Contract

プライバシーマーク付与適格性審査実施規程

1. 一般

1.1 適用範囲

この規程は、プライバシーマーク付与の適格性に関する審査（以下「付与適格性審査」という。）を行うプライバシーマーク指定審査機関（以下「審査機関」という。）が、その審査業務を遂行する際に遵守すべき事項を定める。

1.2 用語

この基準で用いる用語は、特段の定めがない限り、「プライバシーマーク制度基本綱領」、「プライバシーマーク指定審査機関指定基準」及び日本産業規格 JIS Q 15001「個人情報保護マネジメントシステム―要求事項」（以下「JIS」という。）において使用する用語の例による。

1.3 引用基準

次に掲げる基準等は、この規程に引用される限りにおいて、この規程の一部となる。

- プライバシーマーク指定審査機関指定基準

- プライバシーマーク制度における欠格事項及び判断基準

- プライバシーマーク付与認定審査規程

2. 審査

2.1 審査約款

審査機関は、少なくとも付属書に示す「プライバシーマーク付与適格性審査に関する約款」と同等以上の内容を定めた約款により、付与適格性審査を実施しなければならない。

2.2 申請

2.2.1 情報の公開

審査機関は、申請者の適格要件及び申請手続きに関する情報を最新の状態で公開しなければならない。

2.2.2 申請書

審査機関は、申請者に対し、必要事項を全て記入した申請書を提出するよう要求しなければならない。申請書には以下の事項が含まれていなければならない。

a) 付与適格性審査を申請する旨の明確な記述

b) 付与適格性審査に関する要求事項を遵守し申請者を審査するために必要な全ての情報を提供する旨の、申請者の同意

審査機関は、プライバシーマーク付与の更新を受けようとする申請者に対しては、プライバシーマーク付与契約満了の８ヶ月前の日から付与契約満了の４ヶ月前の日までに、申請書を提出するよう要求しなければならない。

2.2.3 申請関連書類

審査機関は、申請者に、申請書に添えて、次に掲げる書類を提出するよう要求しなければならない。ただし、法人番号を有する事業者であって、前回の付与契約の締結後に変更がない場合は、 a)～c)は省略することができる。

a) 登記事項証明書その他の申請者の実在を証する公的書類

b) 定款、寄附行為その他これらに準ずる規程類及び個人情報の取扱いに係る事業を説明する書類

c) 役員の名簿（執行役を含む。）

d) 個人情報保護マネジメントシステム（以下「PMS」という。）を記述した文書（以下「PMS 文書」という。）

e) 個人情報の適切な保護のためのその他の関係規程等

f) 申請者が「プライバシーマーク制度における欠格事項及び判断基準」に規定する欠格事項に該当しない旨を申告する所定の様式による書面

g) その他審査機関が指示する書類

2.3 申請書等の確認

審査機関は、次に示す a）～c）の事項を確認するため、提出された申請書及び申請関連書類の確認をしなければならない。

審査機関は、a）～c）の全ての事項が確認できなければ、審査に着手してはならない。審査機関は、審査着手の正当性を示す記録を作成し維持しなければならない。

a) 申請書及び申請関連書類が、2.2.2 及び 2.2.3 を満たしていること

b）申請者の事業内容及びその PMS についての情報が、審査を実施するうえで十分であること

c）申請者は審査機関が審査対象として定めている範囲に含まれること

d) 「プライバシーマーク制度における欠格事項及び判断基準」に規定する「3.1 プライバシーマーク付与適格性を有しない者」に該当していないこと

なお、審査機関 d)の判断に際して、「プライバシーマーク制度における欠格事項及び判断基準」に規定する「3.1.4 プライバシーマーク制度に対する一般の信頼を毀損すると認めるに足る相当な理由がある事業活動を行う事業者」を適用しようとするときは、当該申請案件を付与機関に移送しなければならない。

2.4 審査計画

審査機関は、申請書等の確認に基づき、申請者についての審査計画を定めなければならない。

2.5 審査員等

2.5.1 資格

審査機関は、プライバシーマークxx審査員（以下「xx審査員」という。）又はプライバシーマーク審査員（以下「審査員」という。）の資格を有する者に、審査をさせなければならない。

審査機関は、xx審査員による指導及び監督のある場合を除き、プライバシーマーク審査員補

（以下「審査員補」という。）を審査に参加させてはならない。

2.5.2 審査員等に関する情報

審査機関は、xx審査員、審査員及び審査員補（以下「審査員等」という。）についての、関連資格、教育訓練及び経験に関する最新情報を保有しなければならない。教育訓練及び経験の記録は常に最新の状態にしておかなければならない。

2.5.3 指示書

審査機関は、職務及び責任を記述した明確な指示書を審査員等が利用できるようにしておかなければならない。これらの指示書は最新の状態にしておかなければならない。

2.5.4 審査の基準

審査機関は、審査員等に、JIS、法令、国が定める指針その他の規範及びプライバシーマーク付与機関が定める指針に基づき、審査を行わせなければならない。当該審査機関が定める業界ガイドラインがある場合は、その基準との適合性についても審査を行わせなければならない。

2.5.5 審査員等との契約

審査機関は、審査員等に対し、当該審査機関が規定した規則に従うことを約束する契約書又はその他の文書に署名することを要求しなければならない。この契約書又はその他の文書には、機密保持に関すること、及び審査される申請者との間に営業上その他の利害関係がないことが含まれていなければならない。

2.5.6 審査員等の記録

審査機関は、審査員等に関する以下の事項からなる記録を保持し、最新の状態に維持しなければならない。

a）氏名及び住所

b）組織における所属及び地位 c）学歴及び専門的資格

d）当該審査機関が審査対象とする分野における経験及び教育訓練

e）審査の実施実績 f）業績の査定

g）記録を更新した直近の年月日

2.6 審査担当

2.6.1 審査責任者及び担当の指名

審査機関は、審査方針に基づき、申請者を審査するために必要な知識及び技能を有する審査担当を構成しなければならない。審査担当は、xx審査員及び審査員の中からxx審査員を含む２名以上により構成するものとし、その中のxx審査員の１人を審査責任者としなければならない。

審査機関は、申請者との間に、審査のxx性や信頼性を疑わせるようないかなる利害関係も持たない者を審査担当の構成員に指名しなければならない。

2.6.2 手順の指示、情報の提供

審査機関は、審査の実施、並びに審査記録についての手順、申請書及び申請関連書類など、申請者を審査するために必要な全ての情報を、審査担当に提供しなければならない。

審査機関は、審査担当に、審査機関が定めた手順に従った審査をさせなければならない。

2.6.3 申請者への通知

審査機関は、審査担当の構成員の氏名を申請者に通知しなければならない。

2.7 文書審査

審査担当は、申請者の提出した PMS 文書について、審査を行わなければならない。

2.8 現地審査

2.8.1 審査事項

審査機関は、申請者の PMS の運用状況を評価するため、申請者の事業所において現地審査を実施しなければならない。この場合、少なくとも以下に示す事項を評価しなければならない。

a）PMS における代表者の責任及び役割

b）PMS に関する内部の組織及び手順

c) PMS に関する安全管理措置 d）教育の実施及び理解度の確認 e）監査の実施

f）是正処置及びフォローアップ g）代表者による見直し

2.8.2 審査日及び審査場所

審査機関は、申請者と審査日及び審査場所について合意した上で、現地審査を実施しなければならない。審査機関は、現地審査の実施内容を申請者にあらかじめ通知しなければならない。

2.8.3 審査員補の同行

審査機関は、申請者の同意が得られないときは、審査員補を現地審査に同行させてはならない。審査責任者は、申請者の同意を得られないときは、審査員補に発言を許してはならない。

2.9 不適合の指摘及び改善

2.9.1 不適合の指摘

審査機関が不適合の指摘をする場合の手順は、少なくとも以下の事項を確実とするものでなければならない。

a) 現地審査において、申請者に、審査担当が審査基準の要求事項に対する申請者の PMS の適合性に関して書面又は口頭で特に重要と思われる事項を示すこと、並びに当該事項及びその根拠について申請者に質問の機会を与えること

b) 審査担当は、審査基準の要求事項に適合するために是正すべき不適合を特定した文書（以下「指摘事項文書」という。）を審査機関に提出すること

c) 審査機関は、指摘事項文書を速やかに申請者に送付すること

d) 指摘事項文書には、少なくとも以下の事項を含むこと

ⅰ）指摘事項文書発行の年月日

ⅱ）現地審査を行った年月日

ⅲ）指摘事項文書に責任を持つ者の氏名

ⅵ）要求事項に対する申請者の PMS の適合性に関する意見（不適合についての明確な記述を含む）、及び該当する場合には以前の審査結果との有益な比較

ⅴ）審査現場で申請者に提示した情報との相違があった場合、その説明

2.9.2 改善報告の求め

審査担当は、申請者に対し、不適合として指摘された事項を是正するために実施した処置についての報告（以下「改善報告」という。）を、指摘事項文書発行の日（2.9.1d)のⅰ)の日）から３ヶ月以内に書面により提出するよう求めなければならない。

2.9.3 審査終了報告書

審査担当は、改善報告により不適合の是正処置が完了したと判断したとき、又は付与の適格性を否認すべきと判断したときは、以下に示す事項を含む審査終了報告書を作成し、審査機関に提出しなければならない。

a) 面談した申請者側従業者の役職

b) 個人情報を取り扱う業務の概要

c) 2.8.1 の a)～g)に定める事項についての所見

d) プライバシーマーク付与の適格性についての意見

3. 付与の適格性に関する決定

3.1 権限の委任の禁止

審査機関は、プライバシーマーク付与の適格性に関する決定を行う権限を委任してはならない。

3.2 審査の評価

審査機関は、審査終了報告書その他審査で収集した情報をとりまとめ、申請者のプライバシーマーク付与の適格性の有無について、「プライバシーマーク付与適格性審査規程」5.2 に定める審査会の審議を受けなければならない。

3.3 付与適格決定又は付与適格の否認

審査機関は、3.2 の審議結果をもとに、妥当と認めたときは、申請者が付与の適格性を有する旨の決定を行わなければならず、妥当と認めないときは、申請者の付与適格を否認する決定を行わなければならない。