。取引先の与信や品質基準にPマーク保有を組み込む企業が増えているのは、この事前スクリーニングの価値があるからです。

Pマーク取得の仕組みと審査の流れ

委託先を評価するにも、自社で取得を検討するにも、「どうやって認証されるのか」を知っておくと解像度が上がります。ここでは取得の中身を確認します。

PMS（個人情報保護マネジメントシステム）の中身

Pマークの土台にあるのがPMSです。個人情報を「集める段階」「使う段階」「保管する段階」「捨てる段階」のそれぞれでルールを決め、そのとおり運用し、点検し、改善する——この一連のサイクルを回す仕組みを指します。ポイントは、書類を整えるだけでは通らないことです。従業員教育の記録、情報セキュリティに関する内部監査、代表者による見直しといった「運用の実績」まで求められます。仕組みが絵に描いた餅になっていないかを見られる、と考えるとわかりやすいです。

申請から付与までのステップ

初めて取得する場合、大まかには次の流れで進みます。

1. PMSの構築と関連文書（規程・様式）の整備
2. 付与機関への申請書類の提出
3. 形式審査（提出書類の不備や要件の確認）
4. 現地審査（実際の運用状況を対面で確認）
5. 指摘事項への対応と改善報告
6. 付与適格の決定・契約
7. Pマークの付与（ロゴ使用の開始）

初回取得にかかる期間は、企業規模や準備状況にもよりますが、おおむね半年から1年程度が目安とされます。文書づくりより、運用を回して実績を残す期間が必要になるためです。

有効期間は2年、更新審査がある

Pマークの有効期間は2年です。取れば終わりではなく、2年ごとに更新審査を受け続ける必要があります。更新申請には受付の期間が定められており、有効期間の終了より前に手続きを始めなければなりません。具体的な申請期限は付与機関の最新案内を確認してください。委託先を評価する側から見れば、更新を続けている会社は、2年ごとに体制を点検し直している、と読み取れます。逆に、有効期限が近い・すでに切れている取引先には、状況を確認しておくのが無難です。

委託先選定でのPマーク実務活用と注意点

ここからは、担当者が実際に使うための視点です。Pマークを「どう使うか」と「どこで過信してはいけないか」をセットで押さえます。

PマークとISMSの違いを使い分ける

委託先の認証で混同しやすいのが、PマークとISMS（ISO/IEC 27001）です。両方持つ会社もありますが、守る対象と範囲が異なります。委託内容に応じて、どちらを重視すべきかが変わります。

顧客名簿を渡すカタログ制作ならPマークが響きやすく、閲覧基盤やサーバー運用まで任せるならISMSも合わせて確認する、という使い分けが実務的です。範囲を選べるISMSは「どの範囲で取っているか」の確認が欠かせません。委託先の一次スクリーニングとして、次の項目をチェックリストにしておくと迷いません。

• Pマークまたはそれに準ずる認証を保有しているか
• 登録番号が有効で、有効期限が切れていないか
• 個人情報の取扱いについて社内規程や教育の記録があるか
• 再委託の有無と、再委託先への監督の仕組みがあるか
• 事故が起きた際の連絡・報告のルートが決まっているか

すべてを満たす必要はありませんが、答えられない項目が多い相手は、契約段階でより丁寧に条件を詰めるべきサインだと考えると判断しやすくなります。

「Pマークがあれば安心」ではない — 3つの落とし穴

ここが一番伝えたい部分です。Pマークは有効な目印ですが、万能の保証書ではありません。認証はあくまで「審査した時点で一定の基準を満たしていた」ことを示すもので、日々の運用まで常時保証してくれるわけではないのです。私が現場で見てきた落とし穴を3つ挙げます。

1. 認証は「会社」に対するもので、個別案件の運用までは保証しない。全社ルールがあっても、自社案件の担当者が徹底しているかは別問題です。データの受け渡し方法は個別に取り決めが必要です。
2. 再委託の先までは見えない。制作会社がさらに外部のデザイナーやサーバーに再委託していれば、その先の管理は別途確認しなければなりません。契約で再委託の可否と条件を定めておくのが基本です。
3. 有効期限や登録番号を照合していない。ロゴが載っているだけで信じると、失効済みのケースを見逃します。番号での照合をひと手間かけましょう。

Pマークは「入口の絞り込み」に使い、実際の運用は契約と具体的な取り決めで担保する。この二段構えが安全です。

自社が取得すべきか判断する

逆に、自社がデジタルブックやPDFの制作・配信を請け負う側なら、取得を検討する価値があります。大企業や官公庁の案件では、Pマーク保有が取引条件になることが少なくないからです。入札の参加要件に挙げられているケースもあり、認証がないだけで土俵に上がれないこともあります。ただし取得と維持には、審査費用に加えて、社内教育や内部監査を回す人手がかかります。一度取れば終わりではなく、2年ごとの更新に向けて運用を続ける負担も見込む必要があります。取引拡大の見込みと運用コストを天秤にかけ、まずはペーパーレスDXや文書管理システムで社内の個人情報の在りかを整理してから判断するのが、遠回りに見えて近道です。どこにどんな個人情報があるかが見えていない状態では、そもそも守る仕組みも作れないからです。

← 用語集トップへ戻る