PMS構築までの13のステップ その2 【Pマーク】

前回の記事に引き続き、個人情報保護マネジメントシステム構築までのステップをご紹介します。

ちなみにプライバシーマーク（Pマーク）を取得しようとしている企業様の中にはすでに品質マネジメントシステムや情報セキュリティマネジメントシステムなどを構築して認証を取得・更新しているところもありますが、そのような場合は既存のマネジメントシステムを基礎としてPMSを構築することも可能です。

• ステップ5：個人情報を特定する
• ステップ6：法令、国が定める指針その他の規範を特定する
• ステップ7：個人情報のリスクを認識し、分析し対策を検討する
• ステップ8：必要な資源を確保する
• ステップ9：個人情報保護マネジメントシステムの内部規定を策定する

ステップ5 ◆ 個人情報を特定する

自社で取り扱っている個人情報を洗い出すことは個人情報保護マネジメントシステムを運用するうえで欠かせません。保護の対象となるものが明確でなければプライバシーマーク（Pマーク）は運用できないからです。

業務の流れに沿って個人情報をリストアップしていくこともできますし、保管している帳票類やデータなどを確認しながら洗い出すこともできます。どのような方法にしても特定漏れがないようにしなければなりません。

ステップ6 ◆ 法令、国が定める指針その他の規範を特定する

プライバシーマーク（Pマーク）取得会社がJIS Q 15001の要求事項を満たすべきことはもちろんですが、個人情報保護にかかわる国の法令がある場合は、当然それを優先して順守しなければなりません。

法令順守を確実にするためにも自社に関係する法令や国が定める指針を特定する必要があります。また業界ごとのガイドラインなどもこの時点で特定しておきましょう。

ステップ7 ◆ 個人情報のリスクを認識し、分析し対策を検討する

リスク分析はプライバシーマーク（Pマーク）の取り組みの中での非常に重要な位置づけにあります。

リスク分析とは個人情報に対して想定されるリスクを評価する活動のことです。リスクを分析する前提としてまずリスクを認識しなければなりません。個人情報のリスクとしては情報漏えいやき損、滅失、また目的外利用などがあります。

分析したリスクに対しては、対応の緊要性なども考慮したうえで一つ一つ対策を立てていきます。

ステップ8 ◆ 必要な資源を確保する

代表者はプライバシーマーク（Pマーク）の運用に必要な経営資源を提供しなければなりません。

ステップ9 ◆ 個人情報保護マネジメントシステムの内部規定を策定する

自社の実態を踏まえたうえで個人情報の取り扱いに関連するルールを決めていきます。個人情報保護マネジメントシステムの構築に当たって最低限必要なルールはプライバシーマーク（Pマーク）の規格に列挙されています。

くれぐれも内部規程がJIS Q 15001の要求事項と整合していないというような状況が生じないように注意してください。たとえ努力して順守していても、そのルールが規格に適合していないのであればプライバシーマーク（Pマーク）の取得・更新はできないからです。

まとめ

プライバシーマーク（Pマーク）を取得・更新するためには個人情報保護マネジメントシステムを構築し運用していくことが不可欠です。「PMS」とは個人情報保護マネジメントシステムのことですが、今回の記事の内容がプライバシーマーク（Pマーク）取得を検討している事業者様の参考になればと思います。

★こちらの記事もおすすめです！
→【シャレにならない新ルール（ＥＵの個人情報保護）【GDPRでISMS取得も有効な対策】】