個人情報保護法。取扱件数にかかわらず、すべての事業者が対象です
「うちは小さいから個人情報保護法は関係ない」というのは誤りです。2017年5月30日の改正で、取扱件数が5,000件以下の事業者を適用対象から除外する規定がなくなりました。個人情報を1件でも取り扱う事業者は、すべて個人情報取扱事業者です。
従業員の履歴書、顧客の連絡先、取引先の担当者名刺。これらはすべて個人情報です。やるべきことは①利用目的の特定と通知・公表 ②安全管理措置 ③第三者提供の制限 ④従業者の監督 ⑤開示等の請求への対応。難しいことをする必要はありませんが、何もしていない状態は違法です。
対象になる情報
| 区分 | 内容 |
|---|---|
| 個人情報 | 生存する個人に関する情報で特定の個人を識別できるもの |
| 個人識別符号 | マイナンバー、運転免許証番号、指紋データなど |
| 要配慮個人情報 | 人種、信条、病歴、犯罪歴など。取得に本人の同意が必要 |
| 個人データ | 個人情報データベース等を構成する個人情報 |
| 保有個人データ | 開示・訂正・利用停止等の権限を有する個人データ |
- 名刺も個人情報…氏名・会社名・連絡先が記載されているため該当します。名刺を整理してリスト化すれば個人データになります
- 従業員の情報も対象…履歴書、給与情報、健康診断結果はすべて個人情報です。健康診断結果や病歴は要配慮個人情報にあたります
- 防犯カメラの映像も該当しうる…特定の個人を識別できる場合は個人情報です
- 法人の情報は対象外…会社名や法人の代表電話番号は個人情報ではありません。ただし代表者個人の情報が含まれれば対象です
- 死者の情報は原則対象外…「生存する個人」が要件です。ただし遺族の情報が含まれる場合は対象になります
最低限やること
- 利用目的を特定する…「できる限り特定」する必要があります。「事業活動のため」では不十分で、「賃貸物件のご案内および契約手続きのため」といった具体性が求められます
- 利用目的を通知または公表する…取得時に本人に通知するか、あらかじめ公表します。ウェブサイトにプライバシーポリシーを掲載するのが一般的な方法です
- 安全管理措置を講じる…組織的・人的・物理的・技術的の4つの側面から対策します
- 従業者を監督する…従業員に対する教育、秘密保持の取り決めを行います
- 問合せ窓口を設ける…開示、訂正、利用停止等の請求に対応する窓口を明らかにします
- プライバシーポリシーが実質的な出発点…利用目的、第三者提供、開示請求の窓口をまとめて公表できます。個人情報保護委員会がひな形を公表しています
- 取得時に目的外利用をしない…特定した目的の範囲を超えて使う場合、本人の同意が必要です
- 要配慮個人情報は取得時に同意が必要…健康診断結果を扱う場合、あらかじめ本人の同意を得ます
- 開示請求には手数料を設定できる…実費を勘案した合理的な範囲であれば、手数料を徴収できます
安全管理措置
| 区分 | 具体例 |
|---|---|
| 組織的 | 責任者の設置、取扱規程の整備、漏えい時の報告体制 |
| 人的 | 従業者への教育、秘密保持義務の取り決め |
| 物理的 | 施錠できるキャビネット、持ち出し時の措置、廃棄方法 |
| 技術的 | アクセス制御、パスワード管理、ウイルス対策 |
- 中小規模事業者には緩和された手法がある…従業員100人以下の事業者（一定の除外あり）については、ガイドラインで簡便な手法が示されています。大企業と同じ体制は求められません
- 紙の管理が盲点…契約書、申込書、履歴書は施錠できる場所に保管します。机の上に置きっぱなしにしないという基本が物理的安全管理措置です
- 廃棄方法を決める…シュレッダー、溶解処理など、復元できない方法で廃棄します
- クラウドサービスの利用…クラウド事業者が個人データを取り扱わない場合、第三者提供にはあたらないとされていますが、安全管理措置の一環として適切なサービスを選ぶ必要があります
- 私物端末の業務利用…従業員のスマートフォンで顧客情報を扱う場合、紛失時の対応を決めておきます
第三者提供のルール
- 原則として本人の同意が必要…個人データを第三者に提供する場合、あらかじめ本人の同意を得ます
- 委託は第三者提供にあたらない…利用目的の達成に必要な範囲内で委託する場合は同意不要です。ただし委託先を監督する義務があります
- 共同利用も同意不要…共同利用する旨、項目、範囲、目的、責任者をあらかじめ本人に通知または公表していれば提供できます
- 記録の作成義務がある…第三者に提供したとき、提供を受けたときは、原則として記録を作成し保存します
- 当社の実務…賃貸の仲介では、入居申込者の情報を貸主・管理会社・保証会社に提供します。申込書に提供先を明記して同意をもらうのが標準的な運用です。同意なく提供すれば違反になります
個人情報保護法は「大企業のための法律」ではありません。従業員1人でも雇っていれば、その人の個人情報を扱っています。プライバシーポリシーの公表と、書類の施錠保管。この2つから始めれば、最低限の形は整います。
よくある質問
Q取扱件数が少なければ対象外ですか
対象外にはなりません。2017年5月30日の改正で5,000件以下の事業者を除外する規定がなくなり、1件でも取り扱えば個人情報取扱事業者になります。
Q従業員の情報も個人情報ですか
個人情報です。履歴書、給与情報、健康診断結果などが該当し、健康診断結果や病歴は取得に本人の同意が必要な要配慮個人情報にあたります。
Qプライバシーポリシーは必要ですか
法律上「プライバシーポリシー」という書面が義務づけられているわけではありませんが、利用目的の公表や開示請求の窓口の明示をまとめて行う方法として実務上必要です。
Q外注先に個人データを渡すのは第三者提供ですか
利用目的の達成に必要な範囲内での委託であれば第三者提供にあたらず、本人の同意は不要です。ただし委託先を監督する義務があります。
まとめ
① 取扱件数にかかわらずすべての事業者が対象。5,000件以下の除外規定は2017年に廃止。
② やることは①利用目的の特定と公表 ②安全管理措置 ③第三者提供の制限 ④従業者の監督 ⑤開示請求への対応。
③ 安全管理措置は組織的・人的・物理的・技術的の4区分。中小規模事業者には簡便な手法がある。
④ 委託と共同利用は第三者提供にあたらない（委託先の監督義務あり）。
⑤ 健康診断結果や病歴は要配慮個人情報で、取得に本人の同意が必要。
この記事は2026年7月31日時点の法令・公開情報および当サイトで実測した料金に基づいています。制度・料金は変わることがあります。許認可・登記・税務の個別判断は、所管庁・専門家にご確認ください。本記事は論点の整理であり、法的助言ではありません。