R-003-10

プライバシーマーク指定審査機関基本規程

プライバシーマーク指定審査機関
基本規程

公益財団法人くまもと産業支援財団
プライバシーマーク審査センター

改定：2023 年 10 月 30 日

1 / 12

第 10 版

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

目次

1.

適用範囲 .................................................................................................................................42.

定義.........................................................................................................................................4
2.1

付与適格性審査 ..........................................................................................................................4

2.2

申請者.........................................................................................................................................4

2.3

付与適格決定..............................................................................................................................4

2.4

付与適格事業者 ..........................................................................................................................4

2.5

付与事業者 .................................................................................................................................4

2.6

審査業務管理者 ..........................................................................................................................4

2.7

要員 ............................................................................................................................................4

2.8

代表者.........................................................................................................................................42.9

外部審査員 .................................................................................................................................5

2.10 九州プライバシーマーク審査センター（KPJC） ..................................................................5
2.11 委員会 .......................................................................................................................................5
3.

引用基準 .................................................................................................................................54.

一般要求事項 .......................................................................................................................... 5
4.1

組織 ............................................................................................................................................5

4.1.1 審査業務の独立性................................................................................................................5
4.1.2 差別的な業務遂行の禁止 .....................................................................................................5
4.1.3 公平性の確保 .......................................................................................................................54.1.4 責任......................................................................................................................................54.1.5 個人情報保護マネジメントシステム ..................................................................................6
4.1.6 審査業務の継続的改善 ........................................................................................................64.2

審査業務方針..............................................................................................................................64.3

審査基準 .....................................................................................................................................64.4

審査事項の限定 ..........................................................................................................................65.

審査業務の実施体制に対する要求事項 ..................................................................................65.1

資源、役割、責任及び権限 ........................................................................................................6

5.2

委員会の設置及び運営 ...............................................................................................................7

5.2.1 委員会の設置 .......................................................................................................................7
5.2.2 委員会の構成 .......................................................................................................................7
5.2.3 委員会の開催 .......................................................................................................................8
5.2.4 委員会での採決 ...................................................................................................................85.3

審査部門 .....................................................................................................................................8

5.4

要員の確保 .................................................................................................................................85.5

財務的な基礎..............................................................................................................................82 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

5.6
6.

内部規程 .....................................................................................................................................8
審査業務の実施に関する要求事項 .........................................................................................96.1

審査業務に関する事項の公開 ....................................................................................................96.2

申請の受付 .................................................................................................................................96.3 秘密情報の取扱い .......................................................................................................................10
6.3.1 取扱いの原則........................................................................................................................106.3.2 適正な取得.........................................................................................................................106.3.3 目的外利用の禁止..............................................................................................................106.3.4 第三者提供の禁止..............................................................................................................106.4

付与適格性審査及び付与適格性の認否の決定.........................................................................106.5

適正管理 ................................................................................................................................... 11

6.5.1 正確性の確保 ..................................................................................................................... 11
6.5.2 安全管理措置 ..................................................................................................................... 11
6.5.3 要員の監督......................................................................................................................... 11
6.5.4 外部委託 ............................................................................................................................ 116.6

教育 .......................................................................................................................................... 11

6.7

文書の管理 ............................................................................................................................... 11

6.8

注意、勧告、プライバシーマーク付与の一時停止及びプライバシーマーク付与の取消し ... 11

6.9

異議の申出 ...............................................................................................................................12

6.10 苦情及び相談..........................................................................................................................12
6.11 点検、改善及び見直し ...........................................................................................................12
改訂履歴

3 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

1. 適用範囲
この規程は、一般財団法人日本情報経済社会推進協会（以下、「付与機関」という。）が統括するプラ
イバシーマーク制度において、プライバシーマーク指定審査機関（以下「審査機関」という。
）である公益財団法人くまもと産業支援財団（以下「財団」という。）プライバシーマーク審査センター（以下「審査センター」という。
）が、その審査業務の遂行に関して遵守すべき事項を定める。

2. 定義
この基準で用いる主な用語の定義は、次に定めるものを除き、公益財団法人くまもと産業支援財団が定める諸規程文書、「JIS Q 15001 - 個人情報保護マネジメントシステム要求事項」、付与機関の定める「プライバシーマーク制度基本綱領」（PMK100）（以下「基本綱領」という。）、「プライバシーマーク指定審査機関の指定に関する規約」（PMK200）（以下「規約」という。
）「プライバシーマーク指定審査機関指定基準」（PMK210）（以下「指定基準」という。）を始めとする規程規則に従う。
2.1 付与適格性審査
プライバシーマーク付与の適格性についての審査。
2.2 申請者審査機関に付与適格性審査の申請をした事業者。
2.3 付与適格決定
プライバシーマーク付与の適格性を有する旨の決定。
2.4 付与適格事業者
審査機関から付与適格決定を受けた申請者。
2.5 付与事業者
現にプライバシーマーク付与を受けている事業者。
2.6 審査業務管理者
財団の代表者によって財団の内部の者から指名された者であって、審査業務の実施及び運用に関する責任及び権限をもつ者をいう。
財団では、プライバシーマーク審査センター長がその任にあたるものとする。
2.7 要員
審査センター内において審査業務に従事する従業者をいう。
2.8 代表者
4 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

財団の代表者たる理事長をいう。ただし、事業の必要に応じ、業務の全部又は一部を、その能力を有する者に委任することができる。プライバシーマーク審査センターでは、財団の事務局長が理事長に代わり事業の総括を担う。
2.9 外部審査員
プライバシーマーク審査員登録制度における審査員等の資格を有し、財団と審査業務に関する業務契約を締結した者をいう。
審査業務において、書類審査、現地審査、再審査、および審査会への報告を担当する。
2.10 九州プライバシーマーク審査センター（KPJC）
公益財団法人くまもと産業支援財団のプライバシーマーク審査センターの略称をいう。
2.11 委員会
KPJC では委員会として「プライバシーマーク審査会」のことをいう。

3. 引用基準
次に掲げる基準は、この基準に引用される限りにおいて、この本規程の一部となる。
・ 「プライバシーマーク指定審査機関の指定に関する規約」（PMK200）
・ 「プライバシーマーク指定審査機関指定基準」（PMK210）・ プライバシーマーク付与適格性審査の実施基準（PMK220）

4. 一般要求事項
4.1 組織4.1.1 審査業務の独立性
財団は、役員の構成又は審査業務以外の業務が、審査業務の公正な実施及び信頼性の保持に支障を及ぼすことのないようにしなければならない。
4.1.2 差別的な業務遂行の禁止審査機関がその審査業務を遂行するための方針及び手順は、差別的であってはならない。またそれらの運用も差別的に行ってはならない。
4.1.3 公平性の確保
審査機関は、審査業務を実施するにあたって、公平性を損なうようなことをしてはならない。
4.1.4 責任
審査機関は、自らの責任において審査業務を実施するものとする。
5 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

審査機関は、審査の結果に基づいて、十分な証拠がある場合は付与適格決定をし、十分な証拠がない場合はプライバシーマーク付与の適格性を否決する。
4.1.5 個人情報保護マネジメントシステム
審査機関は、JIS に準拠した個人情報保護マネジメントシステムを有するものとする。
4.1.6 審査業務の継続的改善審査機関は、審査業務の運営を明確にするために、審査業務の継続的改善に関するマネジメントシステムを有するものとする。

4.2 審査業務方針
財団の代表者は、審査業務の実施に関わる決意表明及び次の事項を含む審査業務方針を定めるとともに、これを実行し、かつ、維持しなければならない。
財団の代表者は、この方針を文書化し、審査業務を実施する内部の組織全ての階層にこの方針を周知するとともに、ホームページ等での公開を行うものとする。
a)公平性に関する事項
b)機密情報の適正な管理に関する事項
c)苦情及び相談への適切な対応に関する事項
d)審査業務の継続的改善に関する事項
4.3 審査基準
付与適格性審査を受けようとする申請者の個人情報保護に関するマネジメントシステム（以下「PMS」という。
）を審査するための基準は、JIS への適合性を判断するために付与機関が定める指針に示されているものでなければならない。審査機関が審査基準として、個人情報保護マネジメントシステムのガイドラインを定めるときは付与機関に承認を得なければならない。また、あらかじめ公表していなければならない。
4.4 審査事項の限定審査機関は、付与適格性審査に関わりのない事柄について申請者を審査してはならず、申請者への要求事項、審査及び決定は、当該審査業務の範囲に関係する事項に限定しなければならない。

5. 審査業務の実施体制に対する要求事項
5.1 資源、役割、責任及び権限
財団の代表者は、次に示す a)～f)の事項を確実に実施するために不可欠な資源を用意し、必要な体制を整備しなければならない。
a) 委員会の設置及び運営
6 / 12

九州プライバシーマーク審査センターR-003-10

プライバシーマーク指定審査機関基本規程b) 審査部門の独立
c) 要員の確保
d) 秘密情報の適正管理e) 苦情及び相談への適切な対応
f) 経理的な基礎財団の代表者は、審査業務を効果的に実施するために、役割、責任及び権限を定め、文書化し、かつ、要員に周知しなければならない。
財団の代表者は、この規程の内容を理解し実践する能力のある審査業務管理者を財団の内部の者から指名し、委員会の定めた方針に基づいた審査業務の実施及び運用に関する責任及び権限を、他の責任にかかわりなく与え、業務を行わせなければならない。
また、財団の代表者は、審査業務の改善及び見直しの基礎として、審査業務の実施状況を報告させなければならない。
5.2 委員会の設置及び運営
5.2.1 委員会の設置
審査機関は、審査業務の実施の公平性を確保するため、以下の事項を審議する委員会（以下「委員会」という。
）を設置し、業務を行わせなければならない。
審査機関は、委員会の審議結果を最大限尊重しなければならない。
a) 審査機関としての運営に関する方針b) 審査業務に関する規程及び手順等の制定改廃
c) 付与適格決定の可否d) 審査業務の見直しe) 付与事業者の監督f) 審査業務の企画運営に係る事項で審査機関が必要と認める事項
g) その他委員会が必要と認める事項
委員会は、委員会の定めるところにより、審査業務管理者にその業務の一部を委任することができる。また、審査機関は、審査業務の実施状況について、定期的に委員会に報告しなければならない。
5.2.2 委員会の構成(1) 審査機関は、委員会がその業務の実施において営業上、財政上及びその他の圧力に影響されないようにしなければならない。
(2) 委員会は、財団内外の 5 名以上の委員により構成するものとし、1 名は財団事務局長とする。
(3) 委員会は、委員の過半数を、個人情報の取扱い及び保護について知見を有する者（以下「外部有識者」という。
）から選任し、財団の理事長が委嘱する。
(4) 委員会の委員長は、委員の互選により選任されなければならない。
(5) 委員長は、審査会の議長となり、審査機関の業務を総理する。委員長が不在のときは、委員の互選によりその職務の代行者を決めることができる。
7 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程(6) 委員への委嘱に際しては任期を定めなければならない。ただし再任することを妨げない。
それぞれの委員に対する任期は、委嘱時に定める。
(7) 財団の代表者は、次の各号に定める事由があるときは委員の任を解き、新たに委員を委嘱しなければならない。ただし、委員が欠けた場合、補欠の委員の任期は、前年者の残任期間とする。
① 委員に事故があるとき。
② 委員の業務が困難であると思われるとき。
③ 委員から退任の申し出を受けたとき。
(8) 委員またはこれらの職にあったものは、職務上知り得た秘密を漏らしてはならない。また、「プライバシーマーク審査センター審査業務規則」に定める誓約書を取得するものとする。誓約事項に反する事実があったとき、理事長は当該委員を直ちに解嘱するものとする。
5.2.3 委員会の開催
審査機関は、定期的に委員会を開催しなければならない。委員会は、外部有識者である委員を含む過半数の委員の出席がなければ成立しない。
なお、KPJC では、原則として月一回を目処に、委員会を招集する。
5.2.4 委員会での採決
委員会における採決は多数決によりこれを行う。可否同数の場合は委員長が決する。
議案の内容に直接の利害をもつ者は、当該議案に対する委員会の審議及び採決に加わってはならな
い。
5.3 審査部門
審査機関は、付与適格性審査を行う部門の独立性を確保しなければならない。
審査機関は、審査業務以外の業務が、審査業務の公正な実施及び信頼性の保持に支障を及ぼさないよう、審査部門の業務範囲を明確にしなければならない。
その業務範囲は「プライバシーマーク審査センター審査業務規則」および「審査業務マニュアル」に従うものとする。
審査機関の要員は、付与機関の規程、審査機関の規程・規則及び、細則等に従いプライバシーマーク付与適格性審査に係る業務を実施する。
5.4 要員の確保
財団は、その対象とする事業者数に応じるに十分な要員を確保しなければならない。
5.5 財務的な基礎
財団は、審査業務の公平性及び継続性を確実にするに足りる経理的な基礎をもたなければならない。
審査機関は、審査業務に係る経理を財団の会計処理規程に従い処理する。
5.6 内部規程
審査機関は、次の事項を含む内部規定を文書化して、かつ、維持しなければならない。また、必要に
8 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

応じて内部規程を適宜見直さなければならない。
a)

審査業務を実施するための権限及び責任に関する規定

b)

委員会の設置及び運営に関する規定c)

以下の事項を含む指定業務の実施に関する規定(i) 申請者の付与適格性審査及び付与適格性の認否の決定の手順に関すること(ii) 注意、勧告、プライバシーマーク付与の一時停止及びプライバシーマーク付与の取消しに関すること(iii) プライバシーマーク付与の更新の手順に関すること(iv) 現地審査の費用に関することd)

秘密情報の取扱いに関する規定

e)

秘密情報の適正管理に関する規定

f)

審査業務の要員の教育及び監督に関する規定

g)

外部委託に関する規定h) 文書管理に関する規定
i)

異議申出の取扱いに関する規定

j)

苦情及び相談への対応に関する規定

k)

点検、改善及び見直しに関する規定

6. 審査業務の実施に関する要求事項
6.1 審査業務に関する事項の公開審査機関は、以下の事項を書面（電子的方式、磁気的方式など人の知覚によっては認識できない方法で作られる記録を含む。以下同じ。
）により公開しなければならない。また、常に最新の状態を保たなければならない。具体的には、ホームページによる公開を行うものとする。
a)

審査業務に関する説明。

b)

審査機関が審査業務を実施する拠り所となる権限についての情報。

c)

付与適格性審査及び付与適格性の認否の決定の手順についての情報。

d)

申請者が支払うべき費用に関する一般情報。

e)

申請者の権利及び義務の記述。これにはプライバシーマークのロゴの使用方法及び付与適格決定についての言及方法に関する要求事項又は制約事項を含める。

f)

改善措置及び認定の取り消しについての規則及び手順に関する情報。

g)

苦情及び相談並びに異議申出の処理手順に関する情報。

h) 審査機関が付与適格決定を行った付与事業者の名簿（所在地を含む）
6.2 申請の受付
審査機関は、申請者から申請を受けて、「プライバシーマーク付与適格性審査手続規則」に従い、申請を受け付けて審査を実施する。
9 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

審査機関は、付与適格性審査の申請を受けるときに、付与適格性審査を受けるために必要な情報はすべて開示すること及び開示する情報の一切が事実であることを、申請者に誓約させなければならない。
6.3 秘密情報の取扱い
6.3.1 取扱いの原則
審査機関は、審査業務の実施に当たって取得する申請者についての情報（以下「秘密情報」という。
）の取扱いに関する手順を定め、実施し、かつ、維持しなければならない。ただし、審査機関が保有する情報が次のいずれかに該当する場合は、秘密情報には含まれない。
a)

秘密保持義務を負うことなくすでに保有している情報b) 秘密保持義務を負うことなく第三者から正当に入手した情報c) 開示を受けたとき公知であった情報d)

開示を受けた後、自己の責めに帰し得ない事由により公知となった情報

具体的な取扱いに関する手順については、「プライバシーマーク審査センター審査業務規則」に従うものとする。
6.3.2 適正な取得審査機関は、適法かつ、公正な手段によって秘密情報を取得しなければならない。
6.3.3 目的外利用の禁止
審査機関は、秘密情報を、審査業務を実施するために必要な範囲を超えて利用してはならない。
6.3.4 第三者提供の禁止
審査機関は、秘密情報を、申請者又は付与事業者の同意がない限り第三者に提供してはならない。ただし、次に示すいずれかに該当する場合はこの限りではない。
a)

法令に基づく場合b) 秘密情報の一部を付与機関又は他の審査機関と共同利用する場合
c) 秘密情報の取扱いの一部を外部の機関に委託する場合。
なお、ただし書き a)に基づき秘密情報を第三者へ提供する場合、申請者等に事前に通知しなければならない。ただし法令により申請者等への通知が制限される場合はこの限りではない。
6.4 付与適格性審査及び付与適格性の認否の決定
審査機関は、「プライバシーマーク付与適格性審査の実施基準」（PMK220）に基づき、付与適格性審査及び付与適格性の認否の決定に関する手順を定め、実施し、かつ、維持しなければならない。
審査機関は、申請者と直接の利害関係のある者を、申請者の審査又は付与適格性審査の手続きに関与させてはならない。
審査機関は、付与適格決定、付与適格性を否認する決定又は審査の打ち切りを行った事業者について、付与機関に通知しなければならない。
10 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程

6.5 適正管理6.5.1 正確性の確保
審査機関は、審査業務の実施に必要な範囲内において、秘密情報を、正確、かつ、最新の状態で管理しなければならない。
具体的な管理体制については、「プライバシーマーク審査センター審査業務規則」に従うものとする。
6.5.2 安全管理措置
審査機関は、秘密情報の安全管理のために必要、かつ、適切な措置を講じなければならない。
具体的な管理体制については、「プライバシーマーク審査センター審査業務規則」に従うものとする。
6.5.3 要員の監督
審査機関は、要員に秘密情報を取り扱わせるにあたっては、当該秘密情報の安全管理が図られるよう、要員に対し、必要、かつ、適切な監督を行わなければならない。
特に、要員からは、「プライバシーマーク審査センター審査業務規則」に定める誓約書を取得するものとする。また、外部審査員の監督については、「審査員管理規程」に従うものとする。
6.5.4 外部委託
審査機関は、審査業務を外部の機関に委託してはならない。
ただし、審査業務を実施するにあたっての公平性に反しない限り、外部の機関に審査業務の一部を委託することができる。
外部審査員に対しては、「審査員管理規程」に従い、十分な秘密情報の保護水準を満たし、かつ審査業務の公平性を損なわないものを選定し、契約を締結し、適切な監督を行うものとする。
6.6 教育審査機関は、外部有識者たる委員を除く要員に対し、適切な教育を実施しなければならない。具体的な教育の実施については、「教育管理規程」に従うものとする。
6.7 文書の管理審査機関は、審査業務に関する全ての文書に対し、適切な管理を行わなければならない。具体的な管理手順については、「文書管理規程」に従うものとする。
6.8 注意、勧告、プライバシーマーク付与の一時停止及びプライバシーマーク付与の取消し審査機関は、「プライバシーマーク付与に関する規約」（PMK500）に準拠して、注意、勧告、プライバシーマーク付与の一時停止及びプライバシーマーク付与の取消しに関し以下のとおり運用する。
(1) 審査機関が、申請者もしくは付与事業者の個人情報の取扱いに係る事故等を認識した場合は、当該事業者に対し、事故報告の提出を求める。
11 / 12

九州プライバシーマーク審査センター

R-003-10

プライバシーマーク指定審査機関基本規程(2) 審査機関は、一時停止及び取消しの可能性があるような重大な事故については、速やかに付与機関に報告し連携する。
(3) 審査機関は、申請者もしくは付与事業者から事故報告の提出を受けた際には、「プライバシーマーク付与に関する規約」（PMK500）に基づき評価し、委員会に付議し措置を決定する。
(4) 審査機関は、決定した措置を書面にて事業者に通知する。決定した措置に応じて是正の報告等を求め、事業者の是正を促進する。
(5) 審査機関は、事故報告と評価した結果を付与機関に報告する。
(6) 審査機関は、是正処置状況を次の現地審査で確認し、事故等の防止を図る。
6.9 異議の申出審査機関は、申請者からの異議の申出を受付けて、適切、かつ、迅速に取り扱う体制及び手順を確立し、かつ、維持しなければならない。
その具体的な手順については、「異議申出規程」に従うものとする。
6.10 苦情及び相談審査機関は、申請者、付与事業者、本人又は消費者からの苦情及び相談を常時受け付けて、適切、かつ、迅速な対応を行う体制及び手順を確立し、かつ、維持しなければならない。
その具体的な手順については、「苦情相談窓口に関する規則」に従うものとする。
6.11 点検、改善及び見直し
審査機関は、自らの審査業務が適正に実施されていることを確認するために、少なくとも年一回、及び必要に応じて適宜に点検を実施し、必要に応じて是正処置を実施する手順を確立し、実施し、かつ、維持しなければならない。
定期の内部監査は、毎年 2 月までに実施することとする。
その具体的な手順については、「内部監査手順」に従うものとする。
代表者は、審査業務の適切な実施を維持するために、少なくとも年一回、及び必要に応じて適宜に審査業務を見直さなければならない。定期の見直しは、年度末である 3 月までに実施することとする。

12 / 12

九州プライバシーマーク審査センター