個人情報保護法の中小企業向け対応ガイド｜義務・安全管理措置・漏えい時の報告
問い合わせフォームに届いた氏名とメールアドレス、机の上の名刺の束、外注先に渡した顧客リスト、退職者のパソコンに残った見積書。どれも「個人データ」であり、扱い方を誤れば個人情報保護法の問題になります。それでも多くの中小企業では、プライバシーポリシーをひな形から貼っただけで止まっています。
先に押さえるべき要点は3つです。
- 規模による適用除外はない。1件でも個人情報を事業に使えば個人情報取扱事業者で、義務は原則すべてかかります。
- 義務の中心は「安全管理措置」と「委託先の監督」。外注が多い会社ほど、自社より委託先が弱点になります。
- 漏えい時には報告と通知の期限がある。速報はおおむね3〜5日以内、確報は30日以内(一定の場合60日以内)。事故が起きてから調べていては間に合いません。
※本記事は2026年7月時点の一次情報(e-Gov法令検索、個人情報保護委員会のガイドライン・公表資料)を確認して整理した一般的な情報です。個別の事案の当てはめや自社の規程・契約書の適否は、必ず弁護士等の専門家にご確認ください。
個人情報保護法とは｜1件でも扱えば対象になる
個人情報保護法(個人情報の保護に関する法律・平成15年法律第57号)は、事業者が個人情報を適正に取り扱うためのルールです。条文はe-Gov法令検索で確認できます。
かつては取扱件数が5,000件以下の事業者は適用除外でしたが、2017年5月30日に全面施行された改正でこの要件は撤廃されました。名刺1枚を検索可能な形で管理していれば対象になり得ます。
誤解が多いのが「中小規模事業者」という区分です。ガイドライン(通則編)はこれを、従業員の数が100人以下の個人情報取扱事業者(取り扱う個人情報で識別される個人の数が過去6か月以内に5,000を超えた者、委託を受けて個人データを取り扱う者を除く)と定義しています。ただし義務が免除される区分ではありません。「同様に法第23条に定める安全管理措置を講じなければならない」としたうえで、手法の例を別に示しているだけです。
個人情報・個人データ・保有個人データ｜まず用語を整理する
用語ごとに義務の重さが変わるため、ここを曖昧にしたまま社内ルールを作ると必要な措置が抜け落ちます。
| 用語 | 定義の要点 | 実務での例 |
|---|---|---|
| 個人情報 | 生存する個人に関する情報で、特定の個人を識別できるもの(他の情報と容易に照合して識別できるものを含む) | フォームに入力された氏名とメールアドレス |
| 個人データ | 個人情報データベース等を構成する個人情報 | 顧客管理システムや表計算ファイルの顧客情報 |
| 保有個人データ | 開示・訂正・削除・利用停止等を行う権限のある個人データ(政令の例外を除く) | 自社が管理する会員情報。開示等の請求の対象 |
| 要配慮個人情報 | 人種・信条・社会的身分・病歴・犯罪の経歴など、特に配慮を要する情報 | 健康診断結果。取得には原則本人同意が必要 |
| 個人関連情報 | 個人情報・仮名加工情報・匿名加工情報のいずれにも該当しない、個人に関する情報 | Cookie等の端末識別子で収集した閲覧履歴 |
| 仮名加工情報 | 他の情報と照合しない限り特定の個人を識別できないように加工した情報 | 氏名を管理用IDに置き換えた分析用データ |
| 匿名加工情報 | 特定の個人を識別できず、元の個人情報を復元できないように加工した情報 | 統計処理して外部提供できる形にしたデータ |
名刺1枚は「個人情報」でも、五十音順のファイルに綴じた瞬間に「個人データ」になります。安全管理措置も第三者提供の制限も、対象は個人データ。「うちは名簿を持っていない」と言う会社ほど、アドレス帳や表計算ファイルの形で個人データを持っています。
事業者が守るべき義務の全体像
| 義務 | 根拠条文 | 実務でやること |
|---|---|---|
| 利用目的の特定・制限 | 法第17条・第18条 | できる限り特定し、その範囲を超えて使わない |
| 不適正な利用の禁止・適正な取得 | 法第19条・第20条 | 不正の手段で取得しない。要配慮個人情報は原則本人同意 |
| 利用目的の通知等 | 法第21条 | 取得したら速やかに通知または公表(公表済みなら不要) |
| 正確性の確保・消去 | 法第22条 | 正確かつ最新に保ち、不要になったら遅滞なく消去する(努力義務) |
| 安全管理措置 | 法第23条 | 組織的・人的・物理的・技術的措置と外的環境の把握 |
| 従業者・委託先の監督 | 法第24条・第25条 | 教育と運用の監督。委託先は選定・契約・取扱状況の把握 |
| 漏えい等の報告等 | 法第26条 | 委員会への報告と本人への通知 |
| 第三者提供の制限・記録 | 法第27条・第29条・第30条 | 原則本人同意。提供時・受領時の記録を保存 |
| 保有個人データの公表等 | 法第32条 | 5項目を本人の知り得る状態に置く |
| 開示・訂正等・利用停止等 | 法第33条〜第35条 | 請求に応じる手続を用意する |
| 苦情の処理 | 法第40条 | 適切かつ迅速な処理と体制整備(努力義務) |
安全管理措置は「4分類+外的環境の把握」
ガイドライン(通則編)の別添は、講じなければならない措置を次のように整理しています。右列は数十人規模でも回せる実装例です。
| 区分 | 講じなければならない措置 | 小さな会社での実装例 |
|---|---|---|
| 組織的 | 組織体制の整備／規律に従った運用／取扱状況を確認する手段の整備／漏えい等事案に対応する体制の整備／取扱状況の把握と見直し | 責任者を1人決め、報告連絡ルートと年1回の点検日を紙1枚に書く |
| 人的 | 従業者への周知徹底と適切な教育 | 年1回の研修、就業規則への秘密保持条項の追加 |
| 物理的 | 取扱区域の管理／機器・電子媒体等の盗難防止／持ち運ぶ場合の漏えい防止／削除・廃棄 | 施錠キャビネット、PCの暗号化、溶解またはシュレッダー廃棄 |
| 技術的 | アクセス制御／アクセス者の識別と認証／外部からの不正アクセス等の防止／システム使用にともなう漏えい防止 | 共有アカウント廃止、多要素認証、退職者アカウントの即日停止 |
| 外的環境の把握 | 外国で個人データを取り扱う場合、その国の制度等を把握したうえで必要かつ適切な措置 | 海外リージョンなら保管国と現地制度を確認して記録する |
「外的環境の把握」は見落とされがちですが、海外にサーバーがあるサービスを使うだけで検討対象です。技術面は中小企業のセキュリティ対策もご覧ください。
第三者提供の制限・オプトアウト・記録義務
個人データを第三者に渡すには、原則としてあらかじめ本人の同意が必要です(法第27条第1項)。例外のオプトアウト制度を使うには、あらかじめ本人に通知するか本人が容易に知り得る状態に置いたうえで、個人情報保護委員会への届出が要ります。要配慮個人情報はオプトアウトの対象外で、オプトアウトで受け取った個人データの再提供もできません。
第三者に提供したとき・受け取ったときは記録の作成と保存も義務です(法第29条・第30条)。保存期間は原則3年、契約書等による代替手段の場合は最後に提供した日から1年です(第三者提供時の確認・記録義務編)。
なお、業務委託・事業承継にともなう提供と共同利用は第三者提供にあたらず本人同意は不要ですが(法第27条第5項)、委託には別途、監督義務がかかります。
開示等の請求と苦情処理
本人は、保有個人データについて電磁的記録の提供による方法での開示も請求できます(法第33条第1項)。その方法が困難なら書面交付でも構いませんが、「原則は紙」ではありません。手数料は実費を勘案して合理的と認められる範囲内で定めます(法第38条)。苦情処理は努力義務(法第40条)ですが、窓口を1つ決めて公表しておくことが最も安価な防波堤になります。
外注・委託先に個人データを渡すときの実務
外注を使う会社にとって、ここが最大の論点です。委託元は委託先に必要かつ適切な監督を行わなければなりません(法第25条)。ガイドラインは自らが講ずべき安全管理措置と同等の措置が講じられるよう監督するものとし、次の3点を求めます。
- 適切な委託先の選定：委託先の安全管理措置が、少なくとも委託元に求められるものと同等であることを別添の各項目に沿ってあらかじめ確認する
- 委託契約の締結：双方が同意した安全管理措置の内容と、取扱状況を委託元が合理的に把握できることを盛り込む
- 取扱状況の把握：定期的な監査等で実施の程度を調査し、委託内容の見直しも含めて評価する
この3つの措置を講じること自体は義務ですが、ガイドライン上「しなければならない」とされているのは1の事前確認で、2の契約への盛り込みと3の定期監査等による評価は「望ましい」と書かれた事項です。とはいえ、監督を怠った結果として漏えいが起きれば法第25条違反と評価され得るため、実務では2と3も前提に組んでおくのが安全です。
さらに再委託についても事前報告または承認を受け、再委託先が安全管理措置を講じることを確認するのが望ましいとされます。そして「委託元が必要かつ適切な監督を行っていない場合で、委託先が再委託した際に再委託先が不適切な取扱いをしたときは、元の委託元による法違反と判断され得る」と明記されています。丸投げは自社の違反として返ってきます。
委託契約に入れておきたい条項
| 条項 | 書くべき内容 |
|---|---|
| 目的外利用の禁止 | 委託業務の遂行以外に個人データを利用しない |
| 安全管理措置 | 委託元と同等の措置(4分類+外的環境の把握)を列挙 |
| 再委託の制限 | 事前の書面承諾を要件とし、再委託先にも同等の義務を課す |
| 取扱状況の報告 | 定期報告の頻度、委託元による監査・立入りの受入れ |
| 漏えい時の通知 | 発覚後直ちに委託元へ通知する義務と、情報提供の協力 |
| 返還・消去 | 契約終了時の返還または復元不可能な方法での消去と証明 |
| 損害賠償・責任範囲 | 委託先の違反による損害の負担、上限の有無 |
条項の書き方は業務委託契約書の作り方、秘密保持はNDAの基礎、外注全体の管理はBPOの進め方、契約の型は契約書の基礎で整理しています。
プライバシーポリシーに書くべきこと
プライバシーポリシーは慣行ではなく、法第32条第1項が求める公表事項をまとめる器です。同項と政令第10条は、次の5項目を本人の知り得る状態に置くことを求めています。
| 項目 | 内容 |
|---|---|
| 事業者の氏名・名称・住所・代表者名 | 法人なら商号、住所、代表者氏名まで |
| すべての保有個人データの利用目的 | 「サービス提供のため」では不十分。用途ごとに具体化 |
| 開示等の請求に応じる手続 | 請求方法、本人確認の方法、手数料を定めたならその額 |
| 安全管理のために講じた措置 | 措置の概要。公表すると安全管理に支障が生じるものは除く |
| 苦情の申出先 | 窓口名、住所、電話番号など |
ガイドラインは、入退室管理の方法やアクセス制御の範囲、不正アクセス防止措置の内容などを、公表すると支障を及ぼすおそれがある例として挙げています。第三者提供や外部委託の有無、Cookieやアクセス解析の利用も実態に合わせて記載します。ひな形の丸写しで、やっていない措置を書くのが最も危険なパターンです。
Webサイト・ECでの実務
- 問い合わせ・申込フォーム：利用目的を明示し、ポリシーへの導線を置く(問い合わせフォームの作り方)
- Cookie・広告・アクセス解析：Cookie等で集めた閲覧履歴は個人関連情報にあたり得ます。提供先で個人データとして取得されることが想定される場合、提供元は本人の同意が得られていること等の確認が必要です(法第31条)
- フォームの送信先：入力内容がどのサーバーに保存され誰が閲覧できるかを把握する
- ネットショップ：特定商取引法の表記と利用規約も整備します。表記のたたき台は特商法表記ジェネレーターで作れます
漏えい等が起きたときの報告と本人通知
一定の事態が生じた場合、個人情報保護委員会への報告と本人への通知が義務になります(法第26条)。報告対象の4類型は施行規則第7条が定めています(漏えい等の対応)。
| 報告対象となる事態 | 具体例 |
|---|---|
| 要配慮個人情報が含まれる個人データの漏えい等(またはそのおそれ) | 健康診断結果を含むファイルの誤送信 |
| 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 | カード番号やネット決済用IDの流出 |
| 不正の目的をもって行われたおそれがある行為による個人データの漏えい等 | 不正アクセス、ランサムウェア感染、従業者の持ち出し |
| 本人の数が1,000人を超える漏えい等(またはそのおそれ) | 設定ミスでネット上に顧客データが閲覧可能だった |
報告の期限は次のとおりです。
| 区分 | 期限 | 内容 |
|---|---|---|
| 速報 | 事態を知った後速やかに(おおむね3〜5日以内) | その時点で把握している範囲で報告 |
| 確報 | 事態を知った日から30日以内。不正の目的による類型の場合は60日以内 | 概要、項目、本人の数、原因、二次被害、本人への対応、公表の状況、再発防止策など9項目すべて |
法人の場合、「知った」時点はいずれかの部署が事態を知った時点が基準です。現場が把握してから経営に上がるまでの時間も期限に含まれ、確報の期限に土日祝日も算入されます。
本人への通知は、事態の状況に応じて速やかに行います。通知事項は「概要」「漏えいした個人データの項目」「原因」「二次被害またはそのおそれの有無と内容」「その他参考となる事項」の5つに限られ、本人の権利利益を保護するために必要な範囲で行います。初期対応が終わらないうちの通知でかえって被害が拡大する場合などは、その時点では通知の必要がないとされています。
例外が2つあります。高度な暗号化その他の秘匿化措置が講じられていれば報告は不要。委託先が委託元に事態を通知した場合、委託先は報告義務と本人通知義務を免除されます。
発覚から48時間でやること
- 事実確認と封じ込め(該当アカウントの停止、公開設定の是正、ネットワーク遮断)
- 影響範囲の把握(対象データの種類、本人の数、原因の仮説)
- 報告対象4類型に当たるかの判定と、速報の起算点(誰がいつ知ったか)の記録
- 速報の提出、本人への通知文案の準備、公表の要否判断
- 委託先・委託元・決済代行など関係先への連絡と、確報での再発防止策の報告
この手順を平時に紙1枚で決めておくことが、組織的安全管理措置の「漏えい等事案に対応する体制の整備」そのものです(BCPの作り方)。
クラウドや生成AIに個人データを入れてよいか
クラウドの利用が「第三者提供」や「委託」にあたるかは、個人情報保護委員会のFAQ(Q7-53)が判断基準を示しています。分かれ目は、保存するデータに個人データが含まれるかではなく、クラウド事業者がその個人データを取り扱うことになっているかです。契約条項で取り扱わない旨が定められ、適切にアクセス制御されていれば、本人同意も委託先監督義務も生じないと整理されています。ただし、自社が保存した個人データに自ら安全管理措置を講じる責任は残ります。
生成AIについては、個人情報保護委員会が2023年6月2日に生成AIサービスの利用に関する注意喚起等を公表しました。事業者への注意点は、(1)個人情報を含むプロンプトを入力する場合は特定された利用目的の達成に必要な範囲内かを十分に確認すること、(2)本人同意なく個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合は法違反となる可能性があるため、機械学習に利用しないこと等を十分に確認すること、の2点です。
無料版の設定のまま顧客情報を貼り付ける運用は避け、学習利用の有無を確認して社内ルールに落とすのが実務解です(社内AI利用ルールの作り方、生成AIの情報漏えいリスク)。
違反したときの流れと罰則
個人情報保護委員会は、報告徴収・立入検査(法第146条)、指導・助言(法第147条)を経て、必要があれば勧告を行います。勧告に係る措置が正当な理由なくとられず、重大な権利利益の侵害が切迫していると認めるときは命令を出せます。緊急時は勧告を経ずに命令でき、命令違反は公表できます(法第148条)。
| 違反 | 罰則 | 法人に対する罰金(両罰規定) |
|---|---|---|
| 命令違反(法第178条) | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下 |
| 個人情報データベース等の不正提供・盗用(法第179条) | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下 |
| 報告をしない、虚偽報告(法第182条) | 50万円以下の罰金 | 同額 |
実務上の打撃は、罰則よりも公表と取引停止です。取引先の情報セキュリティ調査票で「過去3年以内の漏えい事故の有無」を問われる場面は増えています。
2026年7月に公布された改正にも目配りを
2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同月17日に公布されました(個人情報保護委員会の案内)。委員会の説明資料によれば、統計情報等の作成にのみ利用される場合の同意不要化、16歳未満の本人に関する規律、顔特徴データ等の周知義務、漏えい時の本人通知義務の緩和、罰則の引上げ、課徴金制度の導入などが盛り込まれています。施行期日は原則として公布日から2年を超えない範囲内とされ、政令・規則・ガイドラインは今後整備予定です(2026年7月時点)。規制強化の方向であることは前提に置いてください。
中小企業がまず整える4点セット
完璧な体制を一度に作る必要はありません。まず次の4つを実態に合わせて作ります。
- 個人情報の棚卸し表：どの業務で、誰の、どんな情報を、どこに保存し、誰が見られるか。委託先に渡した分も書き出す
- プライバシーポリシー：法第32条の5項目を満たす形で公開する
- 個人情報取扱規程：取得・利用・保存・提供・削除の取扱方法と責任者、漏えい時の連絡ルートを定める
- 従業者教育と誓約書：年1回の研修記録を残し、就業規則に秘密保持条項を入れる(就業規則の作り方)
運用で効くのは定期的な見直しです。サービス変更、外注先の追加、テレワーク導入(テレワーク環境の整え方)、法改正のたびに棚卸し表と規程を更新します。ガイドラインは中小規模事業者の手法の例として「責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う」ことを挙げています。年1回、日付を決めて点検する運用はその土台になります(求められているのは点検までではなく、結果を評価・見直し・改善につなげるところまでです)。
まとめ
個人情報保護法は、規模に関わらずすべての事業者が対象です。義務の中心は安全管理措置(組織的・人的・物理的・技術的+外的環境の把握)と委託先の監督で、外注比率が高い会社ほど後者が弱点になります。漏えい時には速報おおむね3〜5日以内・確報30日以内(不正の目的による場合は60日以内)の期限があり、手順は平時に決めておく必要があります。まずは棚卸し表・ポリシー・取扱規程・従業者教育の4点から着手を。迷う論点は必ず弁護士等の専門家に確認してください。
「外注先に個人データを渡すときの契約条項を見直したい」「Webサイトのポリシー・規約・表記をまとめて整えたい」といったご相談は、発注側の実務に即して一緒に整理できます(専門的判断は専門家と連携)。お気軽にご相談ください。
関連記事
よくある質問
小さな会社や個人事業も個人情報保護法の対象になる?
対象になります。かつては取り扱う個人情報が5,000件以下の事業者は適用除外でしたが、2017年5月30日に全面施行された改正でこの要件は撤廃され、現在は1件でも個人情報を事業に使うすべての事業者が個人情報取扱事業者にあたります。顧客リストや問い合わせ履歴を持つ以上、規模に関わらず対応が必要です。
個人データが漏えいしたら、いつまでに報告すればいい?
個人情報保護委員会のガイドライン(通則編)では、報告対象となる事態を知った後、速報は「速やかに」(おおむね3〜5日以内)、確報は知った日から30日以内(不正の目的をもって行われたおそれがある行為による場合は60日以内)とされています。あわせて本人への通知も、事態の状況に応じて速やかに行う必要があります(2026年7月時点)。
外注先に顧客リストを渡すとき、本人の同意は必要?
業務委託にともなう提供は、本人同意なしに行えます。法第27条第5項第1号は、利用目的の達成に必要な範囲内で取扱いを委託する場合、その提供を受ける者は『第三者に該当しないものとする』と定めており、そもそも第三者提供にあたらないという整理です(『例外的に許される』のではない点に注意)。ただし委託元には委託先の監督義務(法第25条)があり、委託先の選定・契約への安全管理措置の明記・取扱状況の把握、再委託の事前報告や承認まで含めて管理する必要があります。
生成AIに顧客情報を入力してもいい?
個人情報保護委員会は2023年6月2日の注意喚起で、個人情報を含むプロンプトの入力は特定した利用目的の達成に必要な範囲内かを十分に確認すること、本人同意なく個人データを含むプロンプトを入力する場合は、そのサービス提供事業者が当該データを機械学習に利用しないこと等を十分に確認することを求めています。社内ルールで入力可否を決めるのが現実的です。
