※本記事は広告（アフィリエイトリンク）を含みます。
※内容は一般的な実務情報の概要のため、最終的な判断は最新の公式情報や専門家への確認を前提にしてください。
まず結論
個人情報保護法は、個人情報データベース（顧客名簿、従業員名簿、メールの連絡先一覧など）を事業に使っている全ての事業者が対象で、取扱件数による除外はありません（2017年5月全面施行の改正で撤廃）。中小企業が最低限行うのは、利用目的を決めて知らせる、安全管理の体制を作る、委託先を監督する、漏えいしたら個人情報保護委員会へ報告する、公表事項をプライバシーポリシーに書くの5点です。従業員100人以下の「中小規模事業者」には、安全管理措置をガイドラインの簡易な手法で行える特例があります。2026年7月に課徴金制度などを含む改正法が成立・公布されましたが、施行は公布から2年以内の政令で定める日（2028年夏まで）で、本記事の期限・罰則は現行法のものです（2026年10月時点）。
中小企業が最低限行う5つの対応
| 対応 | 根拠 | 中小企業での実務 |
|---|---|---|
| 利用目的を特定し、通知・公表する | 17条・21条 | 「商品の発送、アフターサービス、新商品の案内のため」のように具体的に書く。「事業活動のため」は不可。要配慮個人情報（病歴・健康診断結果など）の取得は原則本人の同意 |
| 安全管理措置 | 23条、ガイドライン通則編10 | 責任者を決める、取扱ルールを文書にする、就業規則に秘密保持を入れる、書類は施錠保管、PCはアカウント分離とOS・対策ソフトの自動更新、メール添付はパスワード設定。従業員100人以下はこの簡易手法で可（ただし本人数5,000人超のデータを持つ会社や委託で個人データを扱う会社は除く） |
| 委託先の監督 | 25条 | 委託先の選定、契約での取扱い条項、取扱状況の把握（再委託の事前承認を含む）。給与計算・DM発送・クラウドの利用が該当 |
| 漏えい等の報告・本人通知 | 26条 | 下記の4類型に当たれば個人情報保護委員会へ速報と確報を出し、本人に通知する |
| 公表事項・開示請求への対応 | 32条〜38条 | プライバシーポリシーに、事業者の名称・住所・代表者名、全ての保有個人データの利用目的、開示等の手続と手数料、安全管理のために講じた措置、苦情の申出先を書く。開示請求には本人が指定した方法（電子データ等）で応じる |
漏えいしたときの報告
次の4類型のいずれかに当たる漏えい・滅失・毀損（そのおそれを含む）は、個人情報保護委員会への報告と本人への通知が義務です（2022年4月から）。
- 要配慮個人情報を含む（例：従業員の健康診断結果の漏えい）
- 財産的被害が生じるおそれ（例：クレジットカード番号）
- 不正の目的によるおそれ（例：不正アクセス、ランサムウェア、従業員の持ち出し）
- 本人の数が1,000人を超える（例：メールのBCC誤送信）
対象データ、人数、原因を確認し、アカウント停止・回線遮断などの応急措置をとる
個人情報保護委員会の報告フォームから、判明している範囲で報告する
状況に応じて速やかに通知する。連絡先が分からない場合は公表と問合せ窓口の設置で代替できる
原因、再発防止策を含めて報告する。速報で全項目を報告できれば1回で済む
取扱ルールと研修を見直し、記録を保存する。サイバー事案は警察への相談も検討する
金融など権限が委任されている業種は所管省庁へ報告します。マイナンバーを含む漏えいは別の報告フォームです。国税庁や取引先をかたる偽メールが侵入の入口になる事例が続いているため、受信時の確認手順はe-Taxをかたる偽メールの見分け方で社内に共有してください。
従業員の個人情報
- 健康診断結果・ストレスチェック結果は要配慮個人情報です。厚生労働省の指針で、事業場ごとに心身の情報の取扱規程を作ることが求められています。
- マイナンバーは番号法と特定個人情報ガイドライン（事業者編、2025年6月版）で別に規律されます。従業員100人以下の中小規模事業者は取扱規程の策定が必須ではなく、取扱方法・責任者・担当者を明確にすれば足ります。収集は法定の事務（源泉徴収票・社会保険の届出など）に限り、退職後は保存期間を過ぎたら廃棄します。
- 履歴書・採用時の情報は採用選考の利用目的を明示して取得し、不採用者の分は保存期限を決めて廃棄します。
- これらを社内規程に落とす手順は社内規程の整備、生成AIへの入力禁止情報の決め方はAI社内ガイドラインで整理しています。
2026年改正の動向
令和2年改正法の「3年ごと見直し」にもとづく改正法が、2026年4月に国会へ提出され、2026年7月10日に成立、7月17日に公布されました。施行は原則として公布から2年以内の政令で定める日で、個人情報保護委員会のロードマップでは2028年春から夏頃、政令・規則・ガイドラインは2027年に公表予定です。主な内容は次のとおりです。
- 課徴金制度の新設：利用目的による制限、不適正利用、第三者提供の同意などの違反で、相当の注意を怠った大規模事案（本人1,000人基準）を対象に、違反で得た利益相当額を課す。
- 16歳未満の本人については法定代理人の同意・通知の対象とし、未成年の最善の利益への責務規定を新設。
- 顔特徴データなどの取扱いの周知義務化と、オプトアウトによる第三者提供の禁止。
- 委託先の義務の見直し、漏えい時の本人通知義務の一部緩和、オプトアウト提供先の確認義務。
- 罰則の強化（データベース等の不正提供罪を2年以下の拘禁刑または100万円以下の罰金に引上げ、不正取得罪の新設）。
- 団体による差止請求・被害回復制度は今回の改正では見送り。
現行の罰則は、措置命令違反が1年以下の拘禁刑または100万円以下の罰金、データベース等の不正提供が1年以下の拘禁刑または50万円以下の罰金で、法人には1億円以下の罰金が科されることがあります。改正後の数値は施行日以降に適用されます。
FAQ
顧客が数十件しかない会社でも対象ですか？
対象です。名簿やExcelで検索できる形で個人情報を持っていれば個人情報取扱事業者に当たります。従業員100人以下なら安全管理措置は簡易な手法で足りるため、責任者の決定、取扱ルールの文書化、施錠保管とPCの基本設定から始めてください。
メールのBCC誤送信で顧客のアドレスが見えてしまいました。報告は必要ですか？
本人の数が1,000人を超える場合は報告義務があります。1,000人以下でも、要配慮個人情報や財産的被害のおそれがあれば対象です。義務に当たらない場合も、本人への連絡と再発防止の記録は行ってください。
どこから手をつければよいですか？
個人情報保護委員会が中小企業向けに公開している自己点検チェックリストと「10のチェックポイント」で現状を確認し、不足している項目から整えるのが近道です。
参考リンク（公式）
- 個人情報保護委員会：ガイドライン（通則編）
- 個人情報保護委員会：漏えい等の対応とお役立ち資料（報告フォーム）
- 個人情報保護委員会：中小企業向けお役立ちツール（自己点検チェックリストなど）
- 個人情報保護委員会：（中小企業等向け）個人情報保護法10のチェックポイント
- 個人情報保護委員会：令和8年改正個人情報保護法について
- 個人情報保護委員会：特定個人情報の適正な取扱いに関するガイドライン（事業者編）
- 厚生労働省：労働者の心身の状態に関する情報の適正な取扱いのための指針
まとめ
個人情報保護法は全ての事業者が対象で、中小企業は利用目的の特定、簡易な安全管理措置、委託先の監督、漏えい時の報告、公表事項の整備の5点を押さえれば現行法の最低限に対応できます。漏えい時は速報3〜5日・確報30日の期限を覚えておいてください。2026年7月に成立した改正法は施行日が未確定のため、2027年に公表される政令・ガイドラインを確認して規程を更新してください（2026年10月19日確認）。
この記事は一般的な実務情報の提供を目的としています。個別の該当可否や漏えい時の対応は、個人情報保護委員会の最新情報および弁護士等の専門家にご確認ください。
Related