個人情報保護法について詳しく解説！

個人情報を取り扱う事業を行ううえで、個人情報保護法についてしっかりとした理解を持っておくことは非常に大切です。

2022年に改正がなされ、個人情報の保護について、世間的にも関心は高まっています。

この記事を読んで、個人情報保護法についてしっかりと理解しましょう！

個人情報保護法とは？

個人情報はプライバシーに関わる大切な情報です。これらの情報を活用することで、行政やビジネスなど様々な場面でサービスの質の向上や業務の効率化が可能になります。

上記で述べたような個人情報の有用性に配慮しながら、個人の権利や利益を守ることを目的とした「個人情報保護法」が平成15年5月に制定され、平成17年4月に全面施行されました。

法律の対象となるのは？

個人情報保護法は全国民が対象となる法律ではありません。

個人情報データベース等を事業に利用している企業・団体・個人は、取り扱う個人情報の件数にかかわらず「個人情報取扱事業者」となり、「個人情報保護法」を守る義務があります（国の機関や地方公共団体などは除きます）。

以前は「5000人分を超える個人情報を取り扱う事業者」が対象でしたが、2017年5月の改正法全面施行でこの件数要件は撤廃されました。社員・顧客・取引先など、社内外の個人情報を扱っていれば、小規模な企業でも対象になります。

例えば、取引先の名刺を名刺管理ツールなどで検索できる形で管理しているだけでも、個人情報取扱事業者に該当します。

つまり、大抵の個人情報を取り扱う企業はこの法律の対象になるということです。

個人情報とは？

簡単にいうと、「特定の個人を識別できる情報」のことです。

これは直接的に個人を識別できるものでなくても他の様々な情報を組み合わせ照合することで、個人を識別することができるものも含みます。

例えば、生年月日や電話番号などひとつの情報では特定の個人を識別できないようなものでも、氏名などと組み合わせることで特定の個人を識別できるため、個人情報に該当する場合があります。

氏名、住所、電話番号は個人情報としてよく知られていますが、メールアドレスや顔写真も個人情報に該当する場合があります。また、企業では顧客リストなどはもちろん、社員の情報、家族の情報、求人に応募してきた人の履歴書なども全て個人情報です。

個人情報の中にも「要配慮個人情報」というものがあります。これは他人に公開されることで、本人が不当な差別や偏見などの不利益を被らないために特に取り扱いに注意が必要な情報です。この「要配慮個人情報」の取得には、原則としてあらかじめ本人の同意が必要とされています。

わかりにくい3つの用語の解説

ここまで、法律の概要について説明してきました。

ここからは、個人情報保護法をさらに理解するために必要な、3つの用語について解説していきます。

① 個人情報データベース等

「個人情報データベース等」とは、特定の個人の情報を検索できるように作られた、個人情報を含む情報の集合のことです。

特定の個人情報をコンピュータを用いて検索できるように構築されたものや、紙面で処理した個人情報を一定の規則に従って整理・分類されたものも該当します。

例えば、五十音順に並べられた名簿などがこれに該当します。

② 個人データ

「個人データ」とは、個人情報データベース等を構築する個人情報のことをいいます。

名簿を例に挙げると、名簿を構成する氏名や生年月日、住所などがこれに該当します。

③ 保有個人データ

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が本人から請求される開示や訂正、削除などに対応することができる権限を有するもののことをいいます。

個人情報などを取り扱う際のルール

ここでは、個人情報を取り扱うにあたっての基本的なルールを確認していきましょう。

① 個人情報を取得・利用するときのルール

• 個人情報の利用目的はあらかじめHP等で公開したり、本人に知らせなければなりません
• 「要配慮個人情報」を取得するときはあらかじめ本人の同意が必要です
• 取得した個人情報は、利用目的の範囲で利用する必要があります
• 取得している個人情報を、利用目的以外の範囲外のことで利用したいときには、あらかじめ本人の同意が必要になります

② 個人データを保管・管理するときのルール

• 個人データの漏えいなどが起きてしまわないように安全に管理することのできる措置を講じる必要があります
  (例) 個人情報の書かれた書類を破棄するときはシュレッダーにかける
  パソコンで管理しているものはファイルごとにパスワードをしっかりかける
  セキュリティ対策のソフトを導入する
• 従業員や委託先へも個人データの管理が安全に行われるようにしっかりと監督する必要があります
• 個人データの漏えい等が起こってしまい、個人の権利利益を害する可能性が高い場合は、個人情報保護委員会に報告する義務があります。また、この旨を本人に通知する必要もあります

③ 個人データを第三者に提供するときのルール

• 個人データを本人以外の第三者に提供するときには原則として本人の同意が必要になります。ただし、本人の同意を得なくても、個人データを第三者に提供できるときがあります
• 外国の第三者に提供するときには次のいずれかを満たしている必要があります
  (1) あらかじめ本人の同意を得る
  同意を得る際に、その外国の個人情報保護制度や、提供先が講じる保護措置などの情報を本人に提供する必要があります。
  (2) 外国の第三者が適切な体制を整備している
  提供先における個人データの取扱い実施状況等の定期的な確認および問題が生じた場合の対応の実施、さらには本人の求めに応じて移転先における個人情報保護委員会が定める基準に適合する体制の整備の方法に関する情報などを提供する必要があります。
  (3) 外国の第三者が個人情報保護委員会が認めた国または地域に所在している
• 第三者に個人データを提供したときは「いつ・誰に・誰の・どんな情報を」提供したのかを確認する必要があります。また、提供を受けるときは「いつ・誰から・誰の・どんな情報を」提供されたかを記録する必要があります。記録の保存期間は3年です

④ 本人から保有個人データの開示を求められたときのルール

• 本人からの請求があったときは、保有個人データの開示、訂正、利用停止などに対応しなければなりません
• 個人情報の取扱いについてクレームを受けたときは素早い対応が求められます
• 以下の内容についてウェブサイトで公表するなどの方法で本人が知ることができる状況にしておく必要があります

1. 個人情報取扱事業者の氏名または名称、住所
2. 全ての保有個人データの利用目的
3. 保有個人データの利用目的の通知の求めまたは開示の請求手続
4. 保有個人データの安全管理のために講じた措置
5. 保有個人データの取扱いに関する苦情の申し出先

• 第三者に個人データを提供した記録も開示請求の対象になります
• 保有個人データの開示方法を電子データなどによる提供の方法も含めて、本人が請求された方法で対応しなければなりません

個人情報保護を怠ってしまうと起こること

個人情報保護を怠ると最悪の場合罰則が科せられます。また、個人情報が流出してしまった場合には様々な対応をする必要があります。ひとつずつ確認していきましょう。

① 罰則など

個人情報保護委員会の命令に従わない場合、違反した個人には1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金が科される可能性があります（2026年10月時点）。

② 個人情報の漏えい

以下のような個人情報の漏えいが起こってしまったとき、または発生した可能性があるときは、個人の権利や利益を侵害してしまう可能性が大きくなります。個人情報取扱事業者は、速やかに個人情報保護委員会に報告し、本人へ通知する必要があります。

※ (1)〜 (3)は1件でも漏えい等が起こってしまった場合でも、報告と通知の対象になります。

まとめ

個人情報保護法について解説してきました。

個人情報保護法を理解することで個人情報保護のためにしっかりとした体制を整えることがいかに大切かということを、ご理解いただけたと思います。

しかし、この体制を整えることはとても難しいです。Pマークの取得にむけた取り組みを行うことで、個人情報保護の体制を整えることができます。

Pマークの取得には他にも様々なメリットがあります。私たちと一緒にPマーク取得へ向けて取り組んでみませんか？

株式会社UPFには、業界トップクラスを誇る実績に基づく、プライバシーマーク（Pマーク）取得・教育のノウハウがございます。

教育実施でお悩みの企業様・ご担当者様は、どうぞお気軽にお問い合わせください。

お問い合わせはこちらから。
株式会社UPFについて詳しくはこちらから。

よくある質問（FAQ）

※ 本記事は2023年4月時点の情報をもとに、株式会社UPFが監修・執筆しています。Pマーク・ISMSに関する最新情報は無料相談でご確認ください。