個人情報保護法の基本と実務｜小さな会社・事業所でまず押さえたい扱い方

小さな事業者でも対象になる

「うちは小さい会社だから、個人情報保護法は大企業の話だろう」と考えるのは危険です。個人情報保護委員会は、個人情報データベース等を事業の用に供していれば、扱う人数の多さにかかわらず個人情報取扱事業者に該当すると説明しています。顧客名簿、会員一覧、従業員名簿、予約者リスト、問い合わせ履歴などを、検索できる形で継続的に業務へ使っている事業者は、規模だけを理由に対象外とはいえません。

ここでいう「事業」は営利目的に限りません。NPO、自治会・町内会、同窓会、PTAなどの非営利団体も、個人情報データベース等を活動のために使っていれば個人情報取扱事業者に該当し得ると、個人情報保護委員会が明示しています。

このGuideでは、主に民間の小規模事業者・小さな職場を想定します。行政機関や地方公共団体、医療・金融など分野別の追加ルールがある場面は、別の法令やガイドラインも確認してください。

まず「何を持っていて、何のために使うか」を把握する

個人情報保護の実務は、難しい規程を作るところから始める必要はありません。最初に、自分たちがどのような情報をどこで扱っているかを確認します。

たとえば、顧客の氏名・住所・電話番号、予約情報、会員名簿、従業員情報、採用応募者の履歴書、問い合わせメール、配送先、本人確認書類の画像などです。紙の名簿、Excel、クラウドサービス、業務システム、メールボックス、スマートフォンなど、保存場所も一緒に見ます。

次に、それぞれを何のために使うのかを言葉にします。個人情報保護法では、個人情報を取り扱う際に利用目的をできる限り特定し、その目的の達成に必要な範囲を超えて扱う場合は、原則として本人の同意が必要になります。

「業務のため」「サービス向上のため」のように広すぎる表現だけで済ませず、本人が自分の情報の使われ方を合理的に予測できる程度まで具体化することが基本です。

集めるときと、別の用途に使いたくなったとき

個人情報を取得するときは、利用目的を本人へ通知・公表することが基本です。本人から書面やWebフォームなどで直接取得する場面では、原則として利用目的をあらかじめ明示する必要があります。

実務では、「集めたときに何と言っていたか」を後から確認できる状態にしておくことが重要です。申込フォーム、プライバシーポリシー、同意画面、申込書などを変更した場合も、いつの時点でどの説明をしていたか分かるようにしておくと判断しやすくなります。

途中で新しい使い方を思いついた場合は、最初の利用目的の範囲に入るかを確認します。本人が通常予期できない別目的へ広げるなら、「便利だから」「社内で使うだけだから」という理由だけで進めず、目的変更や本人同意が必要かを検討します。

要配慮個人情報など、取得や取扱いに追加の条件がある情報もあります。健康情報、病歴などを扱う業務では、一般的な名簿より慎重に確認してください。

安全管理は、大企業と同じ設備をそろえることではない

個人データを扱う事業者には、漏えい・滅失・毀損などを防ぐための必要かつ適切な安全管理措置が求められます。ただし、全事業者が同じ高価なシステムを導入しなければならない、という意味ではありません。個人情報保護委員会のガイドラインも、事業の規模や性質、扱うデータの内容・量、漏えいした場合の影響などのリスクに応じて措置を決める考え方を示しています。

小規模な職場なら、まず次のような基本を現実に回せる形で整えます。

• 個人データを扱える担当者と範囲を決める
• 退職者や担当変更後のアカウント・共有権限を残さない
• 紙の名簿や端末を誰でも見られる場所へ放置しない
• パスワードの使い回しを避け、多要素認証を使えるサービスでは有効にする
• OSやアプリ、業務ソフトを更新する
• 個人データをUSBメモリや私物端末へ無制限にコピーしない
• おかしな取扱いや紛失に気づいたとき、誰へ連絡するかを決める

規程だけ作って実際には守れない状態より、扱う情報と人数に合わせて、責任者・アクセス範囲・報告ルートを明確にする方が実務上の出発点になります。

従業員と外部委託先に任せれば、責任も移るわけではない

個人データを従業員に扱わせる場合、事業者には必要かつ適切な監督が求められます。担当者へ「気をつけて」と言うだけではなく、誰が何を扱えるか、持ち出しや共有のルール、事故時の報告方法などを決め、必要な教育を行います。

外部業者へ名簿入力、配送、システム運用、クラウド上の処理などを任せる場合も同じです。個人情報保護委員会のガイドラインでは、委託先の選定、契約、取扱状況の把握などを通じて、必要かつ適切に監督することを求めています。

特に注意したいのは再委託です。委託先がさらに別会社へ作業を回し、そこで不適切な取扱いが起きた場合でも、元の委託元の監督が不十分なら法違反と判断され得るとガイドラインは説明しています。

契約を結んだだけで終わりにせず、どのデータを渡すのか、何のために扱うのか、再委託はあるのか、事故時に誰から誰へ連絡するのかを確認しておくことが重要です。

別の会社や団体へ渡すときは、「委託」「第三者提供」「共同利用」を分ける

個人データを外部へ渡す場面では、すべてを同じ「共有」と考えない方が安全です。法律上の扱いは、何のために誰へ渡すかで変わります。

たとえば、注文品を届けるため配送会社へ必要な住所を渡すような委託は、一定の要件の下で第三者提供とは別に扱われます。一方、別会社が自社の目的で使うために顧客データを渡す場合などは、原則として本人の同意が必要となる第三者提供に当たり得ます。

複数の組織が一体的に使う共同利用には、共同利用すること、データ項目、利用者の範囲、利用目的、管理責任者などを、あらかじめ本人へ通知するか、本人が容易に知り得る状態に置くなどの条件があります。

「関連会社だから」「同じイベントを一緒に運営しているから」「PTAと学校だから」といった関係だけで、自由に名簿を渡せるとは限りません。迷った場合は、まず誰が何の目的で利用するのかを書き出してから、委託・第三者提供・共同利用のどれに当たるのかを確認します。

紛失や漏えいに気づいたら、まず被害拡大を止める

名簿を誤送信した、端末を紛失した、共有設定を間違えた、不正アクセスを受けた――こうした事案に気づいたら、最初に原因究明の完了を待つのではなく、可能な範囲で被害拡大を防ぎます。共有リンクを止める、アカウントを無効化する、認証情報を変更する、誤送信先へ削除を依頼する、といった初動が考えられます。

そのうえで、いつ何が起きたか、対象データ、対象人数、第三者が閲覧・取得した可能性、原因、実施した措置を整理します。

すべてのミスが個人情報保護委員会への報告対象になるわけではありません。一方で、個人の権利利益を害するおそれが大きいものとして規則で定められた漏えい等では、委員会への報告と本人通知が必要です。該当性は、情報の種類や事案の内容によって判断します。

重要なのは、「漏れたかもしれないから黙っておく」ではなく、事実確認と被害拡大防止を進めながら、法令上の報告・通知が必要かを確認することです。重大な事案や判断が難しい事案では、個人情報保護委員会の漏えい等対応案内や専門家を確認してください。

事故が起きたら、すぐ「違法」「罰金」になるのか

漏えい事故が起きたという事実だけで、直ちに「個人情報保護法違反が確定した」「罰金が科される」と決まるわけではありません。法的な評価では、安全管理措置、従業者・委託先の監督、第三者提供の手続、事故後の報告・本人通知など、具体的にどの義務が問題になったのかを見ます。

義務違反がある場合、個人情報保護委員会は報告徴収・立入検査、指導・助言、勧告・命令などを行うことができます。さらに、委員会の命令に違反した場合や、報告徴収へ虚偽報告をした場合など、法律が定める行為には刑事罰が科される可能性があります。業務で扱った個人情報データベース等を不正な利益のために提供・盗用する行為にも別の罰則があります。

したがって、ニュースや身近なトラブルを見て「漏えいした＝即、刑事罰」と短絡するのも、「故意ではないから問題ない」と考えるのも適切ではありません。個別の事故では、どの義務が適用され、事業者がどんな管理と対応をしていたかを分けて見る必要があります。

損害賠償責任や具体的な違法性について結論を出す必要がある場合は、事実関係によって変わるため、弁護士などの専門家へ相談してください。

2026年改正法は公布済み。ただし、今すべてが施行されたわけではない

2026年7月17日、個人情報保護法等の一部を改正する法律が公布されました。ただし、個人情報保護委員会は、改正法は一部を除き、公布日から起算して2年以内で政令で定める日から施行されると案内しています。

2026年10月時点では、改正法の施行に向けて、政令・委員会規則・ガイドライン等の整備が続いています。個人情報保護委員会では9月から10月にかけて基本的な考え方の検討を進め、10月21日にも規則改正案の意見募集を開始しています。

そのため、改正法の記事を読んだときは、少なくとも次を分けて確認してください。

• 法律として成立・公布された内容
• すでに施行され、現在の実務に適用される内容
• 施行日がこれから決まる内容
• 政令・規則・ガイドラインで詳細が決まる内容
• 検討資料や意見募集の段階で、まだ確定していない内容

このGuideは、現在適用されている基本ルールを土台にしています。2026年改正の施行準備が進んだ段階で、必要な箇所を更新します。

小さな組織なら、まずここまで決めておく

法律の条文をすべて暗記するより、日常の取扱いを説明できる状態にする方が実務では役立ちます。

最低限、次の点を組織内で確認できるようにしておきましょう。

1. どんな個人情報を、どこに保存しているか
2. 何の目的で取得・利用しているか
3. 誰がアクセスできるか
4. 外部へ渡す場合、それは委託・第三者提供・共同利用のどれか
5. 委託先やクラウドサービスへ何を預けているか
6. 退職・異動・担当変更時に権限を外す手順があるか
7. 誤送信・紛失・不正アクセスに気づいたときの連絡先が決まっているか
8. 本人から問い合わせや開示等の請求が来たとき、誰が対応するか
9. 個人情報保護委員会の最新ガイドラインやQ&Aを確認する担当・時期を決めているか

「個人情報保護法に対応しています」という宣言だけでは、実際の取扱いは安全になりません。取得、利用、保存、共有、削除、事故対応まで、誰がどう扱うかを説明できることが基本です。

このGuideは一般的な実務整理を目的としています。業種固有の規制、要配慮個人情報、外国へのデータ移転、子どもの個人情報、重大な漏えい、紛争・損害賠償などは個別条件で判断が変わるため、個人情報保護委員会の最新資料や専門家の確認が必要です。