プライバシーマーク（Pマーク）取得の流れ・費用・条件｜2026年10月改定後の料金と期間

プライバシーマーク（Pマーク）を取得するには、個人情報保護マネジメントシステム（PMS）を作って一度運用し、その記録を添えて審査機関に申請します。申請してから付与登録まではJIPDECのモデルスケジュールで約6か月に、指摘への改善期間が加わります。費用は2026年10月1日の料金改定で上がり、新規取得は小規模事業者で税込336,600円です。本記事では、取得の流れ・期間・費用・申請資格と、取得後の更新までを、JIPDEC（一般財団法人日本情報経済社会推進協会）の公表資料をもとに整理します。

まとめ：プライバシーマーク取得の要点

• 申請前にPMSを構築し、PDCAを少なくとも1回は回しておく必要があります。規程を作っただけでは申請できません。
• 申請から付与登録までは約6か月＋指摘の改善期間が目安です（JIPDECのモデルスケジュール）。取引先の期限から、申請後の約6か月と改善期間を引いた日を申請日の目標にし、そこからさらにPDCA一巡の準備期間を引いた日を着手日にします。
• 費用（税込）は2026年10月1日申請分から新料金で、新規は小規模336,600円・中規模690,800円・大規模1,382,700円、更新は244,200円・518,100円・1,037,300円です。旧料金か新料金かは申請日で決まります。
• 申請は法人単位で、社会保険・労働保険に加入した正社員か登記上の役員（監査役を除く）が2名以上必要です。1人の事業者は取得できません。
• 有効期間は2年で、更新申請は有効期間満了の8か月前から4か月前までに行います。

プライバシーマークとは：審査基準と付与事業者数

プライバシーマークは、事業者が個人情報を適切に扱う仕組み（PMS）を整え、実際に運用していることを、付与機関のJIPDECと指定審査機関が審査して認める制度です。付与を受けた事業者は、名刺やWebサイトにマークを表示できます。

審査の物差しは、JIS Q 15001に沿ってJIPDECが定めた「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」です。JIS Q 15001は2023年9月に改正され、現在の指針はJIS Q 15001:2023準拠 ver1.0です。旧版の指針（ver1.0.3）は2024年9月30日までの適用で、これから申請する事業者は2023年版準拠の指針で規程を整えます。

JIPDECの付与事業者数の公表資料では、付与事業者数は2026年9月30日時点で17,749社です。2024年度の17,793社を境に、横ばいからわずかに減っています。業種別では「情報サービス・調査業」が7,332社と全体の約4割を占め、都道府県別では東京都が9,793社と半数を超えます。地方では取得事業者が少なく、たとえば高知県は30社です。

取得の条件：申請資格と求められる体制

申請できる事業者

JIPDECの申請資格によると、申請できるのは国内に活動拠点を持つ事業者で、付与は法人単位です。グループ会社でも1社ずつ申請します（医療法人等・学校法人等には一部例外があります）。業種や規模の制限はありませんが、少なくとも次の条件を満たす必要があります。

• JIS Q 15001に基づく構築・運用指針に沿ってPMSを定めていること
• PMSに基づいて体制が整備され、個人情報が適切に取り扱われていること
• 社会保険・労働保険に加入した正社員、または登記上の役員（監査役を除く）の従業者が2名以上いること

2名以上が求められるのは、個人情報保護管理者と個人情報保護監査責任者を1名ずつ置く必要があるためです。構築・運用指針の留意事項は、この2つの役割を異なる者にするよう定めています。どちらも申請事業者の従業者から選ぶ必要があり、グループ会社の社員や外部のコンサルタントには任せられません。

このほか、外国会社（日本で営業所を登記している場合を除く）や、個人情報保護法違反などで刑に処せられ、その執行を終わった日（または執行を受けることがなくなった日）から2年を経過しない役員がいる事業者などは欠格事由に当たります。過去に付与契約を解除された事業者は1年間、不適格決定を受けた事業者は3か月間、申請できません。

PMS運用で年1回以上行う事項と記録

構築・運用指針は、従業者への教育、内部監査、トップマネジメントによるマネジメントレビューを、いずれも少なくとも年一回実施するよう求めています。個人情報を管理する台帳の確認と、リスクアセスメントの見直しも年一回以上です。取得時だけでなく、2年後の更新審査でもこれらの記録が見られます。

プライバシーマーク取得の流れと期間

申請前の準備：PMSの構築とPDCAの一巡

JIPDECは、申請時にPMSの規程類と運用した記録を提出するため、計画・実施・点検・改善のPDCAサイクルを少なくとも1回以上実施しておくよう案内しています。体制の整備と規程の策定だけでは申請できません。準備はおおむね次の順で進めます。

1. 個人情報保護方針を定め、個人情報保護管理者と個人情報保護監査責任者を指名する
2. 社内で扱う個人情報を洗い出して台帳にし、リスクアセスメントと対策を決める
3. 内部規程と記録様式を整え、教育計画と内部監査計画を立てる
4. 全従業者への教育を行い、規程どおりに運用して記録を残す
5. 内部監査とマネジメントレビューを行い、見つかった不適合を是正する

手順4〜5の内部監査とマネジメントレビューまで終えて、はじめてPDCAが一巡します。教育や監査は実施日が記録に残るため、短期間で書類だけ揃えることはできません。

申請から付与までの手順

申請先は、業種や本社所在地によって、JIPDECか19の指定審査機関のいずれかに決まります。JIPDECへの申請は、2024年10月からPマークポータルサイトでオンライン化されています。JIPDECが示す新規申請の流れは次のとおりです。

1. 申請：申請書類を提出し、申請料を支払う
2. 形式審査・文書審査：PMS文書が構築・運用指針に適合しているかを確認する
3. 現地審査：審査員（原則2名）が事業所を訪れ、運用状況を確認する
4. 審査結果の連絡：指摘事項があれば改善報告を提出し、審査会で付与適格が決定する
5. 付与契約手続き：付与登録料を支払い、付与登録と公表へ進む

期間の目安（JIPDECのモデルスケジュール）

JIPDECが新規申請方法のページで示すモデルスケジュールは次のとおりです。JIPDEC自身が「期間は目安」としており、申請状況によって変わります。

「Nか月」は指摘事項の改善にかかる期間です。指摘があった場合、指摘事項文書の日付から3か月以内に、改善の証拠を添えた改善報告書を出します。このモデルでは、申請後に約6か月と指摘事項の改善期間を見込みます。さらにその前に、PMSの構築とPDCAの一巡が必要です。取引先から取得期限を示されたら、期限から少なくとも半年以上前に申請できる計画を組み、準備はそれより前に始めてください。

現地審査の確認項目と遠隔審査の条件

現地審査は、規程どおりに運用されているかを現場で確かめる工程です。JIPDECの案内では、次の4つを行います。

• トップインタビュー：代表者に、事業内容、個人情報に関する事故の有無、申請動機、個人情報保護方針、体制、マネジメントレビューなどを確認する
• PMS運用状況の確認：個人情報保護管理者や監査責任者に、業務ごとの個人情報の特定・リスクアセスメント・安全管理措置、教育や内部監査の状況を聞く
• 現場での実施状況の確認：個人情報を扱う執務室などで、安全管理措置が実際に講じられているかを見る
• 総括：改善が必要な指摘事項を説明する

現地審査の標準時間は5〜8時間です。原則は審査員の訪問で、オンラインの遠隔審査は「現地審査の実施が著しく困難な場合の現地審査の代替措置の実施基準（JIP-PMK250）」による例外です。天変地異や感染症などで現地審査が著しく困難だと付与機関が判断したときに、期間を定めて認められます。申請手続きのオンライン化とは別の話なので、遠隔審査を希望する場合は、申請先の審査機関に実施の有無を確認してください。

プライバシーマーク取得・更新にかかる費用（2026年10月改定後）

新規・更新の料金表

審査機関とJIPDECに払う費用は、申請料・審査料・付与登録料の3つです。2026年10月1日以降に申請した場合の料金（税込）は、JIPDECの費用ページによると次のとおりです。

付与登録料は、有効期間2年分を付与適格決定後にまとめて払います。JIPDECの案内では、支払い時期は申請料が申請書類の受付後、審査料が現地審査の終了後、付与登録料が付与適格決定の通知後です。申請料と審査料の支払い時期は審査機関によって異なる場合があります。審査料とは別に、現地審査の交通費・宿泊費が審査機関の規程で請求されます。

新旧料金の差額と申請日による適用区分

JIPDECは料金改定のお知らせで、改定幅を「約10％（ただし、小規模事業者は約6.53%）」と公表しています。新規の合計額で比べると、旧料金からの増加は次のとおりです。

新料金と旧料金のどちらになるかは申請日で決まり、2026年9月30日以前の申請は旧料金、10月1日以降の申請は新料金です。オンライン申請は申請書類のデータを送信した日、郵送は消印の日が申請日になります。2026年9月以前に申請済みで審査が続いている案件は、10月以降に付与登録料を払う場合でも旧料金です。現地審査後に事業内容や体制が大きく変わったときの再現地審査料も改定され、基本料金57,200円に、時間単価23,100円×審査時間×審査人数を足した額になりました。

事業者規模の判定

小規模・中規模・大規模は、登記された資本金（出資の総額）、従業者数、業種で一律に判定します。資本金の登記がある事業者の区分は次のとおりです。従業者数が小規模の範囲に入る事業者は、資本金にかかわらず小規模になるので、まず小規模に当たるかを判定し、当たらなければ中規模・大規模の条件を見ます。

ここでいう従業者は、中小企業基本法の「従業員」とは違い、役員、派遣社員、出向社員、パート・アルバイトも含みます。たとえば「製造業・その他」で資本金4億円・従業者200人の事業者は、大規模の条件（資本金3億円超かつ301人以上）を満たさないため中規模です。区分の境目にいる場合は、JIPDECの「事業者規模の区分」ページで数え方を確認してください。

コンサル費用と助成金

上の料金表は審査とマークの付与にかかる費用だけです。コンサルティング会社に構築を依頼する場合は、支援範囲に応じた委託費が別にかかり、社内担当者の工数も発生します。第三者認証の費用を内訳で考える方法は、ISMS認証の取得・維持にかかる費用の整理も参考になります。

一部の自治体には、中小企業のPマーク取得費用を補助・助成する制度があります。JIPDECの新規申請案内には、東京都の荒川区・江戸川区・品川区・港区などの令和8年度の制度が載っています。受付期間や対象経費は自治体ごとに違い、締め切りが近いものもあるため、所在地の自治体の案内を申請前に確認してください。

自社取得とコンサル委託の選び分け

判断の軸は「社内の知見」「取引先の期限」「割ける工数」の3つです。なかでも期限が実質的な決め手になります。JIPDECのモデルでは申請後に約6か月と改善期間を見込むため、PDCAの一巡に手間取ると、期限までの余裕によっては間に合わないおそれがあります。

筆者の整理としては、初めての取得で社内に規格の知見がなく、取引先の期限もあるならコンサル委託、社内にPマークやISMSの構築経験者がいて専任を置けるなら自社取得が基本線です。ただし、コンサルに任せられるのは規程づくりや審査準備の支援までです。個人情報保護管理者と監査責任者は社内から選ぶ必要があり、教育・内部監査・マネジメントレビューも自社で実施して記録を残します。自社で始めて途中からコンサルに切り替える場合は、作成済みの規程や記録をそのまま引き継げるかが手戻りを左右します。着手前に、社内担当者の工数を見積もり、複数のコンサルの見積額と支援範囲を比べてから方式を決めてください。

取得後の更新手続きと形骸化の防止

2年ごとの更新申請

Pマークの有効期間は2年です。JIPDECの更新申請方法によると、更新申請は付与契約の定めにより有効期間満了の8か月前の日から4か月前の日までに行います。JIPDECの例では、満了日が2024年12月1日なら受付期間は2024年4月2日から8月1日までです。受付期間の最終日が審査機関の休業日なら、直後の営業日まで延長されます。

更新申請先は、原則として前回付与適格決定を受けた審査機関です。形式審査以降は新規と同じ流れで、文書審査と現地審査があります。受付期間を逃すと付与を継続できず、取り直すには新規申請と同じ手続きと費用が必要になります。満了日は登録証に書かれているので、取得した時点で更新申請の時期を年間計画に入れておいてください。

年間計画・業務変更時の見直し・異動時の引継ぎ

更新でつまずく典型は、日常は何もせず、審査の前だけ記録を作る運用です。年一回以上と定められた教育・内部監査・マネジメントレビュー・台帳確認・リスクアセスメントの見直しを、実施月を決めて年間計画に固定すると、記録が自然にそろいます。新サービスの開始や委託先の変更など、個人情報の扱いが変わったときに台帳とリスクアセスメントをその場で直すことも大切です。担当者が異動するときは、計画と記録の置き場所を引き継いでください。委託先の監督は個人情報保護法25条の義務でもあるため、委託先管理のチェックリストと契約条項もあわせて整えておくと、審査でも説明しやすくなります。

個人情報保護法・ISMSとの関係

個人情報保護法との関係

個人情報保護法の遵守は、すべての事業者に課された法的な義務です。Pマークは、法令を守ったうえで、PMSという管理の仕組みを継続的に回していることを第三者が認める制度です。法律の全体像は個人情報保護法とは？定義・事業者の4つの義務・罰則で確認できます。法改正があるとPMSの規程も見直しが必要になるため、2026年7月公布の令和8年改正の動向も押さえておいてください。

ISMS（ISO/IEC 27001）との違い

Pマークは個人情報に対象を絞り、法人全体で取得します。ISMSは個人情報を含む情報資産全般が対象で、部門や拠点に範囲を絞って認証を受けられます。取引先がどちらを求めているか、消費者向けの表示が必要かで選び方が変わります。比較の観点はPマーク（プライバシーマーク）とISMSの違いで詳しく解説しています。

よくある質問

プライバシーマークとPマークは同じものですか？

同じです。「Pマーク」はプライバシーマークの略称で、制度や審査の内容に違いはありません。

従業者が1人の会社でも取得できますか？

取得できません。社会保険・労働保険に加入した正社員か、登記上の役員（監査役を除く）が2名以上いることが申請資格です。個人情報保護管理者と個人情報保護監査責任者を別の者にする必要があるためです。

オンラインやリモートで取得できますか？

JIPDECへの申請手続きはPマークポータルサイトでオンライン化されています。ただし現地審査は訪問が原則で、遠隔審査は災害や感染症などで現地審査が著しく困難な場合の代替措置です。遠隔審査を受けられるかは、申請先の審査機関に確認してください。

取得までにどのくらいの期間がかかりますか？

JIPDECのモデルスケジュールでは、申請から現地審査まで約3か月、現地審査から付与登録まで約3か月に、指摘事項の改善期間が加わります。その前に、PMSを構築してPDCAを少なくとも1回回す準備期間が必要です。

取得費用はいくらですか？

2026年10月1日以降の申請では、新規の合計（税込）が小規模336,600円・中規模690,800円・大規模1,382,700円です。このほか現地審査の交通費・宿泊費がかかり、コンサルを使う場合は委託費が別に必要です。

更新しないとどうなりますか？

有効期間の2年が過ぎるとマークを使えなくなります。再び取得するには、新規申請と同じ手続きと費用が必要です。更新申請は満了の8か月前から4か月前までに行ってください。

関連記事

• Pマーク（プライバシーマーク）とISMSの違い｜最新規格・2026年改正で選ぶ判断基準
• 個人情報保護法とは？定義・事業者の4つの義務・罰則を条文番号で解説【2026年10月時点】
• 委託先管理とは？個人情報保護法25条の監督義務とチェックリスト・契約条項の実務
• ISMS認証の取得・維持にかかる費用｜審査・コンサル・人件費の内訳と相場【2025年版基準】