この記事の要点
- PIMS（Privacy Information Management System／プライバシー情報マネジメントシステム）とは、個人を識別できる情報（PII）の取扱いを組織として管理し、継続的に改善するための仕組みで、その要求事項を定める国際規格がISO/IEC 27701です。
- ISO/IEC 27701は2025年10月に第2版（2025年版）が発行され、ISO/IEC 27001の拡張から独立したマネジメントシステム規格になりました。ISMS認証を持っていなくてもPIMS単独で認証を目指せます。
- 管理策はPII管理者向け・PII処理者向け・共通に分かれており、自社がどちらの立場でPIIを扱うかの整理が実務の出発点です。
- 認証が示すのは管理の仕組みが確立・運用されていることで、GDPRや個人情報保護法への適合そのものの証明ではありません。
「Pマークは持っています。でも海外の取引先に説明が通じません」「個人情報保護法への対応は社内でやっていますが、第三者に証明する手段がありません」——PHRや医療SaaSを手がける企業から、こうした相談が出てくることがあります。
そこで候補に挙がるのが ISO/IEC 27701 です。日本語では PIMS（Privacy Information Management System／プライバシー情報マネジメントシステム） と呼ばれます。
この規格は2025年10月に改訂され、ISMS（ISO/IEC 27001）の拡張規格から、単独で運用・認証できる独立規格に変わりました。本記事では、PIMSとは何か、27701 が何を求める規格なのか、PII管理者とPII処理者という役割の分岐が実務で何を意味するのか、GDPR等への対応を示す使い方、そしてPHR事業者にとっての取得判断を整理します。
ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001・27701 の規格本文および認定機関・審査機関の公表資料が正本です。また、GDPRや個人情報保護法への適合性の判断は法律専門家にご確認ください。
PIMSとは
PIMS（Privacy Information Management System／プライバシー情報マネジメントシステム）とは、個人を識別できる情報（PII：Personally Identifiable Information）を適切に扱うための方針・体制・手順を組織として運用し、継続的に改善していく仕組みです。 その要求事項を定める国際規格が ISO/IEC 27701 で、規格に沿って構築したPIMSは第三者の審査による認証の対象になります。
ISMS（ISO/IEC 27001）が情報資産全般の機密性・完全性・可用性を守る仕組みであるのに対し、PIMSはPIIと、その本人（PII主体）の権利を守ることに焦点を置きます。リスクを評価するときに「組織への影響」だけでなく「本人への影響」を考える点が、両者の大きな違いです。
2025年版で何が変わったか — ISMSの拡張から独立規格へ
ISO/IEC 27701 は、2019年に第1版が発行され、**2025年10月に第2版（ISO/IEC 27701:2025）**が発行されました。規格名も「Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance」に変わっています。
| 観点 | 2019年版 | 2025年版 |
|---|---|---|
| 位置づけ | ISO/IEC 27001・27002の拡張 | 独立したマネジメントシステム規格 |
| ISMS認証 | 前提 | 前提ではない |
| 構成 | 27001の要求事項をプライバシー向けに読み替え | 箇条4〜10がISOの調和構造（HS）に沿う |
| 管理策 | 管理者向け・処理者向けを別の附属書に配置 | 附属書Aで管理者向け・処理者向け・共通に整理 |
英国規格協会（BSI）の解説によれば、2025年版の附属書Aの管理策はPII管理者向け34、PII処理者向け21、共通31に整理され、ISO/IEC 27002:2022に合わせて再構成されています。国内の認定機関であるISMS-AC（JIPDEC）も、認証制度がISMS認証を前提とする「ISMS-PIMS認証」から、ISMS認証を必要としない独立したPIMS認証へ移行していることを示しています。プライバシー保護の要求内容そのものは大きくは変わっていない、ともしています。
既存の認証からの移行期限は、認証機関・認定機関の案内で確認してください（国際認定フォーラム（IAF）の参考文書では、関連規格ISO/IEC 27706:2025の発行月末から36か月とする案が示されています）。
ISMSを運用している組織にとっての27701
独立規格になったとはいえ、ISMSを運用している組織にとっては、既存の仕組みに重ねて構築するのが効率的であることに変わりはありません。箇条の構造がISMSと共通のため、適用範囲・リスクアセスメント・内部監査・マネジメントレビューを統合して運用できます。
2019年版の考え方を整理すると、次の3層構造でした（2025年版でも、ISMSに重ねて構築する場合の作業の中身はおおむね同じです）。
- 27001 の要求事項を、プライバシーの文脈で拡張した記述（適用範囲にPIIの処理を含める、リスクアセスメントにPII主体への影響を含める、など）
- 27002 の管理策を、プライバシーの文脈で読み替えた実施の手引
- PII管理者向けの追加管理策とPII処理者向けの追加管理策（それぞれ別の附属書に置かれる）
つまり、ISMSで作った文書体系を捨てて新しく作り直すのではなく、既存の適用範囲・リスクアセスメント・規程に、プライバシーの観点を足していく作業になります。ISMSの文書体系がしっかりしていれば追加は現実的ですし、逆に文書が形骸化していると拡張に耐えません。文書体系の考え方は ISMS文書体系｜何をどこまで作るか で扱っています。
| 観点 | ISO/IEC 27001（ISMS） | ISO/IEC 27701（PIMS） |
|---|---|---|
| 守る対象 | 情報資産全般 | PII（個人識別情報）とPII主体の権利 |
| リスクの見方 | 組織への影響を中心に評価 | PII主体（個人）への影響も評価に含める |
| 単独取得 | 可 | 可（2025年版から。2019年版は27001が前提） |
| 役割の区分 | 特に区分しない | PII管理者／PII処理者で追加管理策が分かれる |
| 典型的な用途 | 取引条件としての体制証明 | 法令対応の体制を示す、役割分担を明確にする |
PII管理者とPII処理者 — 役割の分岐が実務を決める
27701 を理解するうえで避けて通れないのが、PII管理者（PII controller） と PII処理者（PII processor） の区別です。GDPRの管理者／処理者の考え方に対応しています。
- PII管理者：PIIを何のために、どう処理するかを決める立場
- PII処理者：管理者の指示に従ってPIIを処理する立場
医療・ヘルスケアの現場では、この区別が事業モデルによって変わります。
| 事業形態 | 典型的な立場 | 理由 |
|---|---|---|
| 病院向けSaaS（電子カルテ、予約、問診など） | 主に処理者 | 処理の目的を決めているのは医療機関側 |
| BtoC の PHRアプリ | 主に管理者 | 利用者から直接同意を取り、自ら利用目的を決めている |
| PHR＋法人契約（健保・企業経由） | 両方になり得る | 契約先のための処理と、自社サービスとしての処理が混在する |
| 治験・臨床研究の支援システム | 契約により分かれる | 依頼者・実施医療機関との役割分担の設計次第 |
ここが曖昧なまま事業を進めている企業は少なくありません。 27701 の取得プロセスは、この役割整理を強制的に行わせる効果があります。取得しない場合でも、自社がどちらの立場でPIIを扱っているのかを文書で説明できる状態は、取引先からの質問に答えるうえで有効です。
PHR事業者の論点は PHR事業者のISMS｜個人情報保護法との関係 でも扱っています。管理者向けの追加管理策には、PII主体への通知、同意の取得と記録、開示・訂正・削除の請求への対応といった、PII主体の権利行使に応じるための仕組みが並びます。処理者向けには、管理者の指示の範囲を超えて処理しないこと、再委託の管理、契約終了時の取扱いといった論点が並びます。
GDPR等への対応をどう示すか
27701 が実務で使われる最も一般的な場面が、GDPRなどの法令対応の体制を、第三者の審査を通じて示す用途です。
ここで誤解を避けたいのは、27701 の認証は「GDPRに適合している」という証明ではないという点です。認証が示すのは、プライバシー情報を管理するマネジメントシステムが確立され、運用されているという事実です。法令への適合性そのものは、各国の監督機関と法律専門家の領域です。
それでも有効なのは、取引先が見ているのが多くの場合「この会社は個人データの取扱いを仕組みとして管理できているか」だからです。契約交渉やデューデリジェンスの場面で、体制を一から説明する手間を大きく減らせます。
国内の認知度という点では、Pマークのほうが依然として高いのが実情です。用途が違うため、次のように整理すると判断しやすくなります。
| 認証 | 主な対象 | 通用する範囲 | 向く場面 |
|---|---|---|---|
| Pマーク | 個人情報（国内法準拠） | 国内での認知度が高い | BtoCで国内中心。消費者向けの信頼表示 |
| ISMS（27001） | 情報資産全般 | 国際規格 | BtoBの取引条件としての体制証明 |
| ISO 27701（PIMS） | PIIとPII主体の権利 | 国際規格 | 海外取引、GDPR文脈、管理者／処理者の整理 |
| ISO 27018 | クラウド上のPII（処理者として） | 国際規格 | 預かったデータを目的外利用しないことの証明 |
PマークとISMSの比較は ISMSとPマークの違い｜どちらを取るべきか、クラウド向け追加認証は ISO 27017・27018とは｜クラウド向けの追加認証 をご覧ください。海外取引先が相手なら、認定機関の選択も論点になります（ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方）。
PHR事業者にとって取る意味があるのはどういう場合か
取得の負荷は小さくありません。ISMSの上に乗るとはいえ、適用範囲の見直し、リスクアセスメントへのPII主体影響の追加、追加管理策への対応、審査工数の増加が発生します。判断材料を整理します。
取得が効きやすい場合
- 海外の顧客・パートナー・投資家がおり、GDPR文脈での説明を繰り返し求められている
- PHRのように、利用者本人から直接データを預かるモデルで、同意・開示・削除の運用を第三者に示したい
- グループ会社や委託先が多く、管理者／処理者の役割分担を文書で固めておく必要がある
- 個人データの二次利用（研究、AI学習など）を事業計画に含んでおり、その統制を説明する必要がある
急がなくてよい場合
- 取引条件として指定されているのがISMSまたはPマークのみ
- 国内のBtoB中心で、海外からの照会がない
- ISMSの初回認証がまだ、または運用が1周していない
ISMSも必要な事業者にとって現実的な順序は、ISMS → （必要に応じて）27017/27018 → 27701 です。 2025年版では27701単独での認証も可能ですが、医療分野ではISMSを取引条件とされることが多く、27701 は範囲も広いため、ISMSの運用が安定していない段階で着手すると、内部監査もマネジメントレビューも回らなくなります。内部監査の負荷については 内部監査の進め方｜計画・チェックリスト・報告 をご覧ください。
また、医療情報を扱う事業者は、法令・認証と並行して 3省2ガイドライン への対応を求められることが多くあります。認証だけを増やしても取引先の要求を満たせない場合があるため、3省2ガイドラインとは｜医療情報システムの安全管理 と併せて全体像を描いてください。
まとめ
- PIMSはPIIと本人の権利を守るためのマネジメントシステムで、要求事項はISO/IEC 27701が定める。2025年版で独立規格になり、ISMS認証は前提でなくなった
- 既存のISMS文書を捨てるのではなく、適用範囲・リスクアセスメント・規程にプライバシーの観点を足す作業になる
- PII管理者／PII処理者で追加管理策が分かれる。自社がどちらかを整理すること自体に実務上の価値がある
- 認証は「GDPRに適合している」証明ではない。示せるのは管理の仕組みが確立・運用されていること
- 国内BtoCではPマークの認知度が高い。海外取引・GDPR文脈では27701が効く
- ISMSも求められる事業者なら、順序は ISMS →（必要に応じて）27017/27018 → 27701。土台の運用が1周してから広げる
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。PHR・SaMD・治験システムなど、個人データの扱いが事業の中核にある企業の適用範囲設計とリスクアセスメントを、規程・台帳・教材のひな形とともに支援します。将来的な拡張を見据えた文書体系のご相談も承ります。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
よくある質問
- Q. PIMSとは何ですか？
- A. Privacy Information Management System（プライバシー情報マネジメントシステム）の略で、個人を識別できる情報（PII）を適切に取り扱うための方針・体制・手順を組織として運用し、継続的に改善する仕組みです。要求事項は国際規格ISO/IEC 27701に定められています。
- Q. ISO/IEC 27701はISMS（ISO/IEC 27001）がないと取得できませんか？
- A. 2019年版ではISO/IEC 27001の拡張規格だったため、ISMSが前提でした。2025年版では独立したマネジメントシステム規格になり、ISMS認証がなくても認証を目指せます。国内でもISMS-ACが、ISMS認証を前提としない独立したPIMS認証への移行を示しています。
- Q. PIMSとPマークの違いは何ですか？
- A. Pマーク（プライバシーマーク）は日本国内の制度で、国内の消費者向けの信頼表示として認知度が高いのが特徴です。PIMS（ISO/IEC 27701）は国際規格で、海外取引やGDPRの文脈での説明、PII管理者・処理者の役割整理に向きます。
- Q. ISO/IEC 27701を取得すればGDPRに適合していることになりますか？
- A. なりません。認証が示すのはプライバシー情報を管理するマネジメントシステムが確立・運用されていることです。法令への適合性の判断は、監督機関や法律専門家の領域です。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27701:2025 Privacy information management systems — Requirements and guidance｜ISO
- Accreditation of PIMS Certification Bodies｜ISMS-AC
- ISO/IEC 27701:2025への移行に関するIAF参考文書（参考訳）｜ISMS-AC
- ISO/IEC 27701 主な変更点｜BSIグループジャパン
- ISO/IEC 27001 Information security management systems｜ISO
- 個人情報保護委員会
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。GDPRおよび個人情報保護法への適合性の判断は法律専門家にご相談ください。