この記事のポイント
- PMS（個人情報保護マネジメントシステム）が何か、Pマークとの関係が分かる
- PMSで決めること・作るもの（体制、規程、台帳など）が分かる
- PMSを回す1年間の流れ（PDCA）が分かる
はじめさん
まもる先生PMSとは（先に結論）
個人情報を守るための「会社の仕組み」
PMSは「Personal information protection Management Systems」の略で、日本語では「個人情報保護マネジメントシステム」といいます。
JIPDECは、PMSを次のように説明しています（制度の概要）。
- 会社が事業で使う個人情報を、その有用性と本人の権利利益に配慮しながら守るための仕組み
- 方針、体制、計画、実施、点検、見直しを含む
- 従業者に周知され、実際に実行できるものであることが必要
つまりPMSは、規程などの書類だけのことではありません。ルールを決め、担当者を置き、実際に運用して、点検して直していく、その全体を指します。
PマークはPMSがあることを認める制度
Pマークは、PMSを定め、それに基づいて個人情報を適切に扱う体制が整っている会社に付与されます（制度の概要）。審査では、PMSとその運用が、JISQ15001をもとにした基準（構築・運用指針）に合っているかが評価されます（新規申請をお考えの方へのご案内）。
PMSの要求事項を定めた規格がJISQ15001で、Pマークの審査ではそれに準拠したJIPDECの「構築・運用指針」を使います。詳しくは「JISQ15001とは」で説明しています。
PMSで決めること・作るもの
構築・運用指針は、J.1からJ.11までの項目で、PMSに必要なことを定めています（構築・運用指針）。ここでは、まず押さえたいものを紹介します。かっこ内は指針の項番です。
体制（トップ、個人情報保護管理者、監査責任者）
- トップマネジメント（J.2.1）：代表者など、会社を指揮する立場の人です。方針を決め、PMSに必要な人や予算を確保し、PMSを率いる責任を持ちます。
- 個人情報保護管理者（J.2.3.2）：PMSを実施・運用する責任者です。トップマネジメントが、会社の内部の人から指名します。
- 個人情報保護監査責任者（J.2.3.2）：内部監査を指揮し、結果をトップマネジメントに報告する責任者です。公平で客観的な立場の人を、会社の内部から指名します。
個人情報保護管理者と個人情報保護監査責任者は、別の人でなければなりません。
個人情報保護方針
会社として個人情報をどう守るかを示す方針です（J.2.2）。トップマネジメントが定め、従業者に伝えます。PMSの出発点になるものです。
個人情報の台帳とリスクアセスメント
- 個人情報の特定と台帳（J.3.1.1）：会社が事業で使っているすべての個人情報を洗い出し、台帳にまとめます。台帳には、個人情報の項目、利用目的、保管場所、保管方法、アクセスできる人、利用期限、保管期限、件数（概数でも可）などを書きます。
- リスクアセスメント（J.3.1.3）：個人情報を取得してから消去するまでの各場面で、適切な対策をとらなかった場合に起こりうるリスクを洗い出し、分析・評価して、対策を決めます。
内部規程と様式
PMSのルールを、内部規程として文書にします（J.4.5.4）。JIPDECは、内部規程に最低限定める項目として、個人情報の特定、リスクアセスメント、取得・利用・提供のルール、安全管理、本人からの開示等の請求への対応、教育、内部監査、緊急事態への対応などを挙げています（形式審査～文書審査）。
あわせて、台帳や教育の記録、監査の報告書など、運用の記録を残すための様式もつくります。
はじめさん
まもる先生はじめさん
まもる先生Pマークの取得・更新でお困りなら、まずはご相談ください。
PMSを回す1年間の流れ（PDCA）
PMSは、計画（P）、実施（D）、点検（C）、見直し（A）を繰り返して改善していく仕組みです。Pマークの申請は、このサイクルを少なくとも1回以上実施してからでないとできません（新規申請をお考えの方へのご案内）。
計画（P）
個人情報保護方針に沿って目標を決め、教育や内部監査の年間の計画を立てます（J.3.2、J.3.3）。台帳とリスクアセスメントで洗い出したリスクへの対策も、計画に入れます。
実施（D）：教育と日々の運用
規程に沿って、毎日の業務で個人情報を扱います。従業者には、少なくとも年1回の教育を行い、理解度を確かめます（J.4.3）。
点検（C）：内部監査
個人情報保護監査責任者が、少なくとも年1回、PMSが規程どおりに運用されているか、規程が指針に合っているかを監査し、結果を報告します（J.6.2）。監査員には、自分の部署を監査させてはいけません。
見直し（A）：マネジメントレビューと是正処置
トップマネジメントが、少なくとも年1回、内部監査の結果などをもとにPMSを見直します（J.6.3）。ルールに合っていないこと（不適合）が見つかったら、原因を調べて直し、再発を防ぎます（J.7.1）。
構築・運用指針で「少なくとも年1回」と決まっている主なものは、次のとおりです。
| 年1回以上行うこと | 誰が | 指針の項番 |
|---|---|---|
| 個人情報の台帳の内容を確かめ、最新にする | 会社（担当者） | J.3.1.1 |
| リスクアセスメントの手順と内容を見直す | 会社（担当者） | J.3.1.3 |
| 従業者への教育と理解度の確認 | 会社（全従業者が受ける） | J.4.3 |
| 内部監査 | 個人情報保護監査責任者 | J.6.2 |
| マネジメントレビュー | トップマネジメント | J.6.3 |
これらの記録は、Pマークの申請や更新のときに提出したり、審査で見せたりします。取得までの流れは「Pマークの取得方法と流れ」、審査で見られる点は「Pマークの審査で見られるポイント」で説明しています。
PMSづくりでつまずきやすいこと
規程を作っただけで終わる
JIPDECは「体制の整備や規程類の策定だけでは、申請はできません」と明記しています（新規申請をお考えの方へのご案内）。規程ができたら、教育、内部監査、マネジメントレビューまでを実際に行い、その記録を残します。
規程と実際の業務が合っていない
文書審査では、内部規程が指針に合っているかに加えて、すべての従業者が内部規程を守るための具体的な手順や手段が決まっているかが見られます（形式審査～文書審査）。実際の業務とかけ離れた規程では、守るための手順が決められず、運用の記録とも食い違います。
まもる先生少人数の会社でのPMSの進め方は「従業員20名以下の会社がPマークを取るには」、外部の支援を考えている場合は「Pマークのコンサルの選び方」もご覧ください。
監修者のひとこと
小規模な企業においては、過度なルールが負担になることがあります。自社にあったルールを作成しましょう。
まとめ
- PMS（個人情報保護マネジメントシステム）は、個人情報を守るための方針、体制、計画、実施、点検、見直しを含む会社の仕組みです。
- Pマークは、PMSを定めて運用している会社に付与されます。審査の基準はJISQ15001に準拠した構築・運用指針です。
- PMSでは、体制（トップ、管理者、監査責任者）、方針、台帳とリスクアセスメント、内部規程と様式を決めて作ります。
- 教育、内部監査、マネジメントレビューなどを少なくとも年1回行い、PDCAを回します。申請はPDCAを1回以上回してからです。
