2025年2月～2025年4月に開催した「新規申請を目指す事業者のためのプライバシーマークセミナー 事例紹介編」でお話いただいた内容をまとめました。

会社概要

グローカルマーケティング株式会社

• 所在地：新潟県長岡市城内町三丁目2番地1山嘉ビル3Ｆ
• 設立：令和2年9月1日
• 従業者数：44名
• 主な事業：中小企業向け経営コンサルティング事業、新潟県の子育て家庭支援サービス事業、クリエイティブ事業
• プライバシーマーク取得：2024年5月
  登録番号：10863081（01）
• 登壇者：取締役CFO　遠藤 頑太様

講演レポート

プライバシーマーク取得の目的

当社は中小企業の業績アップのお手伝いをする伴走型のコンサルティング会社として、マーケティング、業務効率化、人材採用・育成といった中小企業のご支援や、新潟県内の子育て家庭に向けて有益な情報を発信するトキっ子くらぶ事業を運営しています。
プライバシーマーク取得の1番のきっかけは、東京証券取引所への上場です。会社の成長のために上場を目指すことに舵を切り、そのうえでプライバシーマーク取得が社内の内部統制の仕組みを作る上で重要だと判断しました。上場のためにプライバシーマークの取得が絶対に必要ということではありませんが、上場の審査の観点や投資家からも個人情報の管理体制が整っている会社として信頼していただけることも大事なポイントです。当社はTOKYO PRO Marketに上場を決定しましたが、証券会社のJ-Adviserからも取得を勧められました。
取得を目指した2つめのきっかけは、トキっ子くらぶ事業運営のためです。取得前は専門家などの助言を参考に社内独自で個人情報保護の管理体制を整えていました。プライバシーマークを取得することでサービスを利用するご家庭に向けて、個人情報を適切に取り扱っていることを対外的に示すことができ、安心して個人情報を預けていただけると判断しました。

取得までのスケジュールとプライバシーマーク取得への取組み

まずは取得までのスケジュールをご紹介します。プロジェクトのキックオフが2023年の2月、取組みを始めて1年後の2024年2月に審査、その3か月後の2024年5月にプライバシーマークを取得しましたので、キックオフから15か月で取得することができました。
取得までのポイントは以下の通りです。
①プロジェクトを始動するにあたり、コンサルタント会社に依頼
・当社は中小企業向けのコンサルティング会社ですが、情報セキュリティやプライバシーマークの取得は専門外でしたので、何から着手したらよいか分かりませんでした。内部規程や個人情報管理台帳などのたたき台も無かったので、コンサルタント会社の助言をもとに進めていくことを決定しました。
②プロジェクトメンバーは全員兼任
・取得を推進するためのプロジェクトチームを立ち上げました。取締役である私がプロジェクトリーダーとなり、経営企画部門から1名、トキっ子くらぶ事業の部門長の計3名が中心メンバーとなって普段の業務を行いながらプロジェクトを進めました。
③複数の社内規程・様式類の作成
・個人情報保護方針や社内規程の作成はもちろん、社内手続きをするときに必要な様式作りなど、細かな書類を全て含めると約60を超える規程類・様式を作成しました。
④全体会議で何度も説明
・社内規程や様式は、作成して終わりにするのではなく、定めたルールが少しでも全社員に理解され運用できるように、社員全員が参加する全体会議などの場で何度も説明を重ねました。時には部門会議、各部門会議などでも説明を実施しました。

PMS構築・運用体制

PMS運用体制はこちらの通りです。トップマネジメントとして代表取締役がおり、その下に個人情報保護管理者と個人情報保護監査責任者がいます。
個人情報保護管理者は、PMS運用の中心として様々な承認、社内ルールの見直しを実施します。その下に、年に2回程度の個人情報保護および情報セキュリティ研修を担当する個人情報保護教育責任者、外部からの問合せに対応する窓口対応責任者、特定個人情報等取扱責任者を置いています。さらに、社内の規程・ルールに則って、申請や承認、その書類関係の手続きを行う部門としてPMS事務局を設置しています。
一方、個人情報保護監査責任者の下には内部監査員がおり、ルール通りに運用されているかどうか定期的に内部監査を実施しています。その結果を踏まえ、年に1回代表取締役も含めPMSに係わる関係者が集まり、現在の運用が適切かどうか、運用する中で出てきた課題への改善策などを議論（マネジメントレビュー）しています。このように社内で役割分担をしています。
ここまで社内の体制をご紹介しましたが、実際の推進役は取得時に立ち上げた3名のプロジェクトチームメンバーです。取得後もPMSを回すために今年度はこの時期に何をするか、内部監査実施期間の設定などの年間計画を作成します。ミーティングも毎月実施し、運用を継続しながら、各責任者や管理者に助言なども行っています。このような旗振り役がいると取得後の継続的な運用も進みやすいです。

取組みの過程で直面した課題と対処方法

膨大な書類の作成・管理

当社は取得に向けて60を超える規程類・様式を作成しました。通常業務も行いながら、コンサルタント会社から取得したテンプレートを自社に合った内容への更新作業はとても大変でした。
これらの書類作成にあたり、意識したポイントが2つあります。
・ルール作りの段階から「こだわりすぎず、基本に忠実にやる」こと
・規程・様式が正しく本来の目的を果たしていれば良いという意識をもつこと
最初から完璧な規程・様式を作るのではなく、作成したら実際に運用し、その都度改善をしました。
実際に取得後も規程・様式の見直しを随時行っています。

規程やルールの浸透

規程があっても誰も守っていなければ意味がありません。社員にしっかりルールを浸透させるため、何度も発信し、説明を繰り返しました。規程やルールを一度説明すれば何となく理解はされますが、ずっと覚えていられる訳ではありません。全員にルールを理解して守ってもらえるようになるまで、何度もプロジェクトメンバーが発信して説明することはとても大切な作業でした。
当社がお客様から預かる個人情報を適切に管理して、事業をさらに発展・拡大していくためにも、「決められたことだからやる」という意識ではなく、「なぜこれをやるのか」という目的を明確化し、社員にルールを正しく理解してもらうことはとても重要です。

業務プロセスの変更

新たな規程やルールに則って運用すると業務プロセスが変更になる場合もあり、各部門に負荷がかかりましたが、適切な個人情報管理の運用体制を整えることができました。
また、皆で業務プロセス改善の議論をすることで業務効率化を図ることもできたので、業務全体を見直す良い機会となりました。

プライバシーマーク取得後の効果

プライバシーマーク取得の効果についてお話しします。

経営管理体制の高度化・効率化

ルールが整備されると、「こういう場合はこうしなければならない。なぜならばこうだから」ということが明確になります。
たくさんの書類を作って業務プロセスを見直していると管理が煩雑になりやすいことは事実です。しかし、ルールが決まっていると社員から個人情報の管理方法について相談された際に判断に迷うことが無いので業務効率化に繋がります。ルールが作られている理由も併せて説明できると社員自身の理解も深まり、仕事もスムーズに進むので、これも取得の効果です。
また、プライバシーマークを取得するための審査を受け、その審査基準を超えた管理体制が整っていると評価されたことは経営管理体制の高度化に間違いなく繋がっています。

取引先からの信頼・安心感の獲得

大手企業の取引先などから個人情報管理体制に関する確認があるときにも、プライバシーマークを取得していると一定の信頼が得られることは大きなメリットです。もちろん、取得していれば全て問題ないと見なされる訳ではありませんが、一定の管理体制はできていることの共通認識を持てます。
ある取引先との取引に、個人情報管理体制に関する確認書の一項目目でプライバシーマーク取得の有無を確認されたこともありましたので、スムーズに取引が開始できるところにも効果を感じています。

プライバシーマークを取得しているからこその案件獲得

当社は行政機関が発注するマーケティングリサーチ等といった調査案件などを受注することもあります。入札やプロポーザルへの参加要件の中に、プライバシーマーク取得が記載されていることもありますので、案件獲得にも大きな効果を感じています。

最後に

プライバシーマークを取得して困ることはありません。
取得までの過程を振り返ると、プロジェクトチームを立ち上げ、様々なルール作り、運用、業務見直し、審査を受けて取得できたという経験は社内の人材育成や組織全体の成長にも繋がったと感じています。
大変なこともあると思いますが、ぜひ前向きに取り組んで参りましょう。
本講演が、これから新規申請を目指される方のお役に立てればと思っております。
本日はありがとうございました。