Pマーク（プライバシーマーク）の委託先管理とは？基本的な方法を紹介 

Pマークを取得・更新するためには、自社内で個人情報保護に関するルールを決めて遵守することはもちろん、個人情報を預けている委託先の管理も求められます。

本記事ではPマークにおける委託先管理とは何か、管理の方法などとあわせて紹介します。

そもそもPマークとは何か概要を知りたい方は、こちらの記事をご覧ください。
Pマーク（プライバシーマーク制度）とは？取得までの流れやISMS認証との違いなどを解説

SecureNaviを活用して、Pマークの取得や運用の工数を軽減しませんか？
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

Pマークにおける「委託先管理」とは

Pマークにおける委託先管理とは、自社の従業員や顧客の個人情報を預けている外部の企業や個人事業主、サービスなどを管理することです。

委託先を洗い出して一覧リストを作り、評価基準を設け、各委託先が適切な個人情報保護の施策を行っているか評価します。具体的な方法は、次の項目で紹介します。

個人情報保護法の第22条では、一部または全ての個人情報を委託先に預ける場合、委託先で安全管理が図られているか適切な監督を行うことを義務付けています。

またPマークの規格であるJIS Q 15001にも「委託先の監督」が要求事項として含まれているため、Pマークの取得・更新のためには委託先管理も必ず行わければなりません。

委託先管理の方法

委託先管理の方法を見ていきます。以下の流れで進めるのが基本です。

1. 委託先の一覧リスト作成

2. 評価方法・評価基準の決定

3. 委託先の評価の実施

委託先の一覧リスト作成

まずは委託先の一覧リストを作成します。個人情報を預けている委託先の洗い出しを行いましょう。取引先企業はもちろん、社労士や税理士など自社の業務を一部委託している相手や、Googleドライブ、Office365などのサービスで個人情報を管理している場合はそのサービスも全てリストアップします。

リストはExcelやGoogleスプレッドシートなどで作成するとスムーズでしょう。

リストには委託先の名前とあわせて、委託している業務の概要と次に行う評価の合否結果を記載できる欄も用意しておいてください。

評価方法・評価基準の決定

続いて委託先が適切な個人情報保護・管理の施策を行なっているか評価する方法を決定します。以下の方法のいずれかで行うのが一般的です。

• 評価アンケートの送付

• 委託先での実地調査

• 委託先が公開している利用規約・情報セキュリティポリシーの確認

自社のリソースや、委託先の対応のしやすさなどを考慮して方法を決めましょう。

あわせて、委託先が適切な情報管理を行っているか評価するための基準も決定します。例えば、以下のような基準を作ります。

• ISMS（情報セキュリティマネジメントシステム）認証やPマークを取得している

• ISMSやPマークを取得していないが、作成した評価アンケートで質問の8割以上に「はい」と回答すれば、情報管理の基準を満たしていると判断する

ISMS認証やPマークを獲得していることは、第三者の審査機関による審査をクリアした情報管理体制を構築・運用できていることを証明しているため、評価基準として用いられることがよくあります。

しかし、ISMS認証やPマークなどを取得していない企業もあるので、預ける情報の重要性を考慮しながら、委託先として認められるアンケートの回答水準を決めることも必要になるでしょう。決定した水準以上の回答がアンケートによって得られれば、ISMS認証・Pマークなどを取得していない企業でも委託先として認めることができます。

委託先の評価の実施

決定した委託先の評価方法で、評価を実施しましょう。実施後は、委託先ごとの評価をリストにまとめ、保管しておいてください。Pマークの取得や更新の際に、委託先管理を行っている証明としてリストの提出が求められます。

委託先が評価基準に達しない場合の対応

アンケートなどを行った結果、委託先が評価基準に達していないことが明らかになるケースも考えられます。その場合は委託先を変更し、基準を満たす事業者を探すことが求められます。

しかし、依頼している業務の内容やこれまでの信頼関係などから別の事業者と契約するのが難しいことも考えられるでしょう。このようなケースでは、特例として「昔から業務を委託している取引相手であり、先方の情報セキュリティ対策や個人情報保護の状況などを自社でも把握・信頼できているので問題ない」と認定し、委託先として継続することも可能です。

委託先がアンケートに回答してくれない（アンケートを実施できない）場合の対応

アンケートによって委託先の評価を行う場合、個人情報を預けている委託先全てにアンケートを実施し、評価を行います。もし委託先企業がアンケートの回答を返信してくれない場合は、別の評価方法に切り替える必要があるかもしれません。「実地調査を提案し、日程調整をする」などの方法をとりましょう。

あるいは「Googleドライブに顧客の個人情報を保管してる」などの場合、本来は運営元であるGoogleにアンケートに回答してもらう必要があります。しかし膨大なユーザーを抱えるGoogleのような企業が全てのアンケートに対応することはできません。このような委託先についてはアンケートを実施するのではなく、公式Webサイト上で公開している利用規約やセキュリティポリシーを確認することでアンケートに回答したとみなすことも可能です。

SecureNaviを活用して、Pマーク運用の工数を軽減しましょう

今回は、Pマークにおける委託先管理の内容や、管理の方法などを紹介しました。社会的な情勢や個人情報保護に関する法令、自社から委託先に預ける個人情報の種類・数、委託先の情報セキュリティ体制などは常に変化します。そのため、委託先の評価を定期的に見直す必要があります。
Pマークの取得・更新審査のときも委託先管理を適切に行っているか審査機関にチェックされます。本記事の内容を参考に、委託先管理を行いましょう。

現在Pマークの運用や維持に関して課題を感じているのであれば、「SecureNavi」の活用がおすすめです。SecureNaviはISMS認証やPマークで必要となる取り組みが、効率的な運用となるようにナビゲートされるので、組織の情報セキュリティレベルを向上させることが可能なクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、無駄のない必要最低限の工数・リソースで認証取得・運用が可能になります。
ぜひ、下記フォームからサービス紹介資料をダウンロードいただき、貴社のPマーク維持の業務効率化や負担期限に繋がりそうかご確認ください。