私たちはプライバシーマーク(Pマーク)取得・更新を得意とする個人情報保護のコンサルタント集団です。申請・内部監査・教育・審査・指摘事項対応全てお任せください。セミナー無料開催中

ホリコンのPマークお手軽相談室

プライバシーマークのことなら何でもご相談ください。
Pマークの構築でわからないことがある。更新の仕方でわからないことがある。指摘事項の対応がわからない。など、
「お気軽に」「何でも」「どなたでも」
ご相談ください。
※ご相談頂いた内容は、下記にてご返答しております。

お名前name
ご内容body

ご相談内容

松枝様より
Q. Pマーク取得を考えている中小企業です。事務社は関連会社との同居（入口は一箇所で施錠管理も同じ）になっていますが、問題点は無いのでしょうか？
同居でのプライバシーマーク取得を目指す場合は、その関連会社と御社で個人情報を共有せず、その取り扱いも区別することを求められます。
審査時に以下のケースが求められたことがございますので参考にしてください。
・仕切り、パーテーション等を置いて物理的に関連会社とレイアウトを分ける。
・個人情報の保管する書庫等の共同利用しない。
・鍵の管理は関連会社ときちんと分ける。
・社内ネットワークを別回線にする。
・サーバーを共有しない。
・関連会社間で機密保持の契約を取り交わす。
もちろん、以上の全ての項目がプライバシーマーク取得に必要というわけではありません。
会社の規模、オフィスの状況によっては上記のようなことが求められるケースがあるということを念頭に、ただし、無理をせず、関連会社との個人情報の取り扱いの区別を今御社で出来る範囲の準備をして頂いて申請することをおすすめします。
同居時の個人情報の取り扱いの判断は審査官によって指摘内容が大きく変わりますので、上記の例の全てをお金をかけてまで準備したとしても、実際の現地審査では全く触れられないケースもおおいに考えられます。
現状出来る範囲で準備を行い、実際に審査で指摘された足りないものを現地審査後に対応するといった形が一番効率的で、一番お金をかけずに取得できるコツだと考えます。 (MSA富川)

藤井様より
Q.弊社は20名弱の小企業で、事務所はビルの1フロアです。 火災訓練、地震対策訓練等をやる必要が無いと思いますが、 対策文書や実施記録が必要なのでしょうか？
A.対策文書や実施記録は必要ありません。
ただし、「安全管理策として火災訓練や地震対策訓練のマニュアルを作成する」と規定化されている。また、「その実施記録も作成する」と規定化されているのであれば、対策文書や実施記録が必要になります。
ちなみにプライバシーマーク取得を目指すのであれば、物理的安全管理策として、火災対策や地震対策を検討する必要がありますが、その手段は会社毎で決めて頂いてかまいませんので、訓練等を行う必要性は一切ありません。
御社の規模の会社様であれば、安全管理策として火災訓練や、地震対策訓練を規定化されることは非常にまれだと思います。規定化される場合、規定化することによりそれを行う義務が生じますので、普段行っていない行動であれば、規定化することによって負担が生じる可能性があります。
私個人の意見としては規定化する必要はないと考えます。対策文書や実施記録も作成することも規定化しないことをお勧めします。
規定化しなければルールとして確立されていませんので、対策文書も実施記録も必要ありません。(MSA酒井)


近藤様より
Q.教育研修についてご相談です。非常勤役員に教育研修を受けさせる必要がありますでしょうか？受講しなくてもPマークは取得できますか？
A.非常勤役員の方に郵送もしくはメールで研修テキストを送付する対応はいかがでしょうか？
原則、全ての従業者（非常勤役員も含められる）に対して教育研修を行う必要がありますが、教育は従業者全員一律の対応である必要はありません。
例えば、常勤役員と一般社員は集合研修で小テストを行い、非常勤役員はテキスト送付を行い、その方々からは小テストではなく、テキスト閲覧の言質をメールなどで頂けば良いのではないでしょうか？
他の皆様も上席である上に非常勤である役員の方の対応が難しいと頭を悩まされていらっしゃいますが、 非常勤役員だから受講させられないという対応では審査官の印象が悪くなります。集合研修や対面研修が難しいのであれば違う方法を考えることが重要です。(MSA酒井)


匿名様より
Q.外部委託先から契約書を結ぶことが難しい場合はどのような対応が出来ますでしょうか？
A.個人情報の取り扱いに関する契約書や覚書が結べない場合は、最低限、委託先が御社の外部委託基準を満たすかどうかの確認を行ってください。
Pマークで求められる委託先管理の手順は、大きく３つのステップがあります。
�@委託しようとしている会社（もしくはすでに委託している会社）が御社の定める外部委託基準を満たすかどうかの確認を行う。
�A基準を満たした委託先と、JIS規格で求められている内容を盛り込んだ契約書や覚書を交わす。
�B定期的に外部委託基準自体や契約書や覚書、委託先を見直すこと。
ご質問の内容であれば、最低限�@と�Bのステップは行うことは可能だと思われます。
�@の外部委託基準は、通常であれば、御社からチェックシートを送って先方から回答をもらっているかと思います。
今回は、先方回答ではなく、先方の契約約款など個人情報の取り扱いについて記載されているものを「御社で」ご確認頂き、「御社で」チェックシートを作成してください。
そうすれば、先方に手を煩わせる必要はないので、どの委託先でも対応が可能なはずです。チェックシートは必ず先方から回答をもらわないといけないというわけではありません。もらうことが難しい場合は御社でチェックを行ってください。
会社の力関係や、取引関係によっては契約が難しいということは多々あるかと思います。
ただし、だからと言って何もしなくても良いというわけではありません。
�@を先方回答ではなく、御社確認とすればどの委託先でも対応は可能なはずです。まずは�@を満たしたという記録を残してください。
取引の関係上、契約書が結べないとお困りの場合、�@と�Aを一緒に考えてしまっているかもしれません。別々のステップとお考えください。
委託先の手順として、まず、そもそも委託先が御社の外部委託基準を満たしているか確認する必要があります。その上で、基準を満たしている会社であれば今後の取り扱いについても保証してもらう為に契約書や覚書を交わす。
通常であれば、この順番になるはずです。
�A番目の対応が出来ないのであれば、�@の対応を最低限を行ってください。 具体的には、外部委託基準チェックシートとその確認を行った契約約款を記録として残すことです。契約書を取れない理由が怠慢でなければ�@の記録があれば審査は通ります。(MSA富川)