Pマーク取得の流れと期間｜申請から審査・付与までのやることリスト

Pマーク取得の全体の流れ

プライバシーマーク（以下、Pマーク）は、申請書を出せばすぐ審査が始まる制度ではありません。社内の仕組みを作り、実際に1回運用してから申請します。全体は次の順番です。

1. 申請資格を確かめる
2. 体制を決め、文書（方針・規程・台帳・リスク分析など）を作る
3. 文書どおりに運用する（教育・内部監査・マネジメントレビュー）
4. 申請する
5. 形式審査・文書審査
6. 現地審査
7. 指摘事項への改善報告
8. 審査会で判定 → 付与契約・登録

以下、それぞれで何をするかを順に説明します。

STEP1 申請資格を確かめる

最初に、自社が申請できるかを確かめます。主な条件は次のとおりです（出典：JIPDEC「申請資格」）。

• 国内の事業者で、法人単位で申請する（グループ会社でも1社ずつ）
• 社会保険・労働保険に加入した正社員、または登記上の役員（監査役を除く）が2名以上いる
• 個人情報保護管理者と個人情報保護監査責任者を、役員または正社員から別々の人で置く（代表者は監査責任者を兼ねられない）
• 欠格事由や、過去の審査打切り等による申請できない期間に当たらない

2名以上という条件は、管理者と監査責任者を別の人にするためです。1人で運営している会社は申請できません。

STEP2 体制を決めて、文書を作る

次に、個人情報を守るための仕組み（個人情報保護マネジメントシステム、PMS）を文書にします。主なものは次のとおりです。

• 個人情報保護方針（社内に周知し、Webでも公開する）
• 内部規程（取得・利用・提供、安全管理、委託先の監督、教育、内部監査、罰則などを定める）
• 規程で使う様式（同意書、委託先評価表、点検表など）
• 個人情報管理台帳（社内で扱う個人情報の一覧）
• リスク分析（業務ごとに、取得から廃棄までのリスクと対策を整理）
• 教育と内部監査の計画書

それぞれの役割は「Pマークに必要な文書一覧」、台帳の作り方は「個人情報管理台帳の作り方」で詳しく解説しています。

STEP3 文書どおりに運用する（ここを飛ばすと申請できない）

文書ができたら、その内容どおりに運用します。新規申請では、次の3つを少なくとも1回「実施済み」であることが条件です（出典：JIPDEC「新規申請の準備」）。

• 全従業者への教育（役員・パート・アルバイト・派遣社員も含む）
• 内部監査（規程が基準に合っているかの監査と、規程どおりに運用されているかの監査の両方）
• マネジメントレビュー（代表者がPMSの状況を見直し、指示を出す）

JIPDECは、これらが「実施予定」の段階では申請を受け付けないと明記しています。運用期間の最低月数は公式には決まっていませんが、民間では数か月分の記録を用意するよう案内されることが多いです。

ここで大切なのは、実際に行ったことだけを記録することです。実施していない教育や監査を実施したように書いた記録は、虚偽の申請になります。虚偽が判明すると審査は打ち切られ、その後1年間は申請できません（出典：JIPDEC「申請資格」）。

STEP4 申請する

運用の記録がそろったら、申請書類をそろえて申請します。オンライン（Pマークポータル）か郵送で、申請先はJIPDECまたは指定審査機関です。どこに申請するかは業種や本社の所在地で決まります。

主な提出物は、申請書の各様式（体制・事業概要・個人情報を扱う業務・事業所・文書の一覧・教育や監査の実施状況など）、登記事項証明書、定款のコピー、PMS文書一式のコピー、個人情報管理台帳の冒頭1ページ、それに対応するリスク分析の結果です（出典：JIPDEC「申請書類のダウンロード」）。様式は必ずJIPDECの公式ページから最新版を入手してください。

申請料の入金が確認されてから審査が始まります。申請日から1か月を過ぎても申請料が払われていない場合、審査は行われません。費用の詳細は「Pマーク取得の費用」をご覧ください。

STEP5 文書審査

形式的な不備の確認のあと、提出した文書が審査基準（JIS Q 15001:2023に準拠した構築・運用指針）に合っているかが審査されます。不備があれば結果が通知され、現地審査までに直しておくことが求められます（出典：JIPDEC「文書審査」）。

STEP6 現地審査

審査員（原則2名）が会社に来て、運用の状況を確かめます。時間は標準5〜8時間です。おおまかな流れは次のとおりです（出典：JIPDEC「現地審査」）。

• 代表者へのインタビュー（トップインタビュー）
• 管理者・監査責任者などへの運用状況の確認（記録を見せながら説明）
• 執務室などの現場確認（入退室、書類の保管、PCの設定など）
• 総括

現地審査にはコンサルなど従業者以外の人は立ち会えません。代表者・管理者・監査責任者が、自分の言葉で説明できるように準備しておくことが重要です。

STEP7 指摘への改善報告

現地審査のあと、基準に合っていない点をまとめた「指摘事項文書」が届きます。改善した内容と、その証拠（直した文書や記録）をまとめた改善報告を、発行日から3か月以内に出します。6か月以内に是正できない場合は、審査が打ち切られることがあります（出典：JIPDEC「付与適格性審査の実施基準」（PMK220））。

STEP8 審査会・付与契約

改善が確認されると審査会で審議され、付与してよいかが決まります。付与適格の決定通知から3か月以内に付与契約を結び、付与登録料を払うと、登録証とマークのデータが届きます。

全体の期間の目安

申請〜付与の目安はLRM社の解説によるものです（出典：LRM「Pマーク審査の流れ」）。JIPDECは、期間は時期や審査機関によって異なるとしています。急ぐ場合でも、教育・内部監査・見直しを実際に行う時間は短縮できない点に注意してください。

取得後：2年ごとの更新

Pマークの有効期間は2年です。更新の申請は有効期間が満了する日の8か月前から4か月前までに行います（出典：JIPDEC「更新申請」）。更新の審査では、2年間、毎年教育・内部監査・マネジメントレビューを行ってきたかが確認されます。

つまずきやすいポイント

流れの中で、時間を取られやすいのは次の点です。

• 運用の記録が足りない：文書ができてから教育・内部監査・マネジメントレビューを行うため、準備の後半に時間がかかります。最初に年間の予定を決めておきましょう。
• 監査員の組み合わせ：内部監査では、監査する人が自分の部署を監査できません。小さな会社では、誰がどの部署を監査するかを早めに決めておく必要があります。
• 委託先の洗い出し：給与計算、税理士、クラウドサービス、配送、システム保守なども委託に当たることが多く、評価や契約の確認に時間がかかります。
• 現地審査での説明：代表者・管理者・監査責任者が、自社の規程や記録を自分の言葉で説明できるよう、事前に想定問答で練習しておくと安心です。

やることチェックリスト

• 申請資格（2名以上・管理者と監査責任者は別の人）を確かめた
• 規模区分と審査費用の見通しを立てた
• 個人情報保護方針を作り、社内に周知してWebに公開した
• 内部規程・様式を自社の実態に合わせて作った
• 個人情報管理台帳とリスク分析を作った
• 委託先を洗い出し、評価と契約を確認した
• 全従業者への教育を実施し、記録を残した
• 内部監査（基準への適合・運用状況の2種）を実施し、記録を残した
• マネジメントレビューを実施し、議事録を残した
• 申請書類をJIPDECの最新様式でそろえた

セキュカクでできること

セキュカクでは、約5分の質問に答えると、申請までに整える点・期間・審査費用の目安を無料で診断できます。そのまま方針・規程・台帳・リスク分析・教育とテスト・内部監査チェックリストなどの文書一式を、AIが自社用に作ります（1社49,800円・税込）。教育・内部監査・見直しは自社で実際に行う必要があり、記録の様式は空欄のまま作ります。