質問: 取引先のpマークの取得について 社員2名で情報システムの開発業務を営んでいる者です。 取引先の「pマーク」における外注業者(弊社等)の影響範囲についてお伺いします。 主要取引先が「pマーク」を取得を目指すことになりました。 なお、弊社では個人情報は基本的に扱ってませんので、「pマーク」取得の予定はありません。 あえて、個人情報と言えば、その主要顧客からごくたまに頂く(せいぜい年に1回程度)顧客データだけでしょう。 基本的に納品したシステムのテストデータとして(実際の生データの方が精度の高いテストを行えるため)利用してました。 今後、取引先のpマーク取得に伴い、そういった生データを頂けなくなること、また、既に頂いた生データは破棄することは仕方ないことであると考えておりました。 ところが、取引先からの要求は、「pマーク」取得とほぼ同等の個人情報管理を行っていることでした(様々な体制整備やドキュメント整備、情報管理など・・。体制っていっても2人しかいないのですが・・)。 取引先がおっしゃるには、「pマーク」取得の条件として、発注先も「pマーク」取得と同等の体制が整っていることがあるためだそうです。 「pマーク」自体は非常に有効性のある認定制度であるとは思いますが、弊社にとってはそのメリットは殆ど皆無であると考えてますので全く取得の意思はありませんが、やはり「pマーク」取得業者と取引を行うためには「pマーク」取得と同等な体制整備が必要なのでしょうか? 上述の顧客データを一切破棄し、「pマーク」を取得する取引先の個人情報の流出するリスクをシャットダウンするだけではダメなのでしょうか? 少々釈然としない気持ちでいます。
回答: ご質問の趣旨は、取引先から要求として出されている水準が、pマーク認定そのものが求める水準なのか、取引先が自己で設定している水準なのかということだと思います。 取引先が「お宅もpマークが取れる水準の体制作りをしてくれ」といってきているのだとしたら、それはその取引先が自己で設定しているものである可能性が高いといえます。 以前やっていた会社で、pマーク取得活動を自分が中心になって申請までやりました。pマークのコンサルもお願いして、いろいろやりました。 その中で、取引先に対しては、社外ゆえに強制は出来ないから、取引先選定基準を設けて、それに基づいて取引先を選定し、取引先との基本契約には個人情報の取扱に関する規定を盛り込み、個人情報取扱責任者を届け出てもらう、また、個人情報のデータのやり取りは、漏洩・破壊・改ざん等のない方法で行うよう取り決め、データ受け渡しの記録もちゃんと取って残すように、といったところが、コンサルからのアドバイスとして、要求されました。 だから、取引先がpマーク取得、或いはそれと同等の管理体制を敷いてなければならないということはありません。 pマーク取得企業と取引される場合は、 1.個人情報管理規程を設ける。 2.その内容としては、主なところを思い出すままに書いてみますと: ・取り扱う個人情報を定義し、その利用目的を明確にする。 ・個人情報の目的外利用を禁止する。 ・個人情報の漏洩・破壊・改ざんが起きないよう具体的な対策を定め、運用する。 ・個人情報取扱責任者を任命し、その責任と職務を明らかにしておく。また、個人情報を取り扱う人間を限定し、それらの人間からは、個人情報保護・秘密保持の念書をとる。 ・万一、個人情報の漏洩・破壊・改ざんが生じた場合の対応とその手順を予め決めておく。 といった程度でしょうか。(正確なところは、pマークのサイトやpマーク/個人情報保護関連の書籍等を参考にしてください。) pマークを取得する場合は、この何倍もの方針、規程や細則を作って運用しなければなりません。私のいた会社では20以上の方針・規程・細則類を作成し、運用しました。(運用して内部監査にかけてからでないと、pマーク申請できませんので。) お取引先のようなpマーク取得準備中の会社さんに対しては、「データがもらえなくて不便になるけど仕方ありませんねぇ」という消極策で対応するより、「うちはpマーク取るつもりはありませんけど、これこれこういう風に基本的なところはきちんと押さえて管理してますから」と自ら積極的にアピールするほうが、ご面倒でも得策では無いでしょうか。 というのは、上にも申し上げたように、取引先選定基準を先方は制定することになりますので、取引を継続するためには、その選定基準に合致する条件を整えておく必要があるからです。