Pマークに必要な文書一覧｜規程・台帳・リスク分析・記録の役割をわかりやすく解説

Pマークの文書は5種類でできている

プライバシーマーク（以下、Pマーク）の審査基準は、JIS Q 15001:2023に準拠したJIPDECの「構築・運用指針」です。この指針では、個人情報保護マネジメントシステム（PMS）の基本となる文書として、おおむね次のものを作るよう求めています（出典：JIPDEC「構築・運用指針」。以下は当サイトによる要約です）。

これに加えて、会社が必要と判断した文書（記録を含む）も作ります。以下、それぞれの役割を見ていきます。

1. 個人情報保護方針

代表者が「個人情報をこう扱います」と約束する文書です。社内に周知するとともに、Webサイトなどで一般の人が見られるようにします。

方針には、事業に合った適切な取得・利用・提供（目的外に使わないこと）、法令や国の指針の遵守、漏えいなどの防止と是正、苦情・相談への対応、PMSの継続的な改善、代表者の氏名、制定日と最終改正日、問い合わせ先などを書きます。

審査では、Webに載っている方針が古いまま（改正日や代表者名が最新でない）という点がよく指摘されます（出典：LRM「審査指摘事項への対応」）。

2. 内部規程

社内のルールと手順を決める文書です。指針は内部規程に入れるべき事項を定めています。主なものを当サイトの言葉でまとめると次のとおりです。

• 個人情報を洗い出して特定する手順
• 関係する法令・ガイドラインを特定して参照する手順
• リスクアセスメントとリスク対応の手順
• 部門・役職ごとの権限と責任
• 漏えいなどの緊急事態への備えと対応
• 個人情報の取得・利用・提供のルール
• 適正な管理（正確性の確保、安全管理措置、従業者の監督、委託先の監督）
• 本人からの開示などの請求への対応
• 教育
• 文書と記録の管理
• 苦情・相談への対応
• 運用状況の確認と内部監査
• 不適合への是正処置
• マネジメントレビュー
• 規程に違反したときの罰則

1冊の「個人情報保護規程」にまとめても、文書管理規程・安全管理規程・委託先管理規程のように分けても構いません。形式より、必要な事項が漏れていないことと、自社の実態どおりに書かれていることが大切です。罰則は就業規則の懲戒規定と結びつけて定めるのが一般的です。

3. 個人情報管理台帳

社内で扱う個人情報を、業務ごとに一覧にした表です。指針では、個人情報の項目、利用目的、保管場所、保管方法、アクセスできる人、利用期限、保管期限、管理する件数（概数でよい）を載せ、少なくとも年1回見直すことが求められています。件数の項目は2023年版の指針で加わりました。

台帳は申請時に冒頭1ページのコピーを提出します。作り方とよくあるミスは「個人情報管理台帳の作り方」で詳しく解説しています。

4. リスク分析（リスクアセスメントとリスク対応）

台帳に載せた個人情報ごとに、取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄といった取り扱いの段階ごとに、どんなリスクがあるかを考え、対策を決める文書です。

2023年版の指針では、リスクを考える基準に「本人の権利利益の侵害」が加わり、漏えいだけでなく、紛失、改ざん、正確性が保てないこと、不正な取得、目的外の利用・提供なども考えるよう例示が広がりました。対策を決めたあとに残るリスク（残留リスク）を把握し、代表者が承認します。

申請時には、台帳の冒頭1ページに対応するリスク分析の結果も提出します。

5. 様式

規程の手順で使う書式です。たとえば次のようなものがあります。

• 個人情報を書面で取得するときの同意書・Webフォームの明示文（利用目的、第三者提供や委託の予定、問い合わせ窓口などを示して同意をもらう）
• 委託先の選定・評価表と、委託契約で確認する事項のチェック表
• 入退室の記録、鍵の管理簿、アカウントの棚卸し表、廃棄の記録
• 事故・ヒヤリハットの報告書、苦情・相談の受付記録、開示等の請求への対応記録

申請時には、様式は記入していない見本を提出します。

6. 計画書

教育と内部監査は、少なくとも年1回、計画を立てて文書にします。いつ・誰に・何を教育するか、いつ・誰が・どの部門を監査するかを決めます。監査する人は自分の部署を監査できません。

7. 記録

PMSを実際に運用した証拠です。指針は、法令等の特定、台帳、リスク分析、教育の実施、苦情・相談への対応、緊急事態への対応、運用状況の確認、内部監査、マネジメントレビュー、不適合と是正処置などの記録を求めています。

新規申請では、全従業者への教育、内部監査、マネジメントレビューを1回以上実施済みであることが条件です（出典：JIPDEC「新規申請の準備」）。記録は必ず、実際に行った日付・参加者・結果で作ってください。実施していないことを実施済みのように書くと虚偽の申請になり、審査の打切りと1年間の申請制限の対象になります（出典：JIPDEC「申請資格」）。

文書を作る順番

文書はどれから作っても構いませんが、次の順番で進めると、前の文書の内容を次の文書に使えて手戻りが減ります。

1. 体制（代表者・個人情報保護管理者・監査責任者・各部門の責任者）を決める
2. 個人情報保護方針を作る
3. 業務を洗い出し、個人情報管理台帳を作る
4. 台帳をもとにリスク分析を行い、対策を決める
5. 対策を反映して内部規程と様式を作る
6. 教育と内部監査の計画を立てる
7. 計画どおりに教育・内部監査・マネジメントレビューを行い、記録を残す

規程を先に作ってしまうと、台帳やリスク分析の結果と合わなくなり、書き直しが発生しがちです。台帳とリスク分析を先に作り、その結果を規程に反映するのがポイントです。

申請時に提出する書類

申請時には、JIPDECの申請様式（申請書、体制、事業者概要、個人情報を扱う業務の概要、事業所の一覧、PMS文書の一覧、教育や内部監査・マネジメントレビューの実施状況など）に加えて、次のものを出します（出典：JIPDEC「申請書類のダウンロード」）。

• 登記事項証明書（3か月以内の原本）と定款のコピー
• 最新のPMS文書一式のコピー
• 個人情報管理台帳の冒頭1ページのコピー
• それに対応するリスク分析結果のコピー

申請様式は年度などで変わることがあるため、必ずJIPDECの公式ページから最新版を入手してください。

審査で指摘されやすい文書のポイント

民間の解説記事でよく挙がる指摘を、文書の観点でまとめると次のとおりです（出典：LRM、イーポート）。

• 規程と実態が違う（規程では持ち出し禁止なのに、USBメモリが自由に使われている など）
• 古い版の基準に合わせたままの規程、規程どうしの矛盾
• 台帳への登録漏れ（従業者・採用応募者・名刺・問い合わせなど）
• リスク分析が形式的で、業務ごとの具体性がない
• 委託先の洗い出し漏れ、委託契約の個人情報の条項が足りない
• 教育の記録がない、対象者に漏れがある

どれも「文書を作ること」より「自社の実態に合わせること」の問題です。

セキュカクで作れる文書

セキュカクでは、質問に答えるだけで、個人情報保護方針・規程・個人情報管理台帳・リスク分析・教育とテスト・内部監査チェックリスト・同意書など15点を、AIが自社の業務と体制に合わせて作ります（1社49,800円・税込）。規格の本文は載せていません。記録の様式は空欄で作り、実施していないことを実施済みとは書きません。