Pマークの取得企業を調べる方法は？取引先の確認で見る公式の検索を解説

Pマーク（プライバシーマーク）⁠の取得企業は、運営元のJIPDECが公開しているプライバシーマーク付与事業者検索⁠で調べられます。制度のサイトによると、取得している事業者は約17,000社以上あります。

今日やることは、個人情報を預けている委託先を1社選び、契約書にある法人名で検索することです。給与計算、採用管理、発送代行のように社員や顧客の名簿を渡している先から始めると、確認の意味がはっきりします。

公式の検索では何を入れればいい？

検索画面では、事業者名（カタカナの読みでも可）⁠、都道府県、登録番号、業種、審査機関で絞り込めます。取引先の確認なら、確実なのは登録番号です。番号が分からないときは、法人名に都道府県を足します。

登録番号で探すときは、枝番を除いた8桁を入れます。番号の形はJIPDECの説明⁠で次のように決まっています。

かっこ内は更新で増え、表示するかどうかも事業者に任されています。マークの表示と違っていても、それだけで偽物と決めつけず、8桁と法人名が合うかを先に見ます。

検索の結果は事業者の申請書類に基づく情報です。JIS第一・第二水準にない文字は、近い文字に置き換えて表示される場合があります。社名の旧字が見つからないときは、読みや一部の語でも試します。

新しい委託先の候補を探すときは、業種と都道府県で絞る使い方もあります。業種は日本標準産業分類をもとにした制度独自の分類で、大分類と中分類から選びます。自社の業種の呼び方と分類の名前が一致しないこともあるので、絞りすぎず、結果の社名を見ながら広げます。

相手のサイトで先に見られることは？

検索の前に、相手のサイトでも手がかりが取れます。JIPDECの説明⁠によると、付与事業者がサイトでマークを使う場合、マークはプライバシーマーク制度のサイトへ移動するように設定されます。マークが表示されているサイトには、個人情報保護方針も掲載されています。

マークを押しても制度のサイトへ移動しない場合や、個人情報保護方針が見つからない場合は、検索で確かめる優先度を上げます。これだけで不正とは言えないので、次の検索の結果と合わせて判断します。マークは名刺、封筒、説明書、広告の資料にも表示できるので、紙の資料で見かけたときも番号を控えておくと照合が楽です。

取引先の確認で見るのはどの4点⁠？

最初に見るのは法人名です。付与は国内に活動拠点を持つ法人の単位で、グループ企業でも1社ずつの申請⁠になります。医療法人等と学校法人等には一部例外がありますが、一般の会社では親会社の取得を子会社に当てはめられません。

発注するのが販売子会社で、グループのサイトに親会社のマークが載っている場合は、とくに注意します。見るべきなのは、契約書に書く法人の名前です。

有効期限が切れている表示は失効なの？

失効とは限りません。検索サイトの注記は、有効期限を経過している事業者を「審査中または事務手続き中の事業者⁠」⁠と説明しています。

有効期間は2年⁠間で、更新の申請は有効期間が終わる8か月前から4か月前までに行います。審査が続いているあいだに期限の日付を過ぎることがあるため、日付だけで失格とは判断できません。

期限切れの表示が気になる取引先には、更新の状況を聞きます。責める質問にしなくても、「契約の確認で更新の状況を教えてください⁠」⁠で足ります。

もう1つ⁠、検索だけで終わらせず措置の状況のページも開きます。付与の取消しと一時停止になった事業者は、ここに載っています。検索の注記でも、一時停止の事業者は「措置の状況」⁠で公表するとしています。

検索で出ない会社のマークはどう考える？

出ないだけで不正と断定はできません。表記の違いで引っかからないこともあります。読みや旧社名で探し直し、それでも出なければ取引先に登録番号と登録証の提示を頼みます。

それでも確認できず、ロゴだけが使われているなら話は変わります。JIPDECの注意喚起⁠によると、マークを使えるのは付与契約を結んだ事業者だけです。契約が終わったのに掲載を続けている例や、マークを使った模倣サイト、なりすましのECサイトの例も挙げられています。

ロゴの画像は誰でも貼れます。画面のロゴではなく、検索の結果を根拠にします。不正と思われるものを見つけた場合は、JIPDECのお問い合わせフォームが情報提供の窓口です。

Pマークがあれば取引先の安全を確かめたことになる？

なりません。Pマークが評価するのは、個人情報を保護する仕組みとその運用です。JIPDECの比較では、Pマークは組織が取り扱う個人情報を、ISMSは組織が保護すべき情報資産を対象にすると整理されています。

たとえば、金属部品のメーカーが協力工場へ図面を渡す場合を考えます。図面の管理は個人情報の話ではないので、協力工場がPマークを持っていても、図面の扱いを確かめたことにはなりません。一方で、同じメーカーが社員の給与計算を外部に委託するなら、Pマークの確認は意味を持ちます。

渡す情報によって、見る制度を変えます。図面や仕様書を預ける先なら、ISO27001の取得企業の調べ方と適用範囲の見方⁠が先です。対策の中身まで聞くなら、取引先から求められるサプライチェーンセキュリティの項目⁠が質問の土台になります。

同じ比較によると、Pマークの管理は安全対策だけでなく、本人の権利への対応も含みます。取得の前に利用目的を伝えて同意を得ることや、修正や削除の要望に応じることです。

付与の時点で確認された仕組みがあることと、事故が起きないことは別です。確認の結果は、契約時の判断材料の1つとして扱います。事故の報告の窓口や預ける情報の範囲は、契約書で別に決めます。

確認した結果はどう残せばいい？

検索は1回⁠で終わりません。有効期間が2年なので、確認の日付を残さないと、次にいつ見るべきかが分からなくなります。委託先の一覧に、次の欄を足すだけで始められます。

• 契約相手の法人名
• 登録番号の8桁
• 確認した日と有効期限
• 預けている個人情報の種類

委託先が数社なら表計算で足ります。数十社に増え、質問票のやり取りも重なってきたら、セキュリティチェックシート回答・委託先管理ツールの比較にあるような専用の道具が候補に入ります。社外からの評価を並べて見たい場合は、セキュリティレーティングの比較も確認できます。

自社でも取得を考えているなら、手順はプライバシーマークの申請から審査までの流れ⁠にまとめました。付与事業者の増減や業種別、都道府県別の数は、JIPDECの公表資料⁠で確かめられます。文書と記録を管理する道具を探す場合はISMS・Pマーク取得支援ツールの比較が入口です。取引先の確認全体の考え方は、サプライチェーンのセキュリティ⁠のカテゴリにまとめています。