「Pマークは持っています。でも海外の取引先に説明が通じません」「個人情報保護法への対応は社内でやっていますが、第三者に証明する手段がありません」——PHRや医療SaaSを手がける企業から、こうした相談が出てくることがあります。
そこで候補に挙がるのが ISO/IEC 27701 です。日本語では PIMS（Privacy Information Management System／プライバシー情報マネジメントシステム） と呼ばれます。
ただしこの規格は、単体で取れるものではありません。ISMS（ISO/IEC 27001）を拡張する形で成立しており、土台がなければ成立しない構造になっています。本記事では、27701 が何を追加する規格なのか、PII管理者とPII処理者という役割の分岐が実務で何を意味するのか、GDPR等への対応を示す使い方、そしてPHR事業者にとっての取得判断を整理します。
ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001・27701 の規格本文および認定機関・審査機関の公表資料が正本です。また、GDPRや個人情報保護法への適合性の判断は法律専門家にご確認ください。
ISMSの拡張としての27701
27701 の最大の特徴は、ISO/IEC 27001 の要求事項を置き換えるのではなく、プライバシー向けに読み替えて拡張するという設計です。
具体的には、次の3層構造になっています。
- 27001 の要求事項を、プライバシーの文脈で拡張した記述（適用範囲にPIIの処理を含める、リスクアセスメントにPII主体への影響を含める、など）
- 27002 の管理策を、プライバシーの文脈で読み替えた実施の手引
- PII管理者向けの追加管理策とPII処理者向けの追加管理策（それぞれ別の附属書に置かれる）
つまり、ISMSで作った文書体系を捨てて新しく作り直すのではなく、既存の適用範囲・リスクアセスメント・規程に、プライバシーの観点を足していく作業になります。ISMSの文書体系がしっかりしていれば追加は現実的ですし、逆に文書が形骸化していると拡張に耐えません。文書体系の考え方は ISMS文書体系｜何をどこまで作るか で扱っています。
| 観点 | ISO/IEC 27001（ISMS） | ISO/IEC 27701（PIMS） |
|---|---|---|
| 守る対象 | 情報資産全般 | PII（個人識別情報）とPII主体の権利 |
| リスクの見方 | 組織への影響を中心に評価 | PII主体（個人）への影響も評価に含める |
| 単独取得 | 可 | 不可（27001が前提） |
| 役割の区分 | 特に区分しない | PII管理者／PII処理者で追加管理策が分かれる |
| 典型的な用途 | 取引条件としての体制証明 | 法令対応の体制を示す、役割分担を明確にする |
PII管理者とPII処理者 — 役割の分岐が実務を決める
27701 を理解するうえで避けて通れないのが、PII管理者（PII controller） と PII処理者（PII processor） の区別です。GDPRの管理者／処理者の考え方に対応しています。
- PII管理者：PIIを何のために、どう処理するかを決める立場
- PII処理者：管理者の指示に従ってPIIを処理する立場
医療・ヘルスケアの現場では、この区別が事業モデルによって変わります。
| 事業形態 | 典型的な立場 | 理由 |
|---|---|---|
| 病院向けSaaS（電子カルテ、予約、問診など） | 主に処理者 | 処理の目的を決めているのは医療機関側 |
| BtoC の PHRアプリ | 主に管理者 | 利用者から直接同意を取り、自ら利用目的を決めている |
| PHR＋法人契約（健保・企業経由） | 両方になり得る | 契約先のための処理と、自社サービスとしての処理が混在する |
| 治験・臨床研究の支援システム | 契約により分かれる | 依頼者・実施医療機関との役割分担の設計次第 |
ここが曖昧なまま事業を進めている企業は少なくありません。 27701 の取得プロセスは、この役割整理を強制的に行わせる効果があります。取得しない場合でも、自社がどちらの立場でPIIを扱っているのかを文書で説明できる状態は、取引先からの質問に答えるうえで有効です。
PHR事業者の論点は PHR事業者のISMS｜個人情報保護法との関係 でも扱っています。管理者向けの追加管理策には、PII主体への通知、同意の取得と記録、開示・訂正・削除の請求への対応といった、PII主体の権利行使に応じるための仕組みが並びます。処理者向けには、管理者の指示の範囲を超えて処理しないこと、再委託の管理、契約終了時の取扱いといった論点が並びます。
GDPR等への対応をどう示すか
27701 が実務で使われる最も一般的な場面が、GDPRなどの法令対応の体制を、第三者の審査を通じて示す用途です。
ここで誤解を避けたいのは、27701 の認証は「GDPRに適合している」という証明ではないという点です。認証が示すのは、プライバシー情報を管理するマネジメントシステムが確立され、運用されているという事実です。法令への適合性そのものは、各国の監督機関と法律専門家の領域です。
それでも有効なのは、取引先が見ているのが多くの場合「この会社は個人データの取扱いを仕組みとして管理できているか」だからです。契約交渉やデューデリジェンスの場面で、体制を一から説明する手間を大きく減らせます。
国内の認知度という点では、Pマークのほうが依然として高いのが実情です。用途が違うため、次のように整理すると判断しやすくなります。
| 認証 | 主な対象 | 通用する範囲 | 向く場面 |
|---|---|---|---|
| Pマーク | 個人情報（国内法準拠） | 国内での認知度が高い | BtoCで国内中心。消費者向けの信頼表示 |
| ISMS（27001） | 情報資産全般 | 国際規格 | BtoBの取引条件としての体制証明 |
| ISO 27701（PIMS） | PIIとPII主体の権利 | 国際規格 | 海外取引、GDPR文脈、管理者／処理者の整理 |
| ISO 27018 | クラウド上のPII（処理者として） | 国際規格 | 預かったデータを目的外利用しないことの証明 |
PマークとISMSの比較は ISMSとPマークの違い｜どちらを取るべきか、クラウド向け追加認証は ISO 27017・27018とは｜クラウド向けの追加認証 をご覧ください。海外取引先が相手なら、認定機関の選択も論点になります（ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方）。
PHR事業者にとって取る意味があるのはどういう場合か
取得の負荷は小さくありません。ISMSの上に乗るとはいえ、適用範囲の見直し、リスクアセスメントへのPII主体影響の追加、追加管理策への対応、審査工数の増加が発生します。判断材料を整理します。
取得が効きやすい場合
- 海外の顧客・パートナー・投資家がおり、GDPR文脈での説明を繰り返し求められている
- PHRのように、利用者本人から直接データを預かるモデルで、同意・開示・削除の運用を第三者に示したい
- グループ会社や委託先が多く、管理者／処理者の役割分担を文書で固めておく必要がある
- 個人データの二次利用（研究、AI学習など）を事業計画に含んでおり、その統制を説明する必要がある
急がなくてよい場合
- 取引条件として指定されているのがISMSまたはPマークのみ
- 国内のBtoB中心で、海外からの照会がない
- ISMSの初回認証がまだ、または運用が1周していない
現実的な順序は、ISMS → （必要に応じて）27017/27018 → 27701 です。 27701 は範囲が広いため、ISMSの運用が安定していない段階で着手すると、内部監査もマネジメントレビューも回らなくなります。内部監査の負荷については 内部監査の進め方｜計画・チェックリスト・報告 をご覧ください。
また、医療情報を扱う事業者は、法令・認証と並行して 3省2ガイドライン への対応を求められることが多くあります。認証だけを増やしても取引先の要求を満たせない場合があるため、3省2ガイドラインとは｜医療情報システムの安全管理 と併せて全体像を描いてください。
まとめ
- ISO/IEC 27701 は ISMSの拡張規格。単独では取得できず、ISO/IEC 27001 の認証が前提
- 既存のISMS文書を捨てるのではなく、適用範囲・リスクアセスメント・規程にプライバシーの観点を足す作業になる
- PII管理者／PII処理者で追加管理策が分かれる。自社がどちらかを整理すること自体に実務上の価値がある
- 認証は「GDPRに適合している」証明ではない。示せるのは管理の仕組みが確立・運用されていること
- 国内BtoCではPマークの認知度が高い。海外取引・GDPR文脈では27701が効く
- 順序は ISMS →（必要に応じて）27017/27018 → 27701。土台の運用が1周してから広げる
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。PHR・SaMD・治験システムなど、個人データの扱いが事業の中核にある企業の適用範囲設計とリスクアセスメントを、規程・台帳・教材のひな形とともに支援します。将来的な拡張を見据えた文書体系のご相談も承ります。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27701 Privacy information management systems｜ISO
- ISO/IEC 27001 Information security management systems｜ISO
- 個人情報保護委員会
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。GDPRおよび個人情報保護法への適合性の判断は法律専門家にご相談ください。