Pマーク審査基準改定対応コース

2022年1月19日に、個人情報保護法の改正を踏まえた「個人情報保護マネジメントシステム構築・運用指針」(以下、「構築・運用指針」)が公表されました。
(参照)　構築・運用指針と審査基準（2022年4月1日～）/JIPDEC

2022年4月以降に申請した事業者は、新指針・改正法に基づいて審査が行われています。そのため、2022年4月以降に申請を行う事業者様は、新しい審査基準への対応が必須となります。

構築・運用指針とは

プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針（以下、「構築・運用指針」という。）は、プライバシーマーク制度が、JIS ならびに個人情報保護法へ対応した個人情報保護マネジメントシステムの考え方および具体的な対応などを、事業者様にお示しするものです。

付与事業者様におかれましては、「構築・運用指針」に基づいて、個人情報保護マネジメントシステムの構築・運用をお願いいたします。
(JIPDEC/「審査基準と解説」より)

何をしなければならないのか

①「構築・運用指針」に合わせた社内ルールの追加・修正

プライバシーマークを取得している企業は、2022年1月19日に公表された「構築・運用指針」に合わせて、自社ルールの追加・修正を検討しなければなりません。

ルール変更に伴い、自社文書等の「用語・単語の修正を行う」「新しくルール化した事項を明文化する」などの対応が必要となります。

新たな「構築・運用指針」では、例として、以下の点の変更があり、今までの運用を変更する部分も多くなります。

組織の状況やマネジメントシステムの適用範囲への明確な認識が求められる
リスクアセスメント及びリスク対応の要求事項の一部が変更される
マネジメントレビューで報告する内容が変更される

②2022年4月施行の改正個人情報保護法への準拠

「構築・運用指針」準拠には、2022年4月施行の改正個人情報保護法への対応も含まれています。
個人情報の改正により企業が対応しなければならないポイントの例として以下が挙げられます。

「仮名加工情報」の定義の新設
「個人関連情報の第三者提供の制限等」の新設
個人情報漏えい時に個人情報保護委員会への報告を義務化

③プライバシーポリシーの改定

2022年4月施行の改正個人情報保護法への対応において、一部プライバシーポリシー等の内容を更新する必要があります。特に対応項目としては以下のようなものが挙げられます。

実施している安全管理措置に関する記載の追加
共同利用を行っている場合は、記載項目の一部追加
利用目的の記載の詳細化

コンサルティングの流れ

実施事項	詳細
既存文書の査読	現状の個人情報保護規程及び付随する文書をコンサルタントが確認します。
ルール化する項目の検討	「構築・運用指針」及び個人情報保護法の改正ポイントを把握コンサルタントより、改正ポイントを詳細に解説して疑問点を解消し、どのような個人情報の取扱いをする場面において対応の変更が必要かを把握します。対応が必要な部分の洗い出し自社の個人情報の取扱い状況を確認し、ルールの変更及び新たにルールを策定する必要がある部分を明確にします。対応方針の決定「何を」「どのスケジュールで」対応を進めていくかをコンサルタントと相談の上決定します。
個人情報の取扱いに関するルールの作成、及び修正	コンサルタントが既存ルールの修正決定した対応方針の基、改正ポイントを踏まえた修正案を作成します。既存規程の修正は、作業に1か月ほどかかります。 (必要に応じて)プライバシーポリシーの修正コンサルタントが、プライバシーポリシーの修正案を作成します。 (必要に応じて)実態との乖離を埋める打ち合わせで、コンサルタントがルールの変更による業務における個人情報の取扱いや運用の変更点についてレクチャーします。実際の個人情報の取扱いと修正案に実態と合わない箇所があれば、お打ち合わせ内で解消します。
運用	運用の開始改正後の「構築・運用指針」に準拠したルールの運用を開始します。ルール策定後1か月間、運用に際して、疑問点が発生した場合は、電話・メール等で質問に対応します。プライバシーポリシーの反映も行います。