Pマーク（プライバシーマーク）の付与事業者で個人情報の事故が起きると、審査機関への報告が必要になり、その内容に応じて措置なし、注意、勧告、一時停止、取消しのいずれかが決まります。
今日やることは、事故のときに使う3つの情報を1枚にまとめることです。自社のPマークを審査した審査機関の名前、Pマークポータルのアカウントを持つ担当者、速報が必要な事故の条件です。アカウントの持ち主が異動していると、報告の入口で止まります。
仕組みの元は、JIPDECが公開しているプライバシーマーク付与に関する規約（PMK500）です。この記事では2024年10月31日施行の版を確かめました。
「違反」とはどの場面を指す？
大きく分けると、個人情報の事故と、規約上の手続きに反する行為の2つです。
事故については、JIPDECの事故等の報告のページが次の9つを挙げています。漏えい、紛失、滅失・き損、改ざん・正確性の未確保、不正・不適正取得、目的外利用・提供、不正利用、開示等の求め等の拒否、そしてこれらのおそれです。
規約上の手続きでは、第18条に取消しの理由が並びます。申請や審査の虚偽、正当な理由のない調査の拒否、一時停止に従わないこと、第5条の欠格事由に当たることなどです。
Pマークの措置は、JIPDECとの付与契約と規約に基づくものです。個人情報保護法に基づく国への報告とは別の手続きとして考えます。
事故が起きたら、いつまでに誰へ報告する？
報告先は、付与の適格決定を受けた審査機関です。Pマークポータルの事故報告システムを使うと、審査機関と付与機関の両方に共有されるとJIPDECは案内しています。
期限は発覚日から数えます。
| 報告 |
期限 |
対象 |
| 速報 |
概ね3〜5日以内 |
下の条件に当たる事故等 |
| 確報 |
原則30日以内（不正の目的のおそれがあれば60日以内） |
事故等のすべて |
速報が必要なのは、次のいずれかに当たる場合です（おそれを含みます）。
- 要配慮個人情報が含まれる
- 不正に利用されて財産的被害が生じるおそれがある
- 不正の目的をもって行われたおそれがある
- 本人の数が1,000人を超える
- 付与機関が重大な違反があると認めた
マイナンバーが含まれる場合は、100人を超える場合なども速報の対象です。件数の扱いも確かめてください。規約の別紙2は、漏えい等した個人情報が1件でもあれば報告するとしています。
報告の方法を当日確かめる
JIPDECのページには、2026年10月以降のアクセス集中を受けて事故報告システムをメンテナンスしており、再開までは提出フォームから出すよう案内が載っています（2026年11月に確認）。事故が起きた時点の案内を確かめてください。
個人情報保護委員会への報告は別に確かめます。委員会の案内にある対象に当たれば、法律に基づく報告も必要です。社内の手順書では、2つの報告先を別の行に書いておくと、片方の出し忘れを防げます。
報告のほかに、本人への通知と公表も規約にあります。第14条は、事故の事実と概要を速やかに本人へ通知し、可能な限り公表するよう求めています。
措置はどう決まる？
規約の別紙2によると、欠格性の判断は次の3つの観点で評価します。
- 事故の結果：対象の個人情報の内容と、本人への被害の状況
- マネジメントシステムの状態：早急な改善が必要か、調査と対応が適切だったか
- その他の要素：責任を軽くする事情があるか、社会的な影響はどうか
調査と対応が適切だったかも評価の材料です。期限内に事実を出しておくほうが、取引先や本人にも説明しやすくなります。
措置の種類は次のとおりです。
| 措置 |
内容 |
規約の公表の定め |
| 措置なし |
自社で制御できる範囲を超えた事故など |
定めなし |
| 注意 |
気を付けていても起こりうる事故。再発防止を促す |
定めなし |
| 勧告 |
是正処置を2か月以内に完了するよう要請 |
必要なら公表することがある |
| 一時停止 |
是正処置を1〜12か月以内に完了するよう要請し、その間マークの使用を停止 |
ホームページで公表 |
| 取消し |
マネジメントシステムの再構築が必要な場合など。使用を直ちに停止 |
ホームページで公表 |
措置とは別に、第13条は、付与機関が事故報告を受けた旨を公表できるとしています。
一時停止と取消しは、事業者に弁明や聴聞の機会を与えたうえで、制度委員会の審議を経て決まります。措置に納得できない場合は、第22条で異議を申し出られます。
一時停止になると、マークの広告と使用を止め、登録証を返します。取消しでも使用を止めて登録証を返すので、会社案内、名刺、封筒、サイトのどこにマークがあるかを把握しておくと、差し替えに困りません。
実際にはどれくらい起きている？
事故の報告は珍しいことではありません。JIPDECの2025年度の集計では、2,021社から10,633件の報告がありました。
- 速報の要件に当たるとして報告された件数：4,013件
- 発生事象で最も多いもの：漏えい 6,766件（70.1%）
- 事象分類で最も多いもの：誤配達・誤交付 3,105件（37.8%）
- 不正アクセス：848件（10.3%）
不正アクセスの増加について、JIPDECは、攻撃を受けたシステムやサービスの利用事業者からも報告があったためで、それを除くと発生件数は前年度とほぼ同じ水準だとしています。使っているサービス側の事故でも、報告が必要になる場面があると読めます。
取消しや一時停止は、確認した時点で出ていません。措置の状況のページは、2026年10月1日の更新時点で、取消しと一時停止を受けている事業者はないとしています。過去には、2024年9月20日に取消しの措置が公表された例があり、措置の終了後に事業者名は削除されています。
総務は事前に何を決めておく？
製造業でも、Pマークの範囲で扱う個人情報は従業員や応募者、取引先の担当者など幅広くあります。たとえば、部品メーカーの総務が採用の応募者一覧を別の宛先に送った場合、応募者の情報の漏えいとして、報告の要否を確かめる場面になります。工場の図面の流出は、それ自体は個人情報の事故と限りませんが、担当者の氏名や連絡先が含まれていれば確かめが要ります。
手順書に入れる5つ
- 発覚の時刻を誰が記録するか（期限の起点になる）
- 速報の条件に当たるかを、誰がその日に判断するか
- 審査機関、個人情報保護委員会、本人への連絡の担当者
- ポータルのアカウント担当者と、その代わりの人
- 委託先の事故を知ったときの連絡の順番
再発防止の報告にも備えます。JIPDECの案内によると、措置の通知で実施状況の報告を求められた場合は、受領日から2か月以内に出します。
事故の傾向を見ると、人の操作の間違いへの備えが中心になります。誤送信やデータの持ち出しを仕組みで減らす方法はDLP（情報漏えい対策）の製品比較で、操作の間違いを減らす教育はセキュリティ教育サービスの比較で確かめられます。規程と記録の管理を見直すなら、ISMS・Pマーク取得支援ツールの比較も材料になります。
Pマークに加えて情報全体の認証を検討している場合は、ISMSの認証機関の選び方を見てください。取引先の要請と認証の全体像は、サプライチェーンのセキュリティ対策の一覧にまとめています。
