「うちは中小企業だから個人情報保護法は関係ない」と考えている経営者は、今も少なくありません。しかし、顧客リストや従業員名簿を事業に使っていれば、会社の規模を問わず「個人情報取扱事業者」として法律上の義務を負います。この記事では、企業が押さえるべき個人情報保護法の実務を、利用目的の特定・通知、第三者提供と委託の違い、安全管理措置、開示請求への対応、2026年改正の動向の順に整理します。
中小企業も「個人情報取扱事業者」 ― 最初に押さえる4つの言葉
個人情報保護法は、個人情報データベース等を事業の用に供している者を「個人情報取扱事業者」と定め、従業員数や取扱件数による適用除外を設けていません。顧客台帳や名刺管理ソフト、従業員名簿を使っていれば、個人事業主を含めて法律の適用を受けます。
実務では、法律が使い分ける4つの言葉の区別が出発点です。
- 個人情報：生存する個人に関する情報で、氏名・生年月日などにより特定の個人を識別できるもの。
- 個人データ：検索できるよう体系的に構成した「個人情報データベース等」を構成する個人情報。顧客管理システムやExcelの名簿に入った情報が典型で、安全管理措置や第三者提供の制限は主にこれに課されます。
- 保有個人データ：個人データのうち、会社が開示・訂正・利用停止などに応じる権限を持つもの。開示請求の対象になります。
- 要配慮個人情報：人種・信条・病歴・犯罪の経歴など特に配慮を要する情報。取得には原則として本人の同意が必要です。健康診断の結果や休職理由は、人事担当者が日常的に扱う要配慮個人情報です。
名簿として管理している「個人データ」から義務が重くなります。自社のどの情報が個人データに当たるかの棚卸しが、すべての対応の出発点です。
取得と利用のルール ― 利用目的の特定・通知・公表
個人情報を取り扱う際には、利用目的をできる限り特定しなければなりません（個人情報保護法17条1項）。「事業活動のため」といった抽象的な記載では特定したことになりません。「商品の発送および代金の請求」「自社サービスに関する案内の送付」のように、本人が自分の情報の使われ方を合理的に予測できる程度に書く必要があります。
特定した利用目的は、取得時に本人に通知するか、あらかじめ公表しておきます（21条1項）。ウェブサイトのプライバシーポリシーへの掲載が一般的ですが、申込書や契約書などの書面で本人から直接取得する場合は、その書面上であらかじめ明示しなければなりません（21条2項）。利用目的の達成に必要な範囲を超えて取り扱うには、原則として本人の同意が必要です（18条1項）。
実務でよくあるNG例
- 資料請求で得た連絡先を、利用目的に書いていない別事業のセールスに使う。
- 名刺交換で得た情報を、本人に何も示さずメールマガジンの配信リストに登録する。
- 第三者提供をするのに、プライバシーポリシーにその旨を書いていない。
利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲に限られます（17条2項）。新サービスで既存顧客の情報を使う前に、この関連性を確認してください。
第三者提供と委託は何が違うのか ― 同意の要否と記録義務
経営者からの相談で最も混同が多いのが、「第三者提供」と「委託」の区別です。個人データを第三者に提供するには、法令に基づく場合などを除き、あらかじめ本人の同意が必要です（27条1項）。一方、利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴う提供は、第三者提供に当たりません（27条5項1号）。同じ「社外にデータを渡す」行為でも、必要な手続が異なります。
| 項目 | 第三者提供（27条1項） | 委託（27条5項1号） |
|---|---|---|
| 典型例 | 提携先に顧客リストを渡し、提携先が自社の営業に使う | 発送業者に宛名データを渡す |
| 渡した先のデータ利用 | 受け取った側が自らの目的で利用 | 委託元の指示の範囲内のみ |
| 本人の同意 | 原則として事前の同意が必要 | 不要（利用目的の範囲内であること） |
| 会社に残る義務 | 提供の記録を作成・保存（29条） | 委託先に対する必要かつ適切な監督（25条） |
| 受け取る側の義務 | 提供元の確認・記録の作成（30条） | 委託契約に基づく安全管理 |
委託が第三者提供に当たらないのは、委託元の管理が及んでいることが前提です。委託先を選ぶ際の確認、秘密保持や再委託の制限を定めた契約の締結、取扱状況の把握という3点が「監督」の中身であり、契約書を交わしただけで放置すれば、委託先の事故でも委託元の責任が問われます。
第三者提供の記録は、ガイドラインにより原則3年間（契約書等で代替する場合は最後の提供から1年間）の保存が求められます。本人の同意を得て提供する場合でも記録義務は免除されません。
安全管理措置 ― 中小規模事業者に求められる水準
個人データの漏えい・滅失・毀損を防ぐため、事業者は必要かつ適切な安全管理措置を講じ（23条）、従業者（24条）と委託先（25条）を監督しなければなりません。個人情報保護委員会のガイドライン（通則編）は、従業員100人以下の事業者を「中小規模事業者」として、より簡易な手法の例を示しています。ただし、取り扱う本人の数が過去6か月のいずれかの日に5,000人を超える事業者と、委託を受けて個人データを取り扱う事業者は除かれます。
| 措置の区分 | 中小規模事業者向けの手法例（ガイドライン通則編） |
|---|---|
| 基本方針・取扱規程 | 個人データの取得・利用・保存・廃棄などの基本的な取扱方法を整備する |
| 組織的安全管理措置 | 取扱者が複数いる場合は責任者とそれ以外を区分し、責任者が取扱状況を確認する。漏えい時の報告連絡体制を決めておく |
| 人的安全管理措置 | 従業者への定期的な研修、秘密保持に関する事項の就業規則への記載 |
| 物理的安全管理措置 | 権限のない者が閲覧できない配置、持ち運び時のパスワード設定や封入、削除・廃棄の責任者による確認 |
| 技術的安全管理措置 | 個人データを扱う機器と従業者の明確化、OS・セキュリティソフトの最新化、ファイルのパスワード保護 |
| 外的環境の把握 | データを保管する外国の制度を把握した上で措置を講じる（海外サーバーのクラウドを使う場合など） |
企業に求められるのは高価なシステムではなく、「誰が、どのデータを、どこで扱うか」を決めて文書にし、責任者が確認する仕組みです。私物スマートフォンでの顧客データ閲覧や退職者アカウントの放置は、措置を講じていないと評価されます。
本人からの開示・訂正・利用停止請求への対応
本人は、会社が保有する自分の個人データについて、開示（33条）、訂正・追加・削除（34条）、利用停止・消去・第三者提供の停止（35条）を請求できます。会社は、事業者の名称・住所、利用目的、請求手続などを本人が知り得る状態に置く義務もあります（32条）。
開示請求を受けたら、遅滞なく開示しなければなりません。ただし、本人または第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反する場合には、全部または一部を開示しないことができます（33条2項）。開示は本人が指定する方法（電磁的記録の提供を含む）で行うのが原則で、手数料は実費を勘案した合理的な範囲で定めることができます。
対応の流れ
- 受付窓口と本人確認の方法をあらかじめ定め、プライバシーポリシーに記載する。
- 請求者が本人（または正当な代理人）であることを確認し、保有個人データの該当範囲を特定する。
- 開示しない部分があるときは、その旨と理由を本人に通知し、判断の根拠を記録に残す。
退職した従業員から評価資料や面談記録の開示を求められるケースは中小企業でも増えています。感情的な対立があっても、保有個人データに当たる限り開示義務は免れず、不開示とできる部分の線引きは早い段階で専門家に確認することをお勧めします。
違反・漏えいが起きたときに何が待っているか
個人情報保護委員会は、事業者に報告や資料の提出を求め、立入検査を行うことができます（146条）。違反があれば是正を勧告し、勧告に従わず個人の重大な権利利益の侵害が切迫している場合には命令を出すことができ、命令違反は公表の対象になります（148条）。命令に違反した者には1年以下の拘禁刑または100万円以下の罰金（178条）、個人情報データベース等を不正な利益を図る目的で提供・盗用した者には1年以下の拘禁刑または50万円以下の罰金（179条）が定められ、これらについては法人に1億円以下の罰金を科す両罰規定があります（184条）。
漏えいが起きた場合の対応も法律上の義務です。要配慮個人情報の漏えい、財産的被害が生じるおそれがある漏えい、不正アクセスなど不正の目的によるおそれがある漏えい、本人の数が1,000人を超える漏えいのいずれか（またはそのおそれ）に当たるときは、個人情報保護委員会への報告と本人への通知が必要です（26条、施行規則7条）。報告は、事態を知ってからおおむね3〜5日以内の速報と、30日以内（不正の目的によるおそれがある場合は60日以内）の確報の2段階です。初動は不正アクセスによる個人データ漏えいと企業の法的責任で解説しています。
行政上の制裁に加え、本人からの損害賠償請求、取引先からの契約違反の追及、信用の毀損という経営上の損失が重なります。2026年改正で課徴金制度の導入が決まったことで、「罰金が小さいから大丈夫」という見方はすでに成り立たなくなっています。
2026年改正の動向 ― 施行までに準備すること
2026年（令和8年）7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同月17日に公布されました。統計作成やAI開発などの目的に限った要配慮個人情報の取扱いの特例という規制緩和がある一方、課徴金制度の新設と刑事罰の強化によって、違反に対する制裁は格段に重くなります。施行は公布の日から2年を超えない範囲内で政令で定める日とされ、個人情報保護委員会が政令・規則・ガイドラインの整備を進めています。
中小企業にとって重要なのは「違反した場合の代償が大きくなる」点です。施行を待たずに、次の5点を順に進めることをお勧めします。
- 保有する個人データの棚卸し（取得経路・利用目的・保管場所・提供先の一覧化）。
- プライバシーポリシーの利用目的と実際の利用との一致の点検。
- 委託先一覧の作成と、委託契約の秘密保持・再委託制限・事故時報告の確認。
- 安全管理措置の文書化と従業者への研修。
- 漏えい時の報告連絡体制（誰が、いつまでに、どこへ）の整備。
改正の全体像は令和8年（2026年）改正個人情報保護法の実務対応に、プライバシーポリシーの作り方は利用規約とプライバシーポリシーの作り方にまとめています。
よくある質問（FAQ）
従業員10人の会社でも個人情報保護法の対象になりますか。
名刺交換で受け取った名刺の情報は、自由に使ってよいのですか。
クラウドの顧客管理サービスを使うのは第三者提供になりますか。
個人情報をいつまで保管してよいのですか。
元従業員から人事評価の開示を求められました。応じる必要がありますか。
2026年改正はいつから施行されますか。中小企業も課徴金の対象ですか。
まとめ
- 顧客台帳や従業員名簿を使っていれば、会社の規模を問わず個人情報取扱事業者として法律の義務を負う。
- 利用目的は具体的に特定し、通知・公表する。目的外利用には本人の同意が必要（17条・18条・21条）。
- 第三者提供は原則同意と記録が必要、委託は同意不要だが委託先の監督が必要（27条・25条・29条）。
- 安全管理措置は従業員100人以下の中小規模事業者向けに簡易な手法例があり、文書化と責任者の確認が核になる（23条・24条）。
- 開示請求には遅滞なく対応し、漏えい時は速報3〜5日・確報30日の報告義務がある。2026年改正の施行までに棚卸しから始める。
個人情報保護法の対応は、プライバシーポリシーを一度作れば終わるものではなく、新しい取引先や新サービスが増えるたびに判断が必要になります。当事務所は、企業法務を専門とする弁護士チームが、チャットやオンラインで全国の企業をご支援しています。日常の判断を気軽に相談できる体制をお考えなら顧問弁護士サービスを、まず自社の現状を点検したい方はお問い合わせ（無料相談）からご連絡ください。
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。法令・制度の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令をご確認のうえ、弁護士にご相談ください。