ハピネックス BLOG

事業内容によって、どちらが有効か、はたまた両方が良いのかが変わります。

BtoBの事業であれば、ISMS。BtoCの事業であれば、Pマークをまずはお勧めします。

ISMS（ISO27001／情報セキュリティマネジメントシステム）は、企業が持っている大事な情報全般が保護対象です。お客様から預かる技術情報や会社のノウハウ、それらを扱うハードウェアやソフトウェア、人そのものや個人情報、会社の評判など様々な情報資産を守るための仕組みです。

Pマーク（JISQ15001／個人情報保護マネジメントシステム）は、個人情報が保護対象です。個人情報保護法の更に上をいく要求によって、個人情報をしっかりと守るための仕組みです。

会社にある個人情報は、社員情報と取引先の担当者情報くらいで、BtoBの事業を行っているとのことであれば、ISMSが向いています。
BtoCの事業を行っていて、一般消費者の個人情報がたくさんあるような事業を行っているとのことであれば、Pマークが向いています。

よくISMSかPマークかを迷われているケースでは、自社が直接個人情報の本人から個人情報を取得するのではなく、委託元（お客様）から個人情報の取扱いを委託されて事業を行っている場合です。

委託元から委託を受ける個人情報は大量で、一般消費者の個人情報の処理（例えば、DMの発送）を行っている場合、個人情報を取り扱っているからPマーク、となりそうですが、この場合はISMSをお勧めします。

確かに、個人情報を委託元から大量に受け取るかもしれませんが、その個人情報は自社で自由に使えるわけではなく、あくまでも委託元との業務委託契約の範囲内でのことにしか使えません。

ですので、その個人情報に対して自社としては、契約に従って取扱うということだけになり、個人情報保護法で規定されている個人情報の本人に対する開示や利用目的の通知などの本人の権利に対する対応が必要ありません。

そのため、委託された個人情報を適切に保護するという観点から、ISMSの保護対象である大事な情報全般の一部として取り組む方が現実的です。

ISMSかPマークかは、それぞれ保護する対象が違うので、事業内容に合わせて適切に選択することが大切です。

ISO取得コンサルティングの株式会社ハピネックスから役立つ情報を発信します。