個人情報とPマークの関係｜法律との違い・費用・取得の流れ

2026年3月3日

＠SOHO編集部

この記事のポイント

✓個人情報の取り扱いとPマーク（プライバシーマーク）の関係を
✓個人情報保護法との違いから整理しました
✓取得のメリットと費用の目安

まず、安心してください。個人情報とPマークの関係でつまずく人のほとんどは、「法律で決まっているのか、任意なのか」がはっきりしないまま話を進めているだけです。ここさえ整理すれば、残りの論点は順番に片付きます。

結論を先に書きます。Pマーク（プライバシーマーク）は法律上の義務ではありません。個人情報保護法はすべての事業者に適用される法律で、これは守らなければならない。一方でPマークは、その法律よりも一段厳しい基準を満たしていることを第三者が認める、任意の認証制度です。つまり「法律が下限で、Pマークが上乗せ」という関係になっています。

この記事では、両者の関係を整理した上で、取得のメリット、実際にかかる費用、標準的な期間、運用で問われるポイント、ISMSとの使い分け、そして在宅で仕事を受ける側が求められる対応までを順に書きます。私は技術文書のライティングと品質管理の仕事をしてきた中で、Pマークを取得した会社からの委託業務にも関わってきました。取る側と、取った会社と取引する側の両方から見た話をします。

個人情報保護法とPマークは何が違うのか

まず土台になる法律から整理します。個人情報保護法は、個人情報を取り扱うすべての事業者に適用されます。以前は取り扱う人数が5,000人以下の小規模事業者は対象外でしたが、この要件は撤廃されました。現在は、名簿を1件でも業務で使っていれば法の対象です。個人事業主も例外ではありません。

法律が求めているのは、利用目的を特定して通知すること、目的外の利用をしないこと、安全管理措置を講じること、第三者提供の際に同意を得ること、本人から開示や削除の請求があったら応じること、といった内容です。加えて、漏えいなどが起きた場合は個人情報保護委員会への報告と、本人への通知が義務付けられています。以前は努力義務でしたが、義務に変わりました。ここは押さえておいてください。

Pマークは、この法律を守ることを前提として、さらに組織的な仕組みを作って回していることを認証する制度です。基準となるのはJIS Q 15001という日本産業規格で、個人情報保護マネジメントシステム（PMS）の要求事項を定めています。運営しているのは一般財団法人日本情報経済社会推進協会（JIPDEC）で、審査は指定された審査機関が行います。

制度の説明は、公式にはこう書かれています。

プライバシーマークは、「個人情報を適切に管理している」と評価された事業者が使用できるマークです。個人情報保護の管理レベルの向上やお客様からの信頼獲得のため、現在、約17,700社以上の事業者がこのマークを取得しています。プライバシーマークを取得している事業者（付与事業者）は、プライバシーマークを通じて、「個人情報」を適切に取り扱っていることを取引先・消費者のみなさまにお伝えするとともに、日々、個人情報の保護・管理に取り組んでいます。出典: privacymark.jp

ここで注目したいのは「取引先・消費者のみなさまにお伝えする」という部分です。Pマークの本質は、社内の安全性そのものより、外部への証明にあります。自社がきちんとやっているかどうかは内部の問題ですが、それを取引先に納得してもらうには第三者の評価が要る。この構造を理解すると、取得すべきかどうかの判断がしやすくなります。

Pマークを取得するメリットは、どの場面で効くのか

メリットは大きく4つに分かれます。

1つめは、入札と取引の要件を満たせることです。官公庁や自治体の入札条件、大企業の取引先選定基準にPマークが挙げられていることがあります。この場合、取得していなければ土俵に上がれません。逆に言うと、そうした案件を狙っていない会社にとっては、この効果はゼロです。自社の取引先がどこを見ているかで価値が変わります。

2つめは、営業上の信用です。個人情報を預ける側から見ると、Pマークの有無は判断材料になります。とくに人材、教育、通販、コールセンター、健康・医療関連など、大量の個人情報を扱う業種では、有無が受注の分かれ目になることがあります。

3つめは、社内の整備が進むことです。これは副次的な効果ですが、実務上は大きい。取得のプロセスで、個人情報の棚卸し、アクセス権限の整理、委託先の管理、教育の実施、内部監査の仕組みを一通り作ることになります。取得を目指さないと、この整備はなかなか進みません。

4つめは、事故が起きたときの説明責任を果たしやすくなることです。日頃から手順を定め、記録を残していれば、万一の際に「何をやっていたか」を示せます。記録がない会社は、対応の妥当性を証明できません。

制度の公式サイトでも、導入の利点は次のように案内されています。

誰もが知っておきたい、個人情報の取り扱いに関する役立つ情報をお届け！プライバシーマークの導入メリットも詳しくご紹介します。出典: privacymark.jp

一方で、リスクも正直に書いておきます。取得すると、運用の負荷が恒常的に発生します。年1回以上の教育、年1回以上の内部監査、事業者代表による見直し、記録の保管。これを回す人員がいない会社が取得すると、更新のたびに疲弊します。メリットだけで判断しないでください。

取得までの流れと、標準的な期間

取得の手順は、おおむね次の順番です。

第1段階は、現状把握と体制づくりです。個人情報保護管理者と監査責任者を決め、社内のどこにどんな個人情報があるかを洗い出します。この棚卸しが最も時間を食います。営業部の名刺、人事部の履歴書、経理の口座情報、Webサイトの問い合わせフォーム、委託先に渡しているリスト。想像以上に散らばっています。

第2段階は、文書の整備です。個人情報保護方針、規程類、様式、リスク分析の記録を作ります。ひな型を使って構いませんが、自社の実態に合わせて書き換えないと、次の段階で破綻します。

第3段階は、運用と記録です。作った規程どおりに実際に業務を回し、教育を実施し、内部監査を行い、代表者が見直しをする。この一巡した記録がないと審査に進めません。ここが「文書だけ作れば取れる」と誤解されやすい部分です。

第4段階が、申請と審査です。申請書類を提出し、文書審査を受け、その後に現地審査があります。指摘事項が出たら改善報告を提出し、承認されれば付与登録となります。

期間の目安については、こう説明されています。

Pマークの取得には、会社が信頼を獲得し、入札や取引を有利に進められるなどのメリットがあります。取得には、PMS（個人情報マネジメントシステム）の導入および運用も含め、標準的には7－8か月の期間を要します。その間に、要求事項を満たすようにPMSを運用し、取得審査を実際に受けることが必要です。出典: lrm.jp

7か月から8か月という数字は、私の見てきた範囲でも実感に合います。入札の締め切りに間に合わせたいという相談が来ることがありますが、半年を切っている状況からの取得はかなり厳しい。逆算して動いてください。

費用の内訳と、規模による違い

費用は2種類に分かれます。JIPDECに支払う審査関係の費用と、社内の作業やコンサルティングにかかる費用です。

審査関係の費用は、申請料、審査料、付与登録料の3つで構成され、事業者の規模区分によって金額が変わります。JIPDECが公表している料金表では、小規模事業者で合計およそ31万円、中規模事業者で約63万円、大規模事業者で約126万円という水準です。金額は改定されることがあるため、申請前に公式の料金表を確認してください。規模区分は従業員数と業種によって決まります。

これに加えて、社内のコストがあります。文書整備と運用の立ち上げに人を割く必要があり、専任がいない会社では通常業務と並行することになります。外部のコンサルティングを使う場合は、別途数十万円規模の費用が発生します。自社でやるか外注するかは、社内に文書作成の経験者がいるかで判断してください。規程や報告書の書式を整える力は取得後も必要になるので、その体系を押さえておきたい人にはビジネス文書検定の出題範囲が参考になります。

更新時にも費用がかかります。Pマークの有効期間は2年で、継続するには更新審査を受けます。更新時の審査料は新規より抑えられていますが、ゼロではありません。2年ごとに費用と工数が発生する前提で予算を組んでください。

費用を抑える方法として、中小企業向けの補助制度を活用する道もあります。セキュリティ関連の投資に使える制度の探し方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で具体的に扱っています。認証取得そのものが対象になるとは限りませんが、関連するシステム導入と組み合わせると負担を軽くできる場合があります。

運用で実際に問われるポイント

審査で指摘が出やすい箇所は、だいたい決まっています。

第一に、委託先の管理です。個人情報を含む業務を外部に出している場合、委託先の選定基準、契約書での取り決め、定期的な確認の記録が求められます。「長い付き合いだから大丈夫」は通用しません。フリーランスに業務を出している場合も、委託先管理の対象になります。

第二に、アクセス権限です。誰がどの情報にアクセスできるかが整理されているか。退職者のアカウントが残っていないか。共有アカウントを使い回していないか。この確認は取得後も定期的に必要です。認証の強化を検討している会社は多く、製品選定の論点はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版に整理されています。パスワードだけの運用は、審査でも実務でも指摘の対象になりやすい部分です。

第三に、教育の実施記録です。年1回以上、全従業者に教育を行う必要があります。実施しただけでなく、誰が受けたかの記録と、理解度の確認が求められます。形だけの資料配布では不十分です。教育の設計と効果測定をどう組むかは社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが参考になります。訓練型にすると、記録も残しやすく、従業員の反応も変わります。

第四に、内部監査です。自分の部署を自分で監査することはできないため、部署をまたいだ体制を組む必要があります。小規模な会社では人手が足りず、ここが形骸化しやすい。

第五に、記録の保管です。取得時に一度作って終わりではなく、日々の記録が継続して残っているかを見られます。更新審査では、この2年分の運用記録が中心的な確認対象になります。

個人情報の棚卸しを、実際にどう進めるか

取得の可否にかかわらず、最初にやるべきなのが棚卸しです。ここは自社でやるしかない作業なので、手順を具体的に書いておきます。

第1手順は、業務の流れごとに洗い出すことです。部署ごとではなく、業務の流れで見てください。たとえば採用業務なら、応募の受付、書類選考、面接、内定、入社手続き、不採用者の書類返却または破棄という流れがあり、それぞれの段階で個人情報が発生し、移動し、保管されます。部署単位で数えると、部署をまたぐ受け渡しが抜け落ちます。

第2手順は、保管場所を全部書き出すことです。サーバーの共有フォルダ、クラウドストレージ、業務システム、個人のパソコンのデスクトップ、メールの受信箱、紙のファイル、鍵のかかっていないキャビネット。見落とされやすいのは、メールと個人のパソコンです。実務では、ここに最も多くの個人情報が溜まっています。

第3手順は、外に出ている分を追うことです。委託先に渡したリスト、印刷会社に送った宛名データ、イベント運営会社に共有した参加者名簿。外部に出た情報は、戻ってきているか、削除されたかまで確認する必要があります。ここが最も抜けます。

第4手順は、それぞれにリスクを付けることです。漏れたときの影響が大きいものはどれか、アクセスできる人が多すぎるものはどれか、保管期間を過ぎても残っているものはどれか。リスクの高い順に対策を当てれば、限られた工数でも効果が出ます。

この棚卸しをやると、たいていの会社で「もう使っていないのに残っているデータ」が大量に見つかります。使っていない個人情報を削除するだけで、リスクは目に見えて下がります。取得を目指さない会社でも、この作業だけはやる価値があります。

よくある誤解を3つ整理しておく

相談を受ける中で、繰り返し出てくる誤解があります。

誤解1は、「個人事業主やフリーランスは取れない」というものです。実際には、法人格がなくても申請は可能です。ただし、Pマークの要求事項は組織としての運用を前提としており、内部監査は自分で自分を監査できないという原則があります。1人だけの事業者がこの要件を満たすのは構造的に難しい。そのため現実的には、一定の人数がいる組織向けの制度だと考えたほうがいいでしょう。個人で仕事を受ける立場の皆さんは、取得を目指すより、委託先として求められる要件に淡々と応えるほうが実利があります。

誤解2は、「Pマークを取れば漏えい事故を起こしても責任を問われない」というものです。そんなことはありません。認証はあくまで仕組みが整っていることの証明であって、免責ではありません。むしろ、Pマークを掲げている会社で事故が起きた場合、対外的な説明の負荷は重くなります。認証の停止や取消しの措置もあります。

誤解3は、「マークは自由に使える」というものです。ロゴの使用には規定があり、使える範囲と表示方法が定められています。取得していない会社が紛らわしい表示をすることはもちろんできませんし、取得している会社でも、付与の対象外である関連会社のサイトに掲載することはできません。取得後は、Webサイトや名刺、提案書での使い方を社内で統一しておいてください。

もう1つ付け加えると、「取引先がPマークを持っているから安心」というのも誤解です。認証は審査時点での評価であり、日々の運用まで保証するものではありません。委託する側は、相手がPマークを持っていても、契約と確認の手続きを省略できません。

更新審査に向けて、2年間で何を残しておくか

Pマークの有効期間は2年です。更新するには更新審査を受ける必要があり、申請の受付期間も定められています。有効期間の満了間際に慌てて動くと間に合わないので、満了の半年以上前から準備を始めてください。

更新審査で見られるのは、この2年間の運用記録です。具体的には、年1回以上実施した教育の記録と受講者一覧、内部監査の計画と報告書、代表者による見直しの記録、個人情報の棚卸しを更新した記録、委託先の評価記録、そして事故やヒヤリハットが起きた場合の対応記録です。

ここで詰まる会社の典型が、「1年目はやったが2年目が抜けている」というパターンです。取得直後は意識が高いので教育も監査も回りますが、2年目に担当者が異動すると止まります。年間計画をカレンダーに登録し、担当者が変わっても引き継がれる形にしておくことが対策になります。

組織や事業に変更があった場合も報告が必要です。本社の移転、新しい事業の開始、大きな委託先の変更、個人情報を扱うシステムの入れ替え。こうした変化があったら、規程と棚卸しを更新してください。審査の場で「その変更はいつ反映しましたか」と聞かれます。

更新は新規取得より負荷が軽いと言われますが、それは文書がすでにある場合の話です。運用記録が薄いと、実質的に作り直しになります。2年かけて少しずつ残すほうが、間違いなく楽です。

ISMSとPマーク、どちらを選ぶべきか

よく比較されるのがISMS（ISO/IEC 27001）です。違いを整理します。

対象が違います。Pマークは個人情報に限定され、ISMSは情報資産全般を対象とします。顧客の個人情報だけでなく、技術情報や設計データを守りたい会社はISMSが合います。

範囲の取り方も違います。Pマークは全社が対象で、一部門だけ取ることはできません。ISMSは適用範囲を部門や事業所単位で設定できます。大企業が特定の事業部だけ認証を取るというやり方は、ISMSでしかできません。

通用する相手も違います。Pマークは国内の制度で、日本のBtoC企業や官公庁への説明に強い。ISMSは国際規格なので、海外取引や大企業のグローバル調達で求められます。

審査の頻度も異なります。Pマークは2年ごとの更新審査という形ですが、ISMSは毎年のサーベイランス審査と3年ごとの再認証審査という構成になります。年次の負荷で見るとISMSのほうが定期的に手がかかり、Pマークは2年ごとにまとまった負荷が来るという違いがあります。社内の体制に合うほうを選んでください。

判断の目安はこうです。個人情報が業務の中心で、国内の取引先や入札を相手にするならPマーク。扱う情報が多様で、海外や大企業の要求に応える必要があるならISMS。両方取得している会社もありますが、維持の負荷は単純に増えます。まずどちらか一方から始めるのが現実的です。

なお、どちらも取らないという選択も十分にあり得ます。取引先から求められていないなら、認証に使う費用と工数を、実際の安全対策そのものに回すほうが効果が高い場合があります。アクセス権限の整理、バックアップの見直し、多要素認証の導入、不要なデータの削除。こうした対策は、認証の有無にかかわらず事故の確率を下げます。認証は「証明が必要かどうか」で判断するもので、「安全にしたいかどうか」で判断するものではありません。ここを取り違えると、費用の使い道を間違えます。

在宅で仕事を受ける側に求められること

ここからは、Pマークを取得した会社から業務を受ける立場の話をします。在宅や業務委託で働いている皆さんにとっては、こちらのほうが実務的でしょう。

Pマーク取得企業は、委託先に対して一定の水準を求めます。具体的には、秘密保持契約の締結、作業環境の条件（家族と共有のパソコンを使わない、作業中に画面を他人に見せない）、データの保管場所の指定、作業終了後のデータ削除と報告、再委託の禁止または事前承認。こうした項目が契約書や覚書に盛り込まれます。

面倒に見えるかもしれませんが、私の経験では、これに対応できる人は仕事が続きます。理由は単純で、発注側が安心するからです。個人情報を扱う業務は、発注側にとってリスクです。そのリスクを下げてくれる相手には、継続して頼みたくなる。

具体的に準備しておくとよいのは次の点です。作業用のパソコンを業務専用にする。パスワード管理を使い回しにしない。受け取ったファイルは指定の場所以外に保存しない。作業が終わったら削除し、その旨を報告する。クラウドストレージに勝手にアップロードしない。これだけで、多くの委託先要件は満たせます。

文章系の業務でも同じです。取材記事の作成や名簿の整理は個人情報を扱います。この分野の相場感は著述家，記者，編集者の年収・単価相場にデータがあります。個人情報を扱う業務は要件が厳しい分、対応できる人が限られるため、条件面で有利に働くことがあります。

支援業務として関わる道もあります。Pマークの取得や更新を支援する仕事は、文書整備と運用設計が中心で、在宅でも進められます。コンサルティング形態の業務がどう切り出されているかはAIコンサル・業務活用支援のお仕事に整理されています。あわせてAI・マーケティング・セキュリティのお仕事を見ると、セキュリティ関連の業務が単独ではなく周辺領域と束ねて依頼される傾向が読み取れます。

形骸化する会社の共通点と、うまくいく会社の違い

取得後にうまく回らなくなる会社には、共通点があります。

1つめは、取得を目的にしてしまうことです。入札に間に合わせるために急いで整備し、取得した途端に誰も規程を見なくなる。更新審査の直前に慌てて記録を作る。これが最もよくあるパターンです。

2つめは、担当者に丸投げすることです。個人情報保護管理者を総務の1人に任せ、他部署が協力しない。現場の業務実態を知らないまま作られた規程は守られません。

3つめは、規程を厳しくしすぎることです。理想的な手順を書いたものの、業務が回らないので誰も守らない。結果として、記録と実態が食い違います。審査では、この食い違いが最も重く見られます。

逆に、うまくいっている会社の特徴もはっきりしています。規程を自社の業務に合わせて簡素に書いていること。年間のスケジュールに教育と内部監査を最初から組み込んでいること。そして、事故未満の小さな事象（メールの誤送信、書類の置き忘れ）を報告させる仕組みを持っていることです。小さな報告が上がってくる会社は、大きな事故を防げます。報告した人を責めない運用ができているかどうかが、この分かれ目になります。

運営者として市場を見てきた立場からの考察

フリーランスと在宅ワークの市場を20年運営してきた立場から言えることがあります。個人情報を扱う業務は、発注側が最も慎重になる領域です。そして、慎重になる分だけ、信頼できる相手を見つけたときの継続性が高い。

運営者として見てきた限りでは、長く続く人ほど、単発の作業を取りにいっていません。「この人に渡しておけば情報の扱いも含めて安心だ」という状態を作っています。個人情報を含む業務では、これが特に効きます。発注側は、毎回新しい相手に委託先管理の手続きをやり直したくないからです。一度確認した相手に継続して出すほうが、発注側のコストも下がる。この構造を理解している受け手は、初回の手続きを面倒がりません。

額面と手取りの話もしておきます。同じ業務でも、仲介に手数料が乗る経路と、依頼者と直接契約する経路では、受け手に残る金額が変わります。手数料0%で直接つながる形では、受け手の手取りが厚くなり、依頼者側も同じ予算でより多くを頼めます。これは金額だけの話ではありません。手取りが薄いと、受け手は件数を増やして埋めるしかなくなり、一件あたりの確認作業が削られます。個人情報を扱う業務は、確認の丁寧さがそのまま安全性になる仕事です。両側を見てきて思うのは、余裕のある関係のほうが事故が起きにくいということです。

最後に、個人情報とPマークの関係をもう一度整理します。法律は全事業者に適用される下限で、Pマークはその上に乗る任意の証明です。取るべきかどうかは、取引先が求めているかで決まります。求められていない会社が無理に取る必要はなく、その代わり法律が求める安全管理措置は必ず満たす。受け手として関わる皆さんは、委託先要件に淡々と対応できる状態を作っておく。これだけで、この領域の仕事は十分に扱えます。難しく考えなくて大丈夫です。