ISMS のページは現在作成中です。しばらくお待ちください

---

★★★JIS Q 15001:2006対応 プライバシーマーク認証取得コンサルティング　\756,000（標準的なコンサルティングの場合）★★★

1. プライバシーマーク（Ｐマーク）制度

1-1. プライバシーマーク制度とは

　プライバシーマーク（Ｐマーク）制度は、事業者が個人情報の取り扱いを適切に行うシステムが整備されていることを認定し、その証として“プライバシーマーク”の利用を認める制度です。
　「個人情報の保護に関する法律」に適合したシステム作りに適した制度がプライバシーマーク制度であり、これを活用することが「個人情報の保護に関する法律」へのコンプライアンス（遵法性）を確かなものにするほか、個人情報保護に関する社会的な意識の高まりに応えることにもなります。
　プライバシーマークの認定を受けるためには、「個人情報の保護に関する法律」の規定を包含するJIS Q 15001:2006（個人情報保護マネジメントシステム−要求事項）に適合したシステムを構築して運用し、それを第三者機関（指定機関）から評価（審査）を受けて検証してもらわなければなりません。

　プライバシーマークの付与対象となるのは、事業者（法人）です。ただし、事業所など事業者の一部門であっても、条件を満たせば付与対象になりえます。
　なお、プライバシーマーク付与の有効期間は２年です。その後は更新の手続きをすれば、２年ごとに更新が可能です。

　プライバシーマーク制度の詳しい情報は、財団法人日本情報処理開発協会のプライバシーマーク事務局のホームページでご覧いただけます。

1-2. プライバシーマーク付与の申請手続き

　プライバシーマークの付与を受けるための手続きは次のとおりです。

　（１）申請

申請書類１式を付与機関（http://www.jipdec.jpで検索可能）または指定機関に送付する。あわせて申請手数料を指定の銀行口座に振り込む。
　申請書類：
　　プライバシーマーク付与申請書（様式１）
　　プライバシーマーク付与申請書別紙：個人情報保護に係る体制の整備等を示す書類（様式２）
　　登記簿謄本（または抄本）等、申請者の実在を証する公的書類
　　組織の定款、寄付行為その他これに準ずる規程類
　　役員名簿
　　マアネジメントシステム文書（JIS Q 15001:2006に準拠したもの）
　　マネジメントシステム関連規定
　　欠格事項への該当の有無について（様式３）
　　JIS Q 15001:2006の各要求事項とマネジメントシステム文書との対応表（様式４）
　　教育実施記録（様式５）
　　監査報告書（監査実施記録）（様式６）
　　その他、申請内容を補足する資料
　様式については財団法人日本情報処理開発協会のプライバシーマーク事務局のホームページから取り出してください。

　（２）申請書類の審査

申請書類の記載項目、添付書類に不備がないか審査を受ける。不備が指摘された場合は修正し、１ヶ月以内に再提出すればよい。ただし、再提出は１回のみに限定される。

　（３）マネジメントシステム文書の審査

申請書類の審査に引き続き、マネジメントシステムおよび教育実施記録、（内部）監査報告書などの内容が審査される。
マネジメントシステム文書の審査には「チェックリスト」（秘扱い）がある。そこに記載されたチェック項目に適合していればＯＫとなる。教育実施記録・（内部）監査報告書などの実施内容の審査には「システム出来具合チェックリスト」（秘扱い）がある。

　（４）現地審査

マネジメントシステム文書など書類審査が終わると実地の審査があり、審査員が申請企業に出向いて現地審査が行われ、マネジメントシステム文書や関連規定に定められた体制整備状況および運用状況が調べられる。これで不適合が発見されれば（多くの場合そうなる）、所定の期限内に是正しなければならない。是正報告が遅延したり、事業・体制に著しい変更等が生じた場合は、必要に応じて再調査が実施され、追加の調査費が請求される。
なお、現地審査には「現場審査チェックリスト」（秘扱い）があり、ここに掲げられたチェック項目をすべてクリヤしていれば問題ない。

　（５）付与可否の決定・通知

審査の結果にもとづき、プライバシーマーク付与の可否が決定され、通知を受ける。使用料を指定の銀行口座に振り込む。

　（６）許諾証の交付・公表

プライバシーマーク付与の許諾証が交付され、ホームページで公表される。

　プライバシーマークを掲示できるのは、次のところです。
　店頭、契約約款、封筒、宣伝・広告用資料、説明書、便箋、名刺、ホームページ

1-4. 料金について

　プライバシーマークの付与を受けるための料金は、事業者の規模によって異なります。新規（初回審査）の場合は、小規模：３０万円、中規模：６０万円、大規模：１２０万円　となっています。この料金には審査関係事務、書類審査、報告書作成、現地審査の各費用を含んでいます（審査員の交通費などは含まれていません）。
　その事業者規模の区分は、

製造業その他

資本金：３億円、従業員：３００人

卸売業

資本金：１億円、従業員：１００人

小売業

資本金：５千万円、従業員：５０人

サービス業

資本金：５千万円、従業員：１００人

2. チェックリストによる出来具合の点検

　アイソ・ワールド株式会社では、審査に使用されるチェックリストとほぼ同等の「チェックリスト」「出来具合チェックリスト」「現場審査チェックリスト」を用意しています。これによって、出来ばえを点検するコンサルティングサービスも実施します。
　ご希望の場合は、下記宛てまでお申し込みください。

3. JIS Q 15001:2006について

　JIS Q 15001:2006（個人情報保護マネジメントシステム−要求事項）は平成18年5月20日付で1999年版からかなり改正されました。もともとJIS Q 9001（品質マネジメントシステム規格）とJIS Q 14001（環境マネジメントシステム規格）の関係する規格要素を取り込みながら個人情報の保護に見合った焼き直しをし、ISMS（情報セキュリティマネジメントシステム）の色彩を持たせたような規格でしたが、いっそうJIS Q 14001を意識したものとなりました。
　この規格は、次のように構成されています。青色で記載した項目は特に変更が大きかったところです。

１．適用範囲

２．用語及び定義

３．要求事項

3.1　一般要求事項

3.2　個人情報保護方針

3.3　計画

3.3.1　個人情報の特定

3.3.2　法令、国が定める指針その他の規範

3.3.3　リスクなどの認識、分析及び対策

3.3.4　資源、役割、責任及び権限

3.3.5　内部規程

3.3.6　計画書

3.3.7　緊急事態への準備

3.4　実施及び運用

3.4.1　運用手順

3.4.2　取得、利用及び提供に関する原則

3.4.2.1　利用目的の特定

3.4.2.2　適正な取得

3.4.2.3　特定の機微な個人情報の取得、利用及び提供の制限

3.4.2.4　本人から直接書面によって取得する場合の措置

3.4.2.5　個人情報を3.4.2.4以外の方法によって取得した場合の措置

3.4.2.6　利用に関する措置

3.4.2.7　本人にアクセスする場合の措置

3.4.2.8　提供に関する措置

3.4.3　適正管理

3.4.3.1　正確性の確保

3.4.3.2　安全管理措置

3.4.3.3　従業員の監督

3.4.3.4　委託先の監督

3.4.4　個人情報に関する本人の権利

3.4.4.1　個人情報に関する権利

3.4.4.2　開示等の求めに応じる手順

3.4.4.3　開示対象個人情報に関する事項の周知など

3.4.4.4　開示対象個人情報の利用目的の通知

3.4.4.5　開示対象個人情報の開示

3.4.4.6　開示対象個人情報の訂正、追加又は削除

3.4.4.7　開示対象個人情報の利用又は提供の拒否権

3.4.5　教育

3.5　個人情報マネジメントシステム文書

3.5.1　文書の範囲

3.5.2　文書管理

3.5.3　記録の管理

3.6　苦情及び相談への対応

3.7　点検

3.7.1　運用の確認

3.7.2　監査

3.8　是正処置及び予防処置

3.9　事業者の代表者による見直し

4. プライバシーマーク取得コンサルティング

4-1. マネジメントシステムの構築と運用

　次のようなステップを踏んでマネジメントシステムを構築し、運用するのが現実的な取り組み方です。

ステップ１：

「個人情報保護方針」を決めて文書に定める。この方針には次の事項を含める。
　a)　事業の内容・規模に見合った個人情報の収集・利用・提供に関すること
　b)　個人情報の不正アクセス・個人情報の紛失・破壊・改竄・漏洩の予防・是正に関すること
　c)　個人情報に関する法令・その他の規範を遵守すること
　d)　マネジメントシステムの継続的改善に関すること

ステップ２：

マネジメントシステムを構築するためのプロジェクトチームを編成するとともに、取り組みのマスタースケジュールを立案する。同時にマネジメントシステムに必要な組織・役割・責任・権限を定め、関係者に周知する。管理責任者（役員クラス）も任命する。管理責任者が核となって取り組みを推進するのがよい。
苦情および相談に対応するために、常設の対応窓口と担当者を設定し、その情報を本人に告知するようにする。

ステップ３：

個人情報保護方針を役員・従業員に周知させるとともに、一般の人にも入手可能な措置を講じる。

ステップ４：

個人情報を特定するための手順（リスクアセスメントの手順とも言える）を策定する。特定した個人情報に関するリスク（不正アクセス、紛失、破壊、改竄、漏洩）を認識する。既存の個人情報の取り扱いシステムを評価する。

ステップ５：

関係する法令・規範を特定する手順を策定し、それにもとづいて特定する。これには条例、ガイドライン、規約も含める。

ステップ６：

マネジメントシステム作りを進める。マネジメントシステムの基本となる要素をたとえば「個人情報保護マニュアル」として策定するのがよい。

ステップ７：

マネジメントシステムの詳細規定を作成する。これには次のものを含める。
　a)　個人情報を保護するための責任・権限
　b)　個人情報の収集・利用・提供・管理
　c)　本人からの個人情報に関する開示・訂正・削除
　d)　個人情報の保護に関する教育
　e)　個人情報の保護に関する監査
　f)　内部規定の違反に関する罰則

ステップ８：

マネジメントシステムおよび内部規定を遵守するために必要な教育・監査などの計画を策定し、実施し、記録する。
マネジメントシステムの教育には次のものを含める。
　a)　マネジメントシステム文書・規定に適合させることの重要性および利点
　b)　マネジメントシステム文書・規定に適合させるための役割・責任
　c)　マネジメントシステム文書･規定に違反した際に予想される結果
教育計画には、個人情報保護研修の年間カリキュラムと個別の研修プログラム（研修名、研修概要、開催日時、場所、講師、使用テキスト、受講対象者、参加予定数、参加形式など）がありうる。

ステップ９：

定めに従ってマネジメントシステムを運用し、実施し、実績を積み上げる。

ステップ10：

マネジメントシステムの運用状況を監査する。監査計画書には、当該年度に実施する監査テーマ、監査対象、監査目的、監査範囲、手続き、スケジュールを含めるのがよい。

ステップ11：

事業者代表によるマネジメントシステムの点検・見直しを行い、マネジメントシステムの改善を実施する。

4-2. プライバシーマーク取得の必要性

　個人情報の管理不行き届きによって発生するトラブルは、以前はその情報を入手した者がいたずら目的や嫌がらせに使うことがある程度でしたが、最近は脅迫、恐喝、架空請求、本人になりすました詐取など、金銭目的の犯罪に利用されることが多くなりました。
　このような犯罪目的に個人情報が使われると、それを管理する立場にあった会社には管理不行き届きによる損害の賠償請求を受けるだけではなく、会社の社会的な信用も失うことになり、甚大な損失を被ることになりかねません。該当する個人情報の数が多いと、それに正比例して損失も大きくなります。
　取引先（顧客）から委託を受けて個人情報を扱う事業を行っている場合は、その個人情報に関するトラブルを起こすと、取り引きの縮小や停止に追い込まれることになります。また、これからは個人情報保護法の罰則を受けることもありえます。

　そこで、このようなことにならないように、個人情報を管理するシステムをJIS Q 15001にもとづいて構築・運用し、第三者的機関からプイバシーマークの取得をしておくことです。そのために必要なわずかな経営資源を出し惜しみして、大きなリスクを負うことは賢明な経営判断とは言えないでしょう。

重要度	個人情報の内容	リスクの説明
小	氏名・性別・年齢・住所・電話番号	この個人情報が不正に扱われても、大きな問題にはなりにくい
中	家族構成・生年月日・職業・勤務先・年収・経歴・身体的情報・電子メール・携帯電話番号・各種ＩＤ・会員情報	この個人情報をもとに、犯罪を起こすための情報を引き出される
大	借入金情報・ローン情報・カード情報・与信情報・預貯金情報・保険情報	犯罪（脅迫、恐喝、架空請求、なりすまし）に利用される

　なお、プライバシーマークを取得しておくと、「個人情報漏洩賠償責任保険」（平成１７年３月から適用開始）の保険料が３０％割り引かれます。

4-3. コンサルティング

　アイソ・ワールド株式会社ではプライバシーマークを取得するためのコンサルティングを行っています。出来ばえは、審査で使用されるのと同等レベルの「チェックリスト」「出来具合チェックリスト」「現場審査チェックリスト」を使い、点検します。お気軽にご相談ください。
★★★　チェックリストを使い、審査員の目で出来ばえを点検してみよう!!　★★★

5. 個人情報保護法について

5-1. 個人情報保護法が完全施行に！

　平成１５年５月３０日に「個人情報の保護に関する法律」（平成１５年法律第５７号）が制定されました。
　この法律の第４章「個人情報取扱事業者の義務等」（個人情報を取り扱う民間の事業者の義務が定められている）、第５章「雑則」（適用除外などが定められている）、第６章「罰則」が平成１７年４月１日から完全施行に入りました。

　個人情報とは「生存する個人に関する情報であって、その情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの」とされています。

　また、個人情報取扱事業者とは「個人情報のデータベース（特定の個人情報をコンピュータで検索できるデータベース、あるいは容易に検索できるシステムで政令で定めたもの）を事業に使う者」を指します。

　これには顧客のほか、正社員、契約社員、嘱託社員、パート社員、アルバイト社員等と、取締役、執行役、理事、監査役、監事、派遣社員等もなどの個人情報も対象範囲に含まれます。
　ただし、特定の個人の合計数が過去６ヶ月間継続して5,000人を超えない事業者は該当しません（CD-ROM電話帳など市販の情報を購入し編集・加工することなく利用する場合も該当しません）。

（注１）個人情報取扱事業者が開示、追加・削除、訂正、利用停止などの権限を有する個人データを「保有個人データ」と呼んでいます。
（注２）事業とは、必ずしも営利を目的とした活動に限定されません。クラブ活動や社会奉仕活動なども対象になりえます。

5-2. 個人情報保護法の適用と罰則

○印が適用対象項目です。

個人情報の区分	１５条 利用目的の特定	１６条 利用目的による制限	１７条 適正な情報の取得	１８条 利用目的の通知等	１９条 データ内容の正確性	２０条 安全管理の措置	２１条 従業員の監督	２２条 委託先の監督	２３条 第三者への提供制限	２４条 保有個人データ事項の公表等	２５条 情報の開示	２６条 情報の訂正等	２７条 利用の停止等	２８条 理由の説明	２９条 求めに応じる手順	３０条 取扱い手数料	３１条 苦情の処理
個　人　情　報　保　護　法
個人情報	○	○	○	○	−	−	−	−	−	−	−	−	−	−	−	−	○
個人データ	○	○	○	○	○	○	○	○	○	−	−	−	−	−	−	−	○
保有個人データ	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○
行　政　に　よ　る　措　置
報告徴収	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○
助　言	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○	○
勧　告	−	○	○	○	−	○	○	○	○	○	○	○	○	−	−	○	−
命　令	−	○	○	○	−	○	○	○	○	○	○	○	○	−	−	○	−
緊急命令	−	○	○	−	−	○	○	○	○	−	−	−	−	−	−	−	−
罰　則	−	○	○	○	−	○	○	○	○	○	○	○	○	−	−	○	−

　行政の勧告･助言は権利保護に必要な場合になされます。行政命令は正当な理由なく勧告に従わず、権利侵害のおそれが切迫しているときに行われます。また緊急命令は、重大な権利侵害が認められ、緊急措置の必要性がある場合に実施されます。
　罰則は、命令･緊急命令に違反する場合は６月以下の懲役または３０万円以下の罰金、報告不実施･虚偽報告は３０万円以下の罰金になります（刑事罰の対象です）。

アイソ・ワールド株式会社
Tel: 0797-73-7509　Fax: 0797-73-7510
E-mail: isoworld@yahoo.co.jp（担当：辻井）

---

ホームページに戻る