「我們是小公司沒關係」已經不成立——個人情報保護法的中小企業實務
2026-03-08
5秒結論
中小企業的個人情報保護法實務：取扱件數5,000件要件已於2017年廢止＝持有1件個資的事業者全部適用。基本義務（利用目的的特定・通知公表〔17條・21條〕、安全管理措置〔23條〕、第三者提供的原則同意〔27條〕、保有個人資料的開示・訂正・利用停止請求對應）、漏洩時的個人情報保護委員會報告＋本人通知的義務化（2022年改正・26條——要件該當時）、從業員管理（監督義務・名簿的持出）、要配慮個人情報的嚴格取扱、罰則與行政指導、最低限的社內體制清單。
「個資法是大企業的事」——2017年改正廢止5,000件要件之後，持有1件客戶名單的公司就是「個人情報取扱事業者」。外國人經營的店舖・中小企業也全部適用。最低限要做的整理如下。
基本義務5件套
- ①利用目的的特定與通知・公表（個情法17條・21條）：收集時明示用途（「訂單處理・配送・售後聯絡」等）——網站的隱私政策揭載是標準對應。目的外利用需另行同意。
- ②安全管理措置（23條）：存取權限的限定・密碼管理・紙本的上鎖・廢棄的裁斷——委員會的指引有「中小規模事業者」的緩和手法，但義務本身不免除。
- ③第三者提供的原則同意（27條）：客戶名單交給別公司原則要本人同意。委託（配送業者・系統商）不是「第三者提供」但有委託先監督義務（25條）。
- ④開示等請求的對應（33條以下）：本人請求保有個人資料的開示・訂正・利用停止——對應窗口・手續要能動。
- ⑤從業員的監督（24條）：名簿持出・私用轉發的防止——離職者帶走客戶名單的事案（詳見營業秘密的文章）與個資管理是表裏。
漏洩時：報告義務（2022年改正）
- 一定的漏洩等（要配慮個資的漏洩・財產的被害可能・不正目的的可能〔不正存取等〕・1,000人超）→向個人情報保護委員會報告（速報＝大約3〜5日・確報＝30日〔不正目的60日〕以內）＋本人通知都是義務（26條）。
- 電腦中毒・誤發郵件・紙本遺失都可能該當——「先壓下來」是最壞手，隱蔽被發現時的制裁・信用毀損更大。
特別注意
- 要配慮個人情報（病歷・犯罪歷・人種等）：取得本身原則要同意・嚴格管理（從業員的健康情報也是——人事資料的管理水準）。
- 監視攝影機・GPS・郵件監控：另有從業員監控的相當性問題（詳見職場監視的文章）。
- 罰則：委員會的指導・勸告・命令違反＝刑事罰（法人1億日圓以下罰金〔178條・184條〕）・漏洩的民事賠償（1人數千〜數萬日圓×人數的集團請求風險）。
最低限清單
- ①隱私政策的作成・揭載②個資的所在一覽（什麼資料・在哪・誰能碰）③存取權限與密碼管理④委託先契約的個資條款⑤漏洩時的對應手順（報告期限・聯絡先）⑥年1回的從業員研修——這6件做完，中小企業的合規底線成立。
※ 本文為一般性的法律資訊，而非針對個別案件的法律意見。實際案件請務必諮詢律師。本文內容以撰寫日（2026-03-08）時點的日本法令・判例為準，之後可能因修法等而有變更。