個人情報保護法で中小企業が守ることは、個人情報を取るときに利用目的を示す、安全に保管する、本人の同意なく他社へ渡さない、漏えいが起きたら報告する、の4場面に分けられます。顧客名簿や従業員名簿を事業で使っていれば、規模にかかわらず対象です。
今日やることは、個人情報の置き場所を一覧にすることです。顧客リスト、名刺の管理、問い合わせフォームの受信先、従業員の健康診断の結果、応募者の履歴書。どこに何があり、誰が見られるかを1枚に書きます。4つの場面の義務は、この一覧を見ながらでないと確かめられません。
条文の解説はしません。総務が実際に動く場面ごとに整理します。個別の判断は、弁護士か、個人情報保護委員会の相談窓口に確かめてください。
自社は対象になる？
個人情報保護法の第16条は、個人情報データベース等を事業に使っている者を「個人情報取扱事業者」としており、会社の大きさでは区切っていません。
手加減があるのは、義務の有無ではなく手法の例です。ガイドライン（通則編）の別添は、従業員100人以下の事業者を「中小規模事業者」とし、取り組みやすい手法の例を示しています。ただし、扱う個人の数が過去6か月以内のいずれかの日に5,000を超える事業者と、委託を受けて個人データを扱う事業者は除かれます。
BtoBの製造業でも、取引先の担当者の名刺をリストにしていれば、従業員の情報とあわせて対象です。
場面1：個人情報を取得するとき
守ることは、利用目的を決めて、相手に分かるようにすることです。
- 利用目的をできる限り特定する（第17条）
- 不正な手段で取得しない（第20条第1項）
- 要配慮個人情報は、原則として本人の同意を得て取得する（第20条第2項）
- 取得したら利用目的を通知または公表する。契約書やフォームなどで本人から直接書面で受け取るときは、あらかじめ明示する（第21条）
- 決めた目的の範囲を超えて使うときは、原則として本人の同意を得る（第18条）
総務が確かめるのは、サイトのプライバシーポリシーと、実際の使い道が合っているかです。問い合わせのためにもらったアドレスへ、販促メールを送っていないか。採用応募者の情報を、別の用途に流用していないか。実際の使い方を一覧の横に書くと、ずれが見つかります。
要配慮個人情報の代表が、従業員の健康診断の結果です。個人情報保護委員会の漏えい等の対応の案内にも、要配慮個人情報の例として挙げられています。
場面2：社内で保管するとき
第23条の安全管理措置、第24条の従業者の監督、第25条の委託先の監督がここに入ります。
ガイドラインの別添が求める措置を、中小規模事業者向けの手法の例も含めて整理すると、次のようになります。
| 措置 |
総務がやること |
| 取扱いのルール |
取得、利用、保存などの基本的な扱い方を決める |
| 組織の体制 |
責任ある立場の人を決め、漏えい時の連絡先を決める |
| 人への対応 |
従業者への定期的な研修、就業規則への秘密保持の記載 |
| 物の管理 |
持ち運ぶときの保護、廃棄の確認 |
| システムの管理 |
見られる人の限定、ログイン、不正アクセス対策 |
教育は、一度やって終わりにしないことが大切です。手段を考えるならセキュリティ教育サービスの比較があります。USBや持ち出し用PCに入れる個人データには、ファイル暗号化製品の比較で扱うような暗号化を検討します。報告の面でも意味があり、後で説明します。
手法の例は見直しの途中です
個人情報保護委員会は2026年10月7日の注意喚起で、別添の「手法の例示」を見直す予定で、確定は来年4月の予定だと示しました。同じ資料によると、「講じなければならない措置」に従わなければ法違反と判断される可能性がありますが、「手法の例示」は例であり、全部を実施しないと違反というものではありません。
要らなくなったデータの消去も忘れがちです。第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを定めています。先ほどの注意喚起も、この点に触れています。古い応募者のデータや終わった案件の名簿は、持っていなければ漏れません。
場面3：他社に渡すとき
原則は、あらかじめ本人の同意を得ることです（第27条第1項）。判断が分かれるのは、相手が「第三者」に当たるかどうかです。
| 相手 |
扱い |
必要なこと |
| 関係のない他社への提供 |
第三者提供 |
本人の同意と記録 |
| 業務の委託先（発送代行、給与計算など） |
第三者に当たらない |
委託先の監督 |
| 合併などの事業承継の相手 |
第三者に当たらない |
利用目的の範囲で扱う |
委託先は同意が要らない代わりに、第25条の監督が要ります。外注先のクラウドやメール配信サービスに顧客リストを入れているなら、どう扱っているかを確かめ、契約に残します。
第三者に提供したときは、提供した年月日や相手の名前などの記録を作って保存します（第29条）。受け取る側も、相手と取得の経緯を確かめて記録します（第30条）。施行規則の第21条では、保存期間は原則3年、契約書などで記録に代えた場合は最後の提供から1年です。提供の例は委員会の確認・記録義務のガイドラインで確かめられます。
たとえば部品メーカーが、展示会で集めた名刺のリストを販売代理店に渡す場合を考えます。代理店が自社の営業に使うなら委託とは言いにくく、第三者提供に当たる可能性があります。名刺を受け取る前に、提供先を伝えて同意を得ておくほうが後で困りません。
場面4：漏えいが起きたとき
個人データについて、報告の対象に当たる事態を知ったら、委員会への報告と本人への通知が要ります（第26条）。
報告の対象は施行規則の第7条にある次の4つで、おそれの段階でも対象です。
- 要配慮個人情報を含む個人データ（従業員の健康診断の結果など）
- 財産的被害のおそれがある個人データ（クレジットカード番号、決済機能のあるサービスのIDとパスワードの組み合わせなど）
- 不正の目的によるおそれがあるもの（不正アクセス、従業者の不正な持ち出しなど）
- 本人の数が1,000人を超えるもの
規則は、高度な暗号化などの措置を講じた個人データを報告の対象から除いています。保管の場面で暗号化を考える理由の1つがこれです。
期限は2段階です。 第8条で、知った後に速やかに報告し、知った日から30日以内（不正の目的によるおそれがある場合は60日以内）に全項目を報告します。「速やか」の目安を、ガイドラインは知った時点から概ね3〜5日以内としています。法人の場合は「いずれかの部署が知った時点」が起算点です。工場や営業所が気づいた日から数え始めるので、社内の連絡を遅らせると期限が迫ります。
本人への通知は、事態の状況に応じて速やかに行います（規則第10条）。委託を受けている側は、委託元に速やかに通知すれば、委員会への報告義務が免除されます（第26条第1項ただし書）。
2026年10月1日以降、ランサムウェアなどのサイバー攻撃の事案は共通様式でも報告できると、委員会の案内にあります。報告の実態を見ると、2026年度第1四半期の処理件数は個人情報で6,101件でした。
2026年の改正で何が変わる？
2026年7月10日に成立し、7月17日に公布された改正法は、委員会の説明資料によると、原則として公布の日から2年を超えない範囲内で施行されます。政令と規則の整備はまだ途中です。総務が今知っておくのは次の点です。
- 課徴金の導入：経済的な動機のある、大量の個人情報を扱う悪質な違反を抑える目的で、重大な違反に課されます
- 漏えい時の本人通知：本人の権利利益の保護に欠けるおそれが少ない場合は、通知義務が緩和されます
- 委託先の義務の見直し：委託元の指示どおりに機械的に扱うだけの委託先について、契約の合意などを条件に義務の適用を原則免除し、業務の範囲を超えた取扱いの禁止と安全管理の義務は残す想定です
- 16歳未満の個人情報：同意や通知の相手を法定代理人とする規定などが明文化されます
通常のBtoB企業がすぐ規程を書き換える段階ではありません。規則が出たら、委託契約のひな形と、漏えい時の通知の手順を見直せるようにしておきます。
総務が今月やること
- 個人情報の置き場所の一覧を作る（今日の作業）
- プライバシーポリシーと実際の使い道を照らし合わせる
- 名簿の共有先を「委託」「第三者提供」に分ける
- 漏えいに気づいた部署が総務へ連絡する手順を決め、全部署に伝える
漏えいの防ぎ方そのものは、社内から漏れる経路の整理にまとめました。一覧を作った結果、持ち出しの心配が大きいと分かったら、DLPの導入の進め方やDLP製品の比較も見てください。ほかのテーマは情報漏えい対策のカテゴリにまとめています。
