中小企業のための個人情報保護法の義務まとめ

個人情報保護法の改正案について、本人同意の有無を中心に据えた議論ではなく、データ取扱いの規律全体の設計を論点とすべきだとする論考が示されました（個人情報保護法改正案の真の論点：同意の有無ではなく規律の全体設計を議論せよ）。改正論議は今後、事業者が個人情報をどう扱うかというルール全体の見直しに進む見通しで、中小企業や個人事業主が抱える「顧客名簿」「従業員情報」「取引先データ」の取扱いに直結します。

そこで本記事では、改正論議の土台となる現行の個人情報保護法に立ち返り、中小企業・個人事業主が押さえておくべき3つの義務（利用目的の特定・通知公表、第三者提供の同意取得、安全管理措置）を、条文と個人情報保護委員会のガイドラインに基づいて整理しました。改正の動きを正しく理解するには、まず現行ルールの骨格を把握することが近道です。

そもそも中小企業・個人事業主も対象なのか

個人情報保護法は、個人情報を取り扱うすべての事業者（個人情報取扱事業者）に適用されます。事業規模による適用除外はなく、中小企業や個人事業主であっても、個人情報データベース等を事業に用いている限り対象です。個人情報保護委員会のガイドライン（通則編）や中小規模事業者向けリーフレットでも、この点は明確に示されています。

義務1：利用目的の特定・通知公表

利用目的はできる限り具体的に特定する

個人情報保護法第17条は、個人情報を取り扱う際に利用目的をできる限り具体的に特定することを求めています。特定した利用目的を後から変更する場合も、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えてはなりません。

取得時の通知・公表、書面取得時の明示

同法第21条では、個人情報を取得した場合、あらかじめ利用目的を公表していない限り、速やかに本人に通知または公表する義務が定められています。さらに、契約書その他の書面（電磁的記録を含む）で個人情報を取得する場合や、本人から直接書面で取得する場合は、あらかじめ本人に利用目的を明示する必要があります。利用目的を変更した場合も、変更後の目的を本人に通知または公表しなければなりません。

保有個人データの利用目的は本人が知り得る状態に

同法第32条は、保有個人データについて、利用目的などを本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置くことを求めています。ウェブサイトへの掲載や事業所での掲示など、本人が容易に確認できる方法で対応するのが実務上の基本です。

通知・公表が不要となる例外

第21条・第32条には、次のような例外が定められています。

• 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
• 事業者の権利または正当な利益を害するおそれがある場合
• 国の機関等の事務遂行への協力に支障を及ぼすおそれがある場合
• 取得の状況からみて利用目的が明らかであると認められる場合

義務2：第三者提供の同意取得

原則は事前の本人同意

同法第27条は、原則として、あらかじめ本人の同意を得なければ個人データを第三者に提供してはならないと定めています。これは、本人の意思に基づかない個人データの流通を制限する重要なルールです。

同意が不要となるケース

第27条では、次の場合に同意なく第三者提供が認められます。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要で、本人の同意を得ることが困難な場合
• 公衆衛生の向上または児童の健全な育成の推進のために特に必要で、本人の同意を得ることが困難な場合
• 国の機関等の事務遂行に協力する必要があり、本人の同意を得ることで事務遂行に支障が生じる場合
• 学術研究機関等が学術研究目的で提供する場合（一定の要件を満たす場合）

オプトアウトによる第三者提供

第27条は、所定事項を本人に通知または容易に知り得る状態に置き、個人情報保護委員会に届け出ることで、本人同意なく第三者提供できる「オプトアウト」も認めています。ただし、要配慮個人情報や不正に取得された個人データはオプトアウトの対象外です。通知・届出事項には、事業者の氏名・住所、提供される個人データの項目、取得方法、提供方法、本人の求めに応じた提供停止、求めの受付方法などが含まれます。

「第三者」に該当しないケース

同条では、以下の場合は提供先が「第三者」に該当しないとされ、本人同意は原則不要です。

• 委託：利用目的の達成に必要な範囲で個人データの取扱いを委託する場合
• 事業承継：合併その他の事由による事業承継に伴って個人データが提供される場合
• 共同利用：共同利用する個人データの項目・範囲・利用目的・管理責任者などをあらかじめ本人に通知または容易に知り得る状態に置いた場合

外国にある第三者への提供

外国にある第三者へ個人データを提供する場合は、原則として本人の同意が必要です。個人情報の保護に関する法律施行規則第17条では、同意を得る際に提供すべき情報として、当該外国の名称や、適切かつ合理的な方法により得られた当該外国の個人情報保護制度に関する情報などを示しています。海外クラウドの利用や海外取引先への情報共有がある場合は、特に確認が必要な論点です。

義務3：安全管理措置

条文上の義務

同法第23条は、個人データの漏えい、滅失または毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければならないと定めています。

ガイドラインが示す4つの類型

ガイドライン（通則編）では、安全管理措置として次の4類型が示されています。

• 組織的安全管理措置：組織体制の整備、取扱規程等の策定、漏えい等事案への対応体制、取扱状況の把握と見直しなど
• 人的安全管理措置：従業員への教育、秘密保持に関する契約締結など
• 物理的安全管理措置：取扱区域の管理、機器・電子媒体の盗難防止、持ち運び時の漏えい防止、廃棄手順など
• 技術的安全管理措置：アクセス制御、識別と認証、不正アクセス防止、情報システム経由の漏えい防止など

規模に応じた「必要かつ適切」

「必要かつ適切な措置」は、事業の規模や特性、取り扱う個人データの種類・量、リスクの程度に応じて判断されます。中小規模事業者向けリーフレットでは、大企業と同等の厳格な体制を求めるのではなく、事業実態に応じた柔軟な対応が許容される旨が示されています。たとえば個人事業主の場合、「責任者の正式な設置」までは不要でも、個人情報を取り扱う担当者の明確化や、取扱状況の定期的な確認といった対応は必要となります。

漏えい等が発生したときの対応

万が一、漏えい・滅失・毀損が発生した場合、個人情報保護委員会への報告や本人への通知が必要となる場合があります。個人情報の保護に関する法律施行規則第10条は、本人への通知について、事態を知った後、状況に応じて速やかに、本人の権利利益保護に必要な範囲で所定事項を通知しなければならないと定めています。

よくある質問

顧客名簿が数十件程度しかない個人事業主でも、個人情報保護法は適用されますか？

適用されます。個人情報保護法には事業規模による適用除外がなく、個人情報データベース等を事業の用に供している事業者であれば、件数の多寡にかかわらず個人情報取扱事業者として義務を負います。詳細はガイドライン（通則編）や中小規模事業者向けリーフレットで確認できます。

業務委託先に顧客データを渡すときは、本人同意が必要ですか？

同法第27条では、利用目的の達成に必要な範囲内で個人データの取扱いを「委託」する場合、提供先は「第三者」に該当しないとされており、本人同意は原則不要です。ただし、これは委託元として委託先を適切に監督することが前提となります。

中小企業でも、安全管理措置として何から始めればよいですか？

同法第23条とガイドライン（通則編）では、組織的・人的・物理的・技術的の4類型に整理されています。中小規模事業者は、事業の規模や扱う情報量に応じて「必要かつ適切」なレベルで講じればよいとされており、たとえば取扱担当者の明確化、従業員への基本的な教育、機器や書類の施錠管理、アクセス権限の整理など、実態に合わせて段階的に整備していく形が現実的です。

※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。