Webサービス・EC・BtoB事業を運営する法人経営者、人事・総務担当者に向けて、個人情報保護法に基づく企業対応を完全ガイドします。この記事を読めば、安全管理措置の4分類、漏洩時の報告義務、2024年改正のポイント、プライバシーポリシー整備の実務がわかります。
🏆 結論：個人情報を1件でも扱う事業者は全員が「個人情報取扱事業者」、安全管理措置4分類と漏洩報告が必須
個人情報保護法では、個人情報を取り扱う全ての事業者が「個人情報取扱事業者」に該当します（2017年改正で5,000件要件が撤廃済み）。事業者は①組織的、②人的、③物理的、④技術的の4分類で安全管理措置を講じる義務があります。漏洩等が発生した場合、個人情報保護委員会への報告（速やか＋30日以内）と本人への通知が義務化されています。違反すると命令違反1年以下の拘禁刑または100万円以下の罰金、法人に対しては1億円以下の罰金。2024年4月改正ではウェブスキミング対策や漏洩報告対象の拡大が行われました。
個人情報保護法（正式名称：個人情報の保護に関する法律）は、個人情報保護法第1条で「個人の権利利益を保護する」ことを目的に、事業者に様々な義務を課しています。主管庁は個人情報保護委員会で、具体的な運用指針は個人情報保護委員会 ガイドライン通則編に詳細が示されています。
かつては取扱件数5,000件以下の小規模事業者は適用除外でしたが、2017年改正で5,000件要件は撤廃。現在は「個人情報データベース等を事業に用いている者」全員が対象です。具体的には次のような事業者です。
事実上、1人でも従業員を雇っている、または顧客がいる事業者はほぼ全て対象です。
| 用語 | 定義 | 具体例 |
|---|---|---|
| 個人情報 | 生存する個人を識別できる情報 | 名刺1枚の情報・口頭で聞いた氏名 |
| 個人データ | 個人情報データベース等を構成する個人情報 | 顧客リスト内の個別情報 |
| 保有個人データ | 事業者が開示・削除等の権限を有する個人データ | 事業者管理下の6か月超保管データ |
| 要配慮個人情報 | 人種・信条・病歴・犯罪歴等の機微情報 | 健康診断結果・障害情報 |
💡 実務のポイント
個人情報と個人データの区別は、適用される義務の違いに直結します。「個人情報」段階では利用目的の特定・通知が主な義務ですが、「個人データ」段階になると安全管理措置・第三者提供制限・開示請求対応などの義務が追加されます。表計算ソフトで名簿化した時点で個人データに該当するため、名刺を整理した瞬間から安全管理措置の対象となります。
個人情報保護法が事業者に課す主な義務は、大きく5つに分類できます。
これらは取得から廃棄までのライフサイクル全体で遵守する必要があります。
個人情報保護法第23条と個人情報保護委員会のガイドラインが求める安全管理措置は、4つのカテゴリに分類されます。中小企業でも規模に応じた対応が必要です。
| 分類 | 内容 | 具体例 |
|---|---|---|
| ①組織的 | 管理体制・規程類の整備 | 個人情報管理責任者の選任・取扱規程・点検手順 |
| ②人的 | 従業者への教育・監督 | 入社時教育・年次研修・守秘義務誓約書 |
| ③物理的 | 物理的なアクセス制限 | 施錠可能な書庫・入退室管理・シュレッダー処理 |
| ④技術的 | 情報システムのセキュリティ | アクセス権限管理・暗号化・ログ取得・ウイルス対策 |
個人情報保護委員会のガイドラインでは、従業員100人以下の中小規模事業者向けに簡素化された基準が設けられています。過剰な対策をせず、事業規模に応じた合理的な対応で足ります。ただし、簡素化されても「ゼロでよい」わけではなく、最低限の管理体制・教育・物理的対策・技術的対策は全て必要です。
🧮 中小企業の最低限セット
▼ 組織的：個人情報管理規程1本＋管理責任者1名の選任
▼ 人的：入社時の守秘義務誓約書＋年1回の簡易研修
▼ 物理的：書類ロッカー施錠＋PC紛失対策
▼ 技術的：PCパスワード設定＋ウイルス対策ソフト＋バックアップ
▼ 規程・誓約書・教育資料を整備するだけで、最低限の対応は可能です。
2024年4月1日施行の改正では、事業者の義務がさらに拡大されました。主要な変更点を押さえてください。
ECサイトやフォームに悪意あるコードが仕込まれ、利用者の入力情報（クレジットカード番号・個人情報）が盗まれる攻撃手法への対応が明確化されました。事業者には、定期的なコードの点検・改ざん検知・委託先の監督が求められます。この点は「電気通信事業の届出・登録の手続きと要件」で解説した外部送信規律（Cookie規制）とも連動しています。
📢 2024年度の漏洩報告は1万9,056件（過去最多）
個人情報保護委員会の令和6年度年次報告によると、2024年度の民間事業者からの漏洩等の報告件数は過去最多の1万9,056件に達しました。報告徴収148件、立入検査47件、指導助言395件、勧告1件という行政処分実績。違反企業への対応は年々厳格化しており、形式的なプライバシーポリシー整備だけでは不十分です。
個人データの漏洩・滅失・毀損（まとめて「漏洩等」）が発生した場合の対応は、個人情報保護法第26条で規定されています。
以下のいずれかに該当する場合、個人情報保護委員会への報告と本人への通知が義務付けられています。
| 対象 | 期限 | 内容 |
|---|---|---|
| 速報 | 速やかに（概ね3〜5日以内） | 判明時点の情報で第一報 |
| 確報 | 30日以内（不正目的は60日以内） | 原因・再発防止策を含む詳細報告 |
| 本人通知 | 速やかに | メール・書面・Web公表等 |
⚠️ 注意：報告漏れは信用失墜のリスク大
弊所が相談を受けた事例で、委託先のサイバー攻撃で約2,800件の顧客データが漏洩したにもかかわらず、社内で「委託先の問題だから自社報告不要」と判断して3か月放置したケースがありました。後日委託先が個人情報保護委員会に報告した際に元データ保有者（委託元）も調査対象となり、立入検査・勧告に発展。委託元には委託先監督義務があり、漏洩が生じた場合は委託元も報告対象という基本を徹底してください。
AYUSAWA PARTNERS
個人情報保護法対応のご相談は鮎澤パートナーズへ
初回相談無料。行政書士が規程・同意書・プライバシーポリシー整備を、税理士が漏洩時の損害賠償・補償金の税務処理まで一貫してサポートします。
鮎澤パートナーズに相談する個人データを他社に渡す場合、「第三者提供」と「委託」を明確に区別する必要があります。
| 類型 | 内容 | 本人同意 |
|---|---|---|
| 第三者提供 | 他社が独立して利用（例：他社への顧客リスト販売） | 原則必要 |
| 委託 | 委託元の業務遂行のために取り扱う（例：配送委託・クラウドサーバー利用） | 不要（監督義務あり） |
| 共同利用 | 特定の者との共同利用（グループ会社間等） | 不要（事前公表必要） |
委託の場合、同意は不要ですが、代わりに委託先の監督義務が発生します。
クラウドサービス利用や業務委託が当たり前の今、委託先監督の実効性確保が事業者の大きな負担となっています。
個人情報取扱事業者は、プライバシーポリシー（個人情報保護方針）をWebサイト等で公表することが実務上の必須対応です。法律上明示的に義務化されてはいませんが、利用目的・保有個人データの公表事項を含めて網羅的に公表する最適な手段です。
個人情報保護法は、2022年改正で罰則が大幅に引き上げられました。特に法人重科による多額罰金リスクに注意が必要です。
| 違反行為 | 個人の罰則 | 法人重科 |
|---|---|---|
| 命令違反（個人情報保護法第178条） | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 |
| 個人情報データベース等不正提供（個人情報保護法第179条） | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下の罰金 |
| 虚偽報告等（個人情報保護法第182条） | 50万円以下の罰金 | 50万円以下の罰金 |
刑事罰とは別に、被害者からの損害賠償請求も発生します。漏洩1件あたり数千〜5万円程度の慰謝料が判例上の目安で、1,000件漏洩なら数百万〜5,000万円規模の賠償となります。悪質な事例では10万円/件超の判決もあります。
個人情報保護の体制整備に関連する費用は、原則として費用処理が可能です。
📊 記事固有の視点：漏洩被害時の税務対応
弊所が税務顧問として支援した事例で、漏洩事故により顧客3,200人へ見舞金として総額960万円（1人3,000円）を支出した中堅ECサイト運営会社のケース。被害者への見舞金は全額を損金算入できましたが、一部が「謝罪広告費用」として交際費と誤解されかけました。交際費ではなく「損害賠償金・見舞金」として処理する根拠資料（事故報告書・支出稟議書・被害者同意書）を揃えることで、税務調査で全額損金として認容されました。漏洩時は税務対応も含めた総合支援が不可欠です。
Cookie・アクセス解析ツール利用に関する外部送信規律への追加対応。CMPツール導入を検討。決済機能がある場合は「資金決済法の登録・届出の要件と手続き」も並行確認。
求職者・派遣登録者の要配慮個人情報（病歴・健康状態）の取得に本人同意が必要。書類保管期間と廃棄ルールの整備が重点。
病歴・診療情報は要配慮個人情報として特に厳格な管理が必要。医療法人の税務と合わせて総合支援が効率的。
従業員・下請職人の個人情報（マイナンバー含む）の管理。外国人労働者の在留資格情報は機微情報となり、特別管理が必要。詳細は「建設業許可の要件と申請手続き｜一般・特定の違い」「産業廃棄物収集運搬業の許可要件と申請手続き」「在留資格の種類と就労可能な職種」を参照。
📋 この記事のポイント
AYUSAWA PARTNERS
個人情報保護体制の構築は鮎澤パートナーズへ
行政書士が規程・プライバシーポリシー整備・Pマーク取得支援を、税理士・社労士が関連税務・労務対応を一貫してサポート。初回相談無料。
鮎澤パートナーズに相談する
