【チェックリスト付】Pマークの取得条件とは？必要な設備・取得不可なケースも解説
FAQPマークに関するよくある質問
個人事業主でもPマークを取得できますか？
取得条件を満たしていれば、個人事業主でも申請できます。ただし、国内拠点や必要な人員体制など、ほかの申請条件も満たす必要があります。
Pマークを取得するには何人必要ですか？
原則として、労働保険に加入した正社員、または登記上の役員（監査役を除く）が2名以上必要です。PMSを運用するための必要な役割を分けて担当できる体制を整える必要があります。
Pマーク取得にはどのくらいの費用がかかりますか？
申請料・審査料・付与登録料が必要で、金額は事業者の規模によって異なります。このほか、PMS構築や設備整備、コンサルティングを利用する場合の費用が発生することがあります。
プライバシーマーク（Pマーク）は、事業者の個人情報の取り扱いが適切であるかを第三者が評価し、基準に適合した事業者にマークの使用を認める制度です。
取引先や消費者からの信頼向上につながる一方で、「取得条件が複雑でよく分からない」「自社でも取得できるのか判断できない」と悩む担当者は少なくありません。
そこでこの記事では、Pマークの取得条件をチェックリスト形式で整理したうえで、取得できない事業者の条件や必要な設備、取得までの流れ、よくある疑問までをわかりやすく解説します。
目次
【チェックリスト】プライバシーマーク（Pマーク）の取得条件とは？
Pマークは日本の法制度を基盤とした国内向けの認証制度であり、審査・運用も国内基準に沿って行われます。そのため、拠点や人員体制、社内の仕組みについて、あらかじめ一定の要件を満たしていることが求められます。
自社がPマークの取得条件を満たしているか、以下のチェックリストで確認してみましょう。
【Pマーク取得条件 チェックリスト】
| チェック | 条件 | 確認ポイント |
|---|---|---|
| □ | 国内拠点 | 日本国内に活動拠点（本社・事業所など）がある |
| □ | 人員体制 | 社会保険・労働保険に加入した正社員、または登記上の役員が2名以上在籍している |
| □ | 個人情報保護管理者 | 選任できる人材がいる（代表者以外も可） |
| □ | 個人情報保護監査責任者 | 管理者とは別の人物を選任できる（代表者は就任不可） |
| □ | PMSの基本文書 | 個人情報保護方針・規程類などを整備している、または整備を進めている |
| □ | PDCAサイクル | PMSに基づく計画・実施・点検・改善の運用体制がある、または構築できる見込みがある |
Pマークは日本の法制度を基盤とした国内向けの認証制度であり、審査・運用も国内基準に沿って行われます。そのため、拠点や人員体制、社内の仕組みについて、あらかじめ一定の要件を満たしていることが求められます。それぞれの条件について詳しく見ていきましょう。
国内に活動拠点を持っている
Pマーク制度は日本国内向けの規格であるため、日本国内に活動拠点を持つ事業者であることが前提です。日本に拠点を持たない外国企業は、申請の対象になりません。
正社員が2名以上いる
PMSの運用には「個人情報保護管理者」と「個人情報保護監査責任者」という2つの役割が必要で、この2つを別々の従業者が担う必要があります。両者の兼任は認められず、監査責任者を代表者が務めることもできないため、社会保険・労働保険に加入した正社員または登記上の役員が最低2名以上在籍していることが必須条件です。
出典：プライバシーマーク制度「代表者は、個人情報保護監査責任者になれますか。」（外部リンク））
個人情報保護マネジメントシステム（PMS）が構築されている
PMSとは、個人情報を安全に取り扱うためのルールや手順を体系化した仕組みです。申請時点でPMSが整備されていなければ審査に進めないため、事前の構築と、日常業務の中での継続的な運用が求められます。
個人情報保護管理者を選任できる
個人情報保護管理者は、PMSの構築・運用に関する責任を負う役割です。個人情報の取扱い状況を把握し、必要な改善を推進できる立場の人材を選任します。代表者が個人情報保護管理者を兼任することは認められています。
個人情報保護監査責任者を選任できる
個人情報保護監査責任者は、PMSが規程どおりに運用されているかを監査する役割です。監査の独立性を保つ必要があるため、個人情報保護管理者との兼任は認められず、代表者が就任することもできません。この2つの役割を別々の従業者が担う必要があることが、正社員または登記上の役員が2名以上必要とされる理由です。
PDCAサイクルを運用できる体制がある
Pマークは取得して終わりではなく、PMSを継続的に運用・改善していくことが前提の制度です。計画（Plan）・実施（Do）・点検（Check）・改善（Act）のサイクルに沿って、従業者教育、内部監査、マネジメントレビューを定期的に実施できる体制が求められます。申請時点で運用実績がない場合でも、構築できる見込みがあることが必要です。
Pマークの取得ができない事業者の条件は？
Pマークは、希望すればどの事業者でも取得できる認証ではありません。制度側が定める複数の条件のうち一つでも当てはまると、そもそも申請が受理されなかったり、審査に進めなかったりします。
ここでは、取得の対象外となる代表的な4つのパターンを、それぞれ整理して解説します。
規模・体制に関する条件
申請事業者の社会保険または労働保険に加入している正社員、もしくは登記上の役員（監査役を除く）が2名以上在籍していない事業者は、Pマークの取得対象になりません。PMSの運用には「個人情報保護管理者」と「個人情報保護監査責任者」という2つの役割が必要で、この2つを別の人物が担う体制が求められるためです。代表者と個人情報保護管理者の兼任は認められていますが、個人情報保護監査責任者だけは別の人物である必要があるため、実質的に正社員などが2名以上いなければ、この体制を組むこと自体ができません。
法人格・拠点に関する条件
Pマークは日本の法制度を基盤とした国内向けの制度であるため、日本国内で登記した営業所を持つ場合を除き、外国会社は申請の対象外です。
また、Pマークの付与は法人単位が原則であり、支店や部署などの一部だけを対象に申請することはできません。
一方、個人事業主については、国内拠点や必要な人員体制などの申請資格を満たしていれば、申請できる場合があります。法人格のない事業者・団体については、組織形態や提出可能な公的書類によって取り扱いが異なるため、申請予定の審査機関への事前確認が必要です。
業種・サービスに関する条件
インターネット異性紹介事業や性風俗関連特殊営業に該当する事業を営んでいる場合、Pマークは取得できません。
これらの業種は、個人情報保護法とは別の観点から、制度の信頼性を損なうおそれがあると判断される業種として、あらかじめ対象外とされています。自社の事業がこうした業種・サービスに該当しないか、申請前に確認しておく必要があります。
その他欠格事由
役員に一定の法令違反歴がある場合や暴力団関係者が含まれる場合、過去に付与の取消・審査打ち切りなどを受けている場合は、欠格事由に該当し申請が受け付けられません。
「プライバシーマーク付与に関する規約（JIP-PMK500）」では、以下のようなケースが欠格事由として定められています。
- 役員のうちに、個人情報保護法・番号法などの違反で刑に処せられ、執行終了・執行免除から2年を経過しない者がいる
- 役員のうちに、暴力団関係者が含まれている
- 過去に付与契約の解除・取消を受け、所定の申請不可期間（1年間）を経過していない
- 申請内容に虚偽があり審査が打ち切られ、所定の申請不可期間（1年間）を経過していない
- その他の理由で審査が打ち切られた、または付与の適格性なしと判断され、所定の申請不可期間（3か月間）を経過していない
- 個人情報の漏えいなど重大な事故により付与が一時停止されており、その停止期間中である
Pマーク取得にあたって検討したい主な安全管理設備・対策
Pマーク制度では、すべての事業者に共通する特定の設備が一律に指定されているわけではありません。取り扱う個人情報の種類や保管方法、想定されるリスクに応じて、必要な安全管理措置を講じることが求められます。
以下は、個人情報の取り扱い状況によって導入が必要になる代表的な設備・対策です。
鍵付き書類ロッカー
顧客情報や履歴書、給与明細など、紙の個人情報を保管する場合は、施錠できるキャビネットや入退室管理された保管場所など、権限のない人が閲覧できない対策を検討します。扉がガラス製で内部が見えるタイプは審査で指摘される恐れがあるため、不透明のものを準備しておきましょう。
シュレッダー
不要になった書類を適切に処分するために必要です。紙の個人情報を社内で廃棄する場合は、シュレッダーや溶解処理サービスなど、復元できない方法で廃棄します。個人情報が含まれた紙をそのまま廃棄すると漏えいリスクがあるため、着実に破棄できる環境が求められます。
パソコン用セキュリティソフト
個人情報を扱う端末では、マルウェア対策、OS・ソフトウェアの更新、アクセス制御など、リスクに応じた対策を講じます。インストールだけでなく、最新版に更新されているかどうかも審査で確認される場合があるため、常にアップデートしておきましょう。
TLS/SSL認証
お問い合わせフォームなど、Webフォームで個人情報を送信する場合は、通信経路をTLSで暗号化するなど、盗聴や改ざんを防止する措置を講じます。個人情報を扱うページがあるかどうかは審査で確認される場合があり、TLS/SSL認証に対応していない場合は指摘の対象となります。
Pマークを取得するまでの流れ
Pマークの取得を目指す際は、全体の流れをあらかじめ理解することで、どの段階で何をすべきか把握しやすくなります。
ここでは、Pマーク取得までのステップを順に紹介します。
| ステップ | 詳細 |
|---|---|
| 1. PMSの構築 | 組織として個人情報をどう扱うか方針を明確にし、個人情報の洗い出し・リスク分析・対応策の検討を実施します。その内容を踏まえ、個人情報保護方針や安全管理規程などのPMS文書を整備します。 |
| 2. 運用・内部監査 | PMSを業務に落とし込み、一定期間運用します。運用記録を蓄積したうえで、内部監査によりPMSが規程どおり運用されているかを確認し、問題があれば改善します。 |
| 3. 審査機関への申請 | 申請書、事業者の実在を証明する書類、PMS文書一覧、個人情報を取り扱う業務の概要、教育・内部監査・マネジメントレビューの実施状況などを提出します。教育記録や内部監査記録などの詳細資料は、任意で事前提出することもでき、提出した場合は現地審査を効率的に進められる可能性があります。 |
| 4. 書類審査 | 審査機関がPMS文書の整合性や運用記録が実態に即しているかを詳細にチェックし、不備があれば修正を求められます。 |
| 5. 現地審査 | 審査員が事業所を訪れ、代表者・責任者へのヒアリング、PMS運用状況の確認、安全管理措置のチェックなどを実施します。指摘事項があれば改善し、期限内に報告書を提出します。 |
| 6. 付与契約・取得 | 書類審査・現地審査を通過すると付与適格の判断が下され、JIPDECと契約し登録料を支払うことでPマークを使用可能になります。取得後もPMSの継続運用と、2年ごとの更新審査への対応が必要です。 |
出典：プライバシーマーク制度「Pマーク取得をご検討中の方」（外部リンク））
出典：プライバシーマーク制度「費用」（外部リンク））
Pマークの取得条件に関するよくある質問
ここでは、Pマークの取得条件に関するよくある質問をまとめました。
個人事業主でも取得できる？
個人事業主であっても、Pマークの取得条件を満たしていれば取得可能です。
Pマークは「法人単位」での付与とされていますが、これは個人事業主を一律に排除する趣旨ではなく、事業を営む一つの主体として認識できるかどうかがポイントです。実際に、申請フォームでは法人番号を持たない個人事業主向けに、開業届や決算書・納税証明書などの代替書類での申請方法が用意されています。
ただし、個人事業主の場合も社会保険・労働保険に加入した従業者が2名以上いることなど、他の取得条件はあわせて満たす必要があります。
複数の事業所がある場合、事業所ごとに申請できる？
Pマークは事業所単位ではなく法人単位で付与されるため、事業所ごとに個別で申請することはできません。
複数の事業所や支店がある場合も、申請時にはすべての事業所の所在地・業務内容を申請書類に記載し、法人全体としてまとめて1つの申請を行う必要があります。
外国資本の日本法人でも申請できる？
日本国内で法人登記されている企業であれば、たとえ外国資本の会社であってもPマークを申請できます。
Pマークの欠格事由に該当するのは、日本国内に活動拠点を持たない「外国会社」であり、日本の法律に基づいて登記された営業所を持つ場合はこの対象から除かれます。つまり、資本が海外由来であっても、日本国内に法人としての活動拠点を構えている限り、他の取得条件を満たせば申請対象になります。
アルバイト・パート社員は従業者数に含まれる？
申請資格として求められるのは、社会保険・労働保険に加入した正社員、または登記上の役員（監査役を除く）が2名以上いることです。雇用形態そのものではなく、社会保険・労働保険への加入状況が判断の基準となります。自社の雇用形態が要件を満たすかどうか判断が難しい場合は、申請予定の審査機関へ事前に確認してください。
取得にはどのくらいの費用がかかる？
JIPDECへ支払う申請料・審査料・付与登録料は、事業者規模（小規模・中規模・大規模）の区分によって金額が定められています。区分は業種と資本金、従業者数によって決まるため、まず自社がどの区分に該当するかを確認してください。このほか、PMS構築にかかる社内工数、安全管理設備の導入費用、コンサルティングを活用する場合はその費用が別途発生します。
まとめ
プライバシーマーク（Pマーク）は、企業が個人情報を適切に扱う体制を整えていることを示すための認証です。取得条件を満たすためには、JIS Q 15001に基づくPMSの構築と運用記録の整備、内部監査の実施など、段階的で精度の高い取り組みが求められます。
Pマーク取得は、顧客からの信頼向上や取引機会の拡大にもつながる大きなメリットがあります。自社の個人情報保護体制を強化したい場合は、外部の専門家を活用するのも1つの方法です。
Pマーク取得を検討している企業の方は、Pマーク支援の専門家集団「ISOプロ」へぜひご相談ください。豊富な支援実績と独自ノウハウをもとに、御社に最適な取得プロセスをサポートいたします。
ISOプロでは月額4万円から御社に合わせたISO運用を実施中
ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。
また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。
サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。
月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。
在職中の従業員情報だけでなく、選考段階で預かった応募者情報や、退職後も一定期間保管している退職者情報まで対象に含め、ステップ1の洗い出し段階でリストアップしておくことが重要です。