個人情報保護法 – 業務改善推進プロジェクト

この用語の意味

個人情報保護法は、個人情報を適正に扱い、個人の権利・利益を守るための日本の法律です。中小企業を含め、顧客名簿、問い合わせ、採用応募、従業員情報、予約情報などを事業で扱う場合は、原則として対象になります。

特に重要なのは、何のために集めるかを明確にし、その目的以外に使わず、他社へ渡すときの条件を確認し、漏えいを防ぐことです。個人情報は氏名だけではなく、氏名と結び付く電話番号・メールアドレス・住所・顔写真・購入履歴・会員ID・位置情報なども対象になり得ます。

情報確認メモ：e-Gov掲載の現行法令と個人情報保護委員会の公式ガイドライン・案内を2026年8月10日に確認し、実務向けに整理しています。個別の判断は、業種・データの内容・契約により異なるため、専門家または公式窓口へ確認してください。

法律の全体像（やさしい表現）

法律上の考え方	やさしい表現	会社がすること
利用目的の特定・通知等	なぜ情報を集めるのかを、本人に分かるように伝える	申込書・フォーム・プライバシーポリシーに利用目的を書く
利用目的による制限	伝えた目的の範囲を超えて使わない	「問い合わせ対応」で得たメールアドレスを、無断で広告配信に使わない
適正な取得	ごまかし・だまし・不正な方法で集めない	名簿を出所不明の業者から買わない
安全管理措置	漏えい・紛失・のぞき見・不正アクセスを防ぐ	パスワード、権限管理、施錠、更新、教育を行う
第三者提供の制限	他社へ渡すときは、原則として本人の同意を取る	顧客リストを提携先・協力会社へ勝手に渡さない
開示・訂正・利用停止	本人が自分の情報を確認・修正・停止できるようにする	問い合わせ窓口と社内対応手順を用意する
漏えい時の対応	重大な漏えいは、行政への報告と本人連絡が必要になる	発見時の連絡先・初動・記録の手順を決めておく

何ができるか

法令に沿った情報の扱い方を整えることで、顧客・従業員・取引先から預かった情報を安全に扱い、業務上の信頼を保つ助けになります。問い合わせ・予約・採用フォームでは、送信前に利用目的やプライバシーポリシーへ進める導線を置くことが実務的です。

利用目的は「事業活動のため」のように曖昧にせず、例えば「お問い合わせへの回答、見積書の作成・送付、契約・業務連絡、商品・サービスに関する案内、採用選考のために利用します」のように具体的に示します。

実際に使うために必要なもの

最初に「どの情報を、どこで、誰が扱うか」を表にします。顧客・見込み客・従業員・採用応募者・取引先の情報、保管場所（紙、PC、NAS、クラウド、WordPress、Googleフォーム等）、利用目的、見られる担当者、外部サービス・委託先、保存期間と削除方法を記録します。情報を把握していないことが、事故につながる要因の一つになります。

PC・クラウド・メールは原則として一人ひとり別アカウントにし、共有ID・共有パスワードをやめます。退職・異動時は当日中のアカウント停止・権限変更、顧客データの閲覧権限の最小化、OS・WordPress・プラグイン・ウイルス対策ソフトの更新、紙台帳・履歴書の施錠保管、USB・ノートPCの持出しルール、メール送信前の宛先・添付確認を運用します。

中小規模事業者に大企業と同じ高額設備が一律に求められるわけではありませんが、扱う情報量・内容・利用方法に見合った安全管理措置は必要です。料金面では、アカウント管理、端末・保管、バックアップ、教育、委託先の確認、事故対応の費用も考慮します。

委託と第三者提供の違い

顧客名簿を提携会社へ渡す、従業員の連絡先を取引先へ伝える、購入者情報を別会社の営業に使わせる、広告配信事業者へメールアドレス等を渡して広告対象にする行為は、原則として事前同意が必要になる場面があります。一方、配送会社・会計事務所・クラウドサービス会社などへ、業務を任せるために必要な範囲で渡す「委託」は、通常は第三者提供とは別に扱われます。ただし委託先の安全性を確認し、契約等で適切な取扱いを求め、任せたままにしないことが必要です。

小さく試す運用例

まず、問い合わせフォームを一つ選び、入力項目・利用目的・送信先・保存場所・閲覧者・削除時期を表にします。送信前に利用目的とプライバシーポリシーへのリンクを置き、担当者を必要最小限に絞り、テスト送信後にメール通知・WordPress・外部サービスの保存先を確認します。

年1回以上、短時間でも個人情報の取扱いを従業員へ共有します。就業規則や誓約書に秘密保持を入れ、「顧客情報を私用スマホ・私用メール・私用クラウドに保存しない」「漏えいの疑いがあれば、隠さず即時に責任者へ連絡する」と明確にします。

人が確認すること・注意点

要配慮個人情報は特に慎重に扱う

病歴、健康診断結果、障害に関する情報、人種・信条・社会的身分、犯罪歴、犯罪被害の情報などは「要配慮個人情報」です。漏れると本人が差別や不利益を受けやすいため、取得・第三者提供には本人同意が必要となる場合があり、通常の顧客情報以上に保管場所と閲覧者を絞る必要があります。

漏えい時は、隠さず初動を優先する

要配慮個人情報、クレジットカード番号・口座情報など財産的被害につながるおそれがある情報、不正アクセス・ランサムウェア・従業員の不正持出し、1,000人を超える個人データの漏えい等は、個人の権利利益を害するおそれがある事態として、報告・本人通知の対象となる可能性があります。まず対象システムやアカウントの利用を止め、事実を保全し、社内責任者・委託先・専門業者へ連絡します。

民間事業者の報告は、発覚後速やかに行う必要があり、個人情報保護委員会は概ね3〜5日以内の速報を案内しています。確報は、事態を知った日から原則30日以内、不正の目的で行われたおそれがある場合は60日以内です。本人への通知も、事態の状況に応じて速やかに行う必要があります。報告先は業種により所管省庁となる場合があるため、最新の公式案内を確認します。

罰則の中心

対象となる行為	行為者	法人等
個人情報保護委員会の命令に違反する	1年以下の拘禁刑または100万円以下の罰金	1億円以下の罰金刑となる可能性
個人情報データベース等を不正な利益を図る目的で提供・盗用する	1年以下の拘禁刑または50万円以下の罰金	1億円以下の罰金刑となる可能性

罰則だけでなく、委員会による報告徴収・立入検査、勧告・命令、公表などの対象となる可能性があります。実際の適用は事案により異なるため、法律・公式Q&Aで確認してください。

最低限の社内チェックリスト

個人情報の一覧と保管場所を作った
利用目的をフォーム・規程・プライバシーポリシーに明記した
個人情報の閲覧者を必要な担当者に限定した
共有IDを廃止し、退職者の権限削除手順を決めた
PC・Webサイト・WordPress・クラウドを更新している
紙資料、USB、ノートPCを施錠・持出管理している
委託先・クラウドサービスの取扱いを確認した
開示・訂正・削除等の問い合わせ窓口を示した
漏えい時の「誰に、何分以内に連絡するか」を決めた
従業員へ取扱いルールを周知した