プライバシーマークの取得方法は？申請から審査までの流れと準備を解説

プライバシーマークの取得は、社内の仕組み（PMS）⁠を作って1回運用し、書類を申請して文書審査と現地審査を受け、JIPDECと付与契約を結ぶ流れです。規程を作るだけでは申請できず、運用した記録を提出します⁠。

今日やることは、申請資格と申請先の確認です。責任者を任せられる社内の2名⁠を決め、本社の所在地と業種から申請先を調べます。

申請できる会社の条件は？

申請できるのは国内に活動拠点を持つ事業者で、付与は法人の単位です。条件の中で最初に確かめるのは人数です。社会保険・労働保険に加入した正社員、または登記上の役員（監査役を除く）⁠が2名以上必要です。個人情報保護管理者と個人情報保護監査責任者を、1名ずつ置くためです。

この2つ⁠の役と申請担当者は、申請事業者の従業者から選びます⁠。グループ会社の人や社外の人は就けません。パート・アルバイトも担当できません⁠。作業を外部に手伝ってもらう場合でも、責任者は社内に置く必要があります。

グループ企業も1社ずつの申請です。親会社が持っていても、子会社は別に取得します。欠格事由や、過去の審査結果による申請不可の期間もあります。審査機関から不適格の決定を受けると3か月⁠、付与契約を解除されると1年⁠は申請できません。

申請先は、次の順に判断します。

1. 保健・医療・福祉の分野なら、医療情報システム開発センター
2. 指定の審査機関の会員等なら、その機関
3. 本社の登記上の所在地で決まる地域の機関
4. どれにも当たらなければJIPDEC

審査機関は19機関とJIPDECです。たとえば本社が愛知県にある会社なら、上の1と2に当たらない場合は中部産業連盟が申請先です。オンライン申請は現在JIPDEC向けで、2026年12月からほかの審査機関にも広がります（一部の機関は独自のシステムです⁠）⁠。

申請前に何を作っておく？

JIPDECの案内は、計画、実施、点検、改善のサイクルを少なくとも1回以上実施しておくよう求めています。体制と規程だけでは申請できません。提出する書類から逆算して、私たちは次の順番で整理しました。

1. 責任者を決め、個人情報保護方針を定める
2. 扱っている個人情報を洗い出し、台帳にする
3. リスクを分析し、対策を決める
4. 内部規程と様式を整える
5. 全従業者に教育を行う
6. 内部監査を行う
7. 代表者が見直す（マネジメントレビュー）

たとえば、金属加工のメーカーでは、顧客名簿を持たないから関係ないと思いがちです。実際には、社員の人事・給与の情報、応募者の履歴書、取引先担当者の名刺、健康診断の結果などがあります。洗い出しは、総務と営業と工場の事務所を回って現物を見ると漏れが減ります。

Pマークは個人情報の保護を評価する制度です。図面や仕様書の管理を取引先に示したいなら、ISMSの認証と範囲の考え方⁠も見てから、どちらを先に取るかを決めます。

申請書類には何が必要？

オンライン申請の案内⁠に載っている新規申請の書類は、次のとおりです。基本情報と体制はポータルサイトで入力します。

任意の提出として、教育や内部監査、マネジメントレビューの記録があります。案内によると、事前に出すと現地審査の時間の短縮につながります。すべての事業所を書く様式があるので、小さな営業所や倉庫も拾っておきます。

内部規程は文書審査の確認項目⁠を見ながら作ります。個人情報の特定、リスクアセスメント、権限と責任、緊急事態への対応、開示等の請求への対応、教育、点検、是正処置、罰則など、最低限の手順が列挙されています。構成や名称を同じにする必要はありません。

文書と記録の量が増えて表計算で追いにくくなったら、ISMS・Pマーク取得支援ツールの比較が参考になります。規程づくりから外部の支援を受けるなら、セキュリティコンサルティングの比較があります。

審査はどう進む？

JIPDECへ申請する場合の流れは、次の5段階です。

1. 申請：申請の受付後、申請料を振り込むと形式審査が始まる
2. 形式審査〜文書審査：書類の不備と業種・規模を確かめ、内部規程が指針に合うかを審査する。不備は現地審査までに直す
3. 現地審査：仕組みのとおりに運用されているかを確かめる
4. 審査結果の連絡：審査会で付与適格性の有無が決まる
5. 付与契約手続き：JIPDECと付与契約を結ぶ

現地審査は、代表者へのインタビュー、運用状況の確認、現場の確認、総括の順に進みます。代表者には、申請の動機や個人情報保護方針、マネジメントレビューなどが聞かれます。審査員は実際に個人情報を扱う執務室や作業場も確認します。

標準の時間は5時間から8時間です。事業所が分散している場合などは、事前に協議して時間と審査料が決まります。指摘事項があれば、指摘事項文書の日付から3か月以内に、証拠を添えて改善報告書を出します。

全体の期間は、JIPDECの案内でも申請の時期や審査機関によって異なるとされています。取引先から期限を切られているときは、申請先に先に確かめます。

費用はいくらかかる？

料金表は2026年10月1日⁠に改定されました。消費税込みの新規の金額は次のとおりです。

現地審査の交通費と宿泊費は別です。申請料と審査料は審査の結果に関わらず必要です。規模は申請時の従業者数で判断し、現地審査で最終的に確定します。

有効期間は2年⁠間で、更新の費用は小規模で244,200円です。更新の申請は、有効期間が終わる8か月前から4か月前までに出します。

負担を軽くする方法もあります。JIPDECの案内⁠によると、取得と運用の無料の相談室と、新規申請向けのセミナーがあります。一部の自治体には取得費用の補助・助成があり、案内には東京都の区などの例が載っています。受付期間は制度ごとに違うので、地元の自治体に確かめます。

取ったあとに続くことは？

取得後も、教育、内部監査、見直しを続けて回す前提で計画します。更新の審査は2年ごとに来ます。漏えいなどで付与が一時停止されると、その間は申請もできません。データの持ち出しや誤送信を仕組みで抑えたいときは、DLP（情報漏えい対策）⁠の比較が確かめる先になります。

取得する意味を考える材料としては、IPAの2024年度調査の概要⁠があります。Pマークを持つ企業は、持たない企業より、セキュリティ要請への対応が取引につながったと答えた割合が約2.5倍でした。関連を示す数字で、取得すれば取引が増えるという意味ではありません。

付与されると付与事業者検索で調べられます⁠。取引先に番号を聞かれたら、法人名と登録番号を答えられるようにしておきます。取引先が求めていること全体は、サプライチェーンセキュリティの項目と優先順位と、サプライチェーンのセキュリティ⁠のカテゴリで確かめられます。