COLUMN

コラム・お役立ち情報

Pマークの審査で、中小企業がつまずきやすいポイントを6つにしぼって紹介します。洗い出し漏れ、教育の記録、内部監査、委託先、利用目的、社長への報告。

INFORMATION

Pマーク審査で、中小企業が指摘されやすい6つのポイント

プライバシーマーク（Pマーク）の審査では、「ルールがあるか」だけでなく、「そのとおりに運用していて、記録が残っているか」も見られます。この記事では、中小企業の会社でつまずきやすいポイントを6つにしぼって紹介します。

書類をきれいに作っても、現場でやっていることや記録が追いついていないと、指摘につながることがあります。「決めたこと」「やっていること」「記録」の3つがそろっているかが、いちばんの見どころです。

名刺、履歴書、応募者の情報、防犯カメラの映像、メールの宛先リスト、取引先の担当者の連絡先なども、個人情報です。「うちはお客様の個人情報がほとんどない」と思っていても、社員や取引先の情報があります。台帳にのっていないものが、あとから見つかることがあります。

ポイント：部署ごとに「どんな紙やデータを、何のために持っているか」を聞き取ります。年に1回は見直します。

全員が受けたか、内容を理解できたかが見られます。休んでいた人、パートの人、新しく入った人、役員が、抜けやすいところです。日付、内容、対象者、テストの結果などの記録も必要です。

ポイント：対象者の名簿と照らして、受けていない人をすぐ確認します。理解度テストの結果も残しておきます。

内部監査で見つかった問題は、「直しました」だけで終わらせず、原因を調べて、同じことが起きないようにします。原因と再発防止の記録が薄いと、指摘されやすくなります。また、自分の仕事を自分で監査すると公平ではないので、小さな会社ほど、監査をする人の決め方に悩みます。

ポイント：「指摘の内容」「原因」「直したこと」「直ったかの確認」を、1枚にまとめておきます。

個人情報の扱いを外の会社にまかせるときは、「選ぶ」「契約する」「確認する」の3つが必要です。このうち、「確認する」が抜けやすいところです。クラウドサービスも、委託先として考えます。

ポイント：委託先の一覧を最新にします。年に1回は、今も任せて大丈夫かを確認して、記録を残します。契約書に、個人情報の扱いが入っているかも見ておきます。

問い合わせフォームや採用ページで、「何に使うのか」が、本人に分かるように書かれているかが見られます。書いてあることと、実際の使い方が合っていることも大切です。

ポイント：フォームやプライバシーポリシーの文章を、実際の使い方と見くらべます。

事故の状況、監査の結果、教育の結果、ルールの変更などを社長に報告して、判断や指示をもらった記録が必要です。形だけの議事録だと、物足りないと見られることがあります。

ポイント：報告する内容を、あらかじめ決めておきます。社長の判断や指示は、短くてもよいので、そのまま書いておきます。

6つに共通しているのは、「決めたこと」「やっていること」「記録」がずれてしまうことです。審査の直前にあわてて整えるのではなく、ふだんから少しずつ記録を残しておくと、ずっと楽になります。

「うちは大丈夫かな」と思ったら、お気軽にご相談ください。教育の実施と記録には、Pマーク基礎教育サービス「Pトレ・iトレ」や、情報セキュリティ定期教育サービス「セキュトレ」もご利用いただけます。