特集4

審査料の払い込みと、JIPDECとの契約

　プライバシーマーク認定に必要な費用としては、申請手数料、現地調査料（審査料）、プライバシーマーク使用料があげられます。その総額は、大規模企業では60万円、小規模企業では15万円と、企業規模別に費用が決められています。この他に、プライバシーマークの認定に際しては、審査機関から当該企業までの審査官の交通費や宿泊費などが必要となります。これらの費用については審査機関による審査が行われた後、審査機関から審査料、審査員の交通費・宿泊費の請求書が送付されてくるので、それに応じて払い込むことになります。
　審査に通って審査料を払い込むと、JIPDECの押印済みのプライバシーマーク使用許諾契約書がJIPDECより郵送されてきますので、自社の社印を押印してこれを返送します。そして、プライバシーマーク使用許諾料を払い込むことにより契約が成立し、JIPDECホームページ「プライバシーマーク制度」の認定事業者として公表されます。
　この使用許諾は、JIPDEC保有の商標権（平成13年（2001年）１月５日登録。商標登録第4442898号。指定役務：民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン（通商産業省）及び個人情報保護に関するコンプライス・プログラムの要求事項（JIS Q15001）に基づく個人情報保護に関する審査・認定）についての使用許諾であり、プライバシーマークの認定を受けた企業は、この使用許諾の下で、名刺や会社案内にプライバシーマークを使うことができるようになります。但し、通常の商標の使用権（商標法第31条）とは異なり、自由に移転することはできません。
　ところで、プライバシーマークの取得認定がなされ、プライバシーマーク使用許諾契約書による（財）日本情報処理開発協会（JIPDEC）との契約が終了した段階で、JIPDECより「プライバシーマークデータ」のフロッピーディスクとプライバシーマーク規定書が送られてきます。このプライバシーマークデータは、マークの下に仮ナンバーが打たれていますので、使用規定に従い当該企業の認定番号に打ちかえます。その後、このフロッピーディスクのプライバシーマークデータを加工し利用することになのます。
　プライバシーマーク規定書の内容は、上記商標権の使用許諾の内容を記したものであり、プライバシーマーク使用規定やプライバシーマークデザイン・コンセプト、色分けアミ指定、プライバシーマーク清刷、プライバシーマークの印刷とホームページの使用についての案内などが記されています。これに関し、プライバシーマークの実際の使用に当たっては、プライバシーマーク自体の色に関する注意事項や印刷物のバックとなる色の関係、枠をつけることの禁止、白窓にしてはいけないなど、規定書にある決まりに従うことが必要となります。

プライバシーマークの更新審査

　プライバシーマークの使用期限は２年間です。期限後も使用を続けたい場合には、更新のための手続きが必要となります。そして、更新に際しては、取得時と同じ審査機関による審査を受けなければなりません。
　プライバシーマークの更新申請は、プライバシーマーク付与認定を受けた審査機関に更新の手続をすることにより行います。更新の受付期間は、有効期限満了日の３ヶ月前から１ヶ月前となっています。なお、更新申請に必要な書類についても、（財）日本情報処理開発協会（JIPDEC）においてはホームページからダウンロードできます。他の機関の場合には、逐次問い合わせることにより準備するようにしてください。
　申請書類提出後は、取得申請時と同じくヒアリングや現地審査が行われ、それを経て更新の決定やプライバシーマーク使用契約の締結、許諾証の交付が行われます。なお、プライバシーマーク認定更新時に必要は費用は、費用の種類も額もプライバシーマーク取得時と同様です。

プライバシーマーク取得のその後

　プライバシーマーク取得後は、PDCAサイクル（各種計画立案→運用→社内監査→経営者による見直し）に基づく継続的な運用を行い、プライバシーの保護をスパイラル的に高めていくことになります。
　ですから、コンプライアンス・プログラムは、運用を行っている状況で不適格事項が発生した場合等には、適宜改訂や修正を行うことが必要となります。当然のことながら、社内組織の変更や就業規則の改定などがあった場合にも、改訂や修正を行う必要があります。
　加えて、コンプライアンス･プログラムそれ自体は、年１回以上の見直しを行わなければならない類のものですし、更新の申請に際しては、最新のコンプライアンス・プログラムおよび関連する規程類などを提出することが必要となり、代表者による見直しによるスパイラルアップがきちんとなされているかが見られます。この更新の審査では、例えば教育に関して言えば、教育を受けられなかった社員に対してあらためて教育がなされていたか、といったようなことが審査されますし、また、監査に関しては、１年に１回以上の監査計画を立案し、実行しているかなどの細かい部分が審査されます。
　このため、コンプライアンス･プログラムの改善・見直しを行った際には、実績を示す記録文書をしっかり残すことが大切です。

最後に

　ここまでの説明を読んでみると、プライバシーマークの申請というのは、実際には短時間で行われるものであり、社内においてコンプライアンス・プログラムというマネジメント体制がきちんと構築され、運用されているかどうかということをきちんと調査することができるものではありません。したがって、コンプライアンス・プログラム文書がきちんと作成されているか、または会議や教育がきちんとなされているかということの「記録」がきちんと存在するかどうかといった形式的な審査が中心となります。こうして考えてみると、それが記録という文書である以上は捏造すらできるわけですから、「なあんだ。実はそんなにきちんとやる必要はなかったんじゃないのか」ということを思われる方もいらっしゃるかもしれませんが、では、今までの勉強というのは何だったのでしょうか。
　今までの勉強というのは、例えば、プライバシーポリシーの作成の仕方によっては現在の状況をあまり変えずに済むとか、そうはいっても国際標準に合わせるためには、もっと多くの努力が必要であるとかいったようなものですが、これらはまったくの無駄だったのでしょうか。
　もちろん、「プライバシーマークの取得」という形式的なことだけに焦点を合わせれば、全12回という連載は、いささか迂遠なものであったのかもしれません。けれども、私がここで強調したいのは、同じプライバシーマークでも、その重みや裏にあるものはまったく異なる、ということです。それは、例えば我々のような弁理士について言えば、同じ有資格者であってもその中身はまったく異なる、というのと同じことです。
　加えて、今回私が深く実質的なことにまで言及してきたのは、まずはみなさんの意識を変えるという狙いがありました。もちろん、組織というのは、トップの動きによって大きく左右されます。そして、このトップに対しては、プライバシーを保護しないことによる被害について多少の脅しを含めた報告（警告）をすれば、業務に支障のない範囲内で十分な取り組みがなされる結果が得られると思います。
　しかしながら、組織というのは、所詮は人が作るものです。ですから、まずは草の根運動ではないですけれども、現場に居る皆さん自身が意識を変えなければならないわけです。そうして、今度は組織が人を生かすことになります。すなわち、組織全体にプライバシー保護の雰囲気ができあがれば、そこで教育された人々というのは、自然にそういった雰囲気を纏うようになります。そしてそれがその人の人格を作っていくものになると思います。
　そして、プライバシー保護について、コンプライアンス・プログラムの策定という実績は、それが実績である以上は、他のすべてのことが忘れ去られた後であっても、皆さんの成果として残ります。そして最も重要なことは、そうした実績を作るためにみなさん自身が積極的に活動したことを、皆さん自身がいつまでも憶えているであろうということです。