JISQ15001とは？Pマークとの関係と2023年改正のポイント

2026年10月11日

この記事のポイント

JISQ15001とPマーク（構築・運用指針）の関係が分かる
2023年改正の経緯と、Pマークの審査に使われ始めた時期が分かる
改正で新しく求められるようになった主な点が分かる

はじめさん

Pマークを調べていたら「JISQ15001」という言葉がよく出てきます。何のことなのか、うちの会社に関係あるのか分かりません。

まもる先生

JISQ15001は、Pマークのもとになっている規格です。この記事では、Pマークとの関係と、2023年の改正で何が変わったのかを説明しますね。

JISQ15001とは（先に結論）

個人情報保護マネジメントシステムの日本産業規格

JISQ15001（JIS Q 15001）は、「個人情報保護マネジメントシステム―要求事項」という名前の日本産業規格（JIS）です。会社が自社で扱う個人情報を守るための仕組み（個人情報保護マネジメントシステム、PMS）をつくり、運用し、改善していくために必要なことを定めています（日本規格協会）。

会社の種類や規模を問わず、すべての会社に当てはめられるように作られています。少人数の会社でも、考え方は同じです。

PMSそのものについては「PMSとは」で説明しています。

これまでの改正（1999年制定、2006年・2017年・2023年改正）

JISQ15001は1999年に制定され、2006年、2017年、2023年に改正されました。現在の版は、2023年9月20日に改正された「JISQ15001:2023」です（日本規格協会）。規格の原案は、Pマークの付与機関であるJIPDEC（一般財団法人日本情報経済社会推進協会）が作成しています。

JISQ15001とPマークの関係

Pマークの審査は「構築・運用指針」で行う

Pマークの審査で、会社の仕組みが合っているかを確かめる「ものさし」は、JIPDECが定めた「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」（以下、構築・運用指針）です（JISQ15001改正に伴う構築・運用指針の対応について）。

構築・運用指針は、JISQ15001:2023に準拠しています。JISQ15001や法令などを踏まえて、事業者に向けてより分かりやすくまとめたものです（構築・運用指針）。

関係を整理すると、次のとおりです。

	JISQ15001:2023	構築・運用指針
何か	個人情報保護マネジメントシステムの日本産業規格	JISQ15001に準拠した、Pマーク制度の指針
誰が定めるか	国（日本産業標準調査会の審議を経て経済産業大臣が改正）	JIPDEC（Pマークの付与機関）
Pマークでの使われ方	構築・運用指針のもとになる規格	審査で使う基準
入手方法	日本規格協会で購入する	JIPDECのサイトで無料で読める

規格本体は買うもの、指針は無料で読める

JISQ15001の規格本体は、日本規格協会で販売されています。一方、構築・運用指針はJIPDECの「審査基準と構築・運用指針」のページで、PDFを無料で読めます。項目ごとの解説動画も公開されています（構築・運用指針の解説動画）。

はじめさん

えっ、Pマークを取るには、まず規格を買わないといけないんですか？

まもる先生

まずは無料の構築・運用指針から読めば大丈夫です。審査で使うのは構築・運用指針なので、規程づくりもこちらに沿って進めます。

はじめさん

Pマーク、何から手をつければいいのか分からなくて…

まもる先生

会社の状況に合わせて進め方を一緒に考えます。まずは気軽に相談してみましょう。

Pマークの取得・更新でお困りなら、まずはご相談ください。

20名以下の会社のPマーク取得・更新を相談する（無料）

2023年改正の経緯とスケジュール

個人情報保護法の改正に合わせた改正

2023年の改正は、2017年の改正の後に個人情報の保護に関係する法律が改正されたことを受けて、規格の内容を法律と合わせるために行われました（JISQ15001:2023 プレビュー（日本規格協会））。

Pマークでは2024年10月1日の申請から新しい指針

規格の改正を受けて、Pマークの構築・運用指針も改定されました。主な流れは次のとおりです。

時期	できごと
2023年9月20日	JISQ15001:2017がJISQ15001:2023に改正された（JIPDEC）
2023年12月25日	JIPDECが構築・運用指針【JISQ15001:2023準拠 ver1.0】を公表した（JIPDEC）
2024年9月30日まで	旧版の構築・運用指針（ver1.0.3）を適用（JIPDEC）
2024年10月1日	新しい構築・運用指針に基づく申請の受付が始まった。申請様式も変わった（JIPDEC）

JIPDECは、2024年10月1日以降は新しい構築・運用指針に対応したうえで申請するよう求めています（構築・運用指針の改定について）。これから新しく取得する会社は、最初から新しい構築・運用指針に沿って準備します。

2023年改正で変わった主なポイント

JIPDECは、旧版と新版の構築・運用指針の違いを「新旧対照表」で公開しています。ここでは、新しく加わった項目のうち、小さな会社にも関係しやすいものを紹介します。かっこ内は構築・運用指針の項番です。

規格の構成が整理された（附属書Aの要求事項の一部が本文へ）

JISQ15001:2023は、本文（4章〜10章）と、附属書A「個人情報保護に関する管理策」などで構成されています（JISQ15001:2023 プレビュー）。

2017年版で附属書Aに置かれていた「個人情報の特定」「内部規程」「緊急事態への準備」などの要求事項は、2023年版では本文の章に移りました。新旧対照表では、構築・運用指針の各項目が対応するJISQ15001の番号が、このように書き換えられています。構築・運用指針の項目の並び（J.1〜J.11）は、大きくは変わっていません。

仮名加工情報などの扱いが加わった

PMSの対象に含める情報（J.1.4、J.3.1.1）：自社の事業で使っている仮名加工情報、匿名加工情報、個人関連情報（提供先で個人情報になることが想定される場合）も、PMSの適用範囲に含め、個人情報の特定の対象にします。
仮名加工情報を扱うかどうかの方針（J.8.10）：仮名加工情報の取扱いを行うか否かの方針を定めることが求められるようになりました。

まもる先生

仮名加工情報を扱っていない会社も、「扱わない」という方針を決めておく必要があります。うちは関係ないと思って、見落とさないようにしましょう。

個人情報の台帳とリスクアセスメントの変更

台帳の項目が増えた（J.3.1.1）：個人情報を管理する台帳に、「管理する個人情報の件数（概数でも可）」を含めることになりました。
リスク基準に「本人の権利利益の侵害」（J.3.1.3）：リスクを評価するときの基準に、本人の権利利益の侵害という観点が加わりました。
残留リスクの管理（J.3.1.4）：対策をとっても残るリスク（残留リスク）を文書にし、見直しを続けて管理することが明記されました。
変更の計画策定（J.3.4）：PMSを変える必要があると決めたときは、その変更を計画することが求められるようになりました。

外部サービスの利用、緊急事態への準備

外部サービスの選定（J.9.2）：サービス提供事業者が個人データを取り扱わないことになっている外部サービスを使う場合も、あらかじめサービス内容を把握・評価したうえで選ぶことが求められるようになりました。
緊急事態の報告先をあらかじめ特定（J.4.4.2）：漏えいなどの緊急事態が起きたときに報告などが必要になる関係機関や利害関係者を、前もって特定しておきます。

このほかにも細かな追加や変更があります。すべての変更点は、JIPDECの新旧対照表と、旧版からの変更点の解説動画（構築・運用指針の解説動画）で確かめられます。