個人情報保護法とは？

01何を定めているか

個人情報保護法（個人情報の保護に関する法律）は、個人情報を扱う事業者が守るルールを定めた法律です。会社の大小に関係なく、顧客や社員の名簿を事業で使っていれば対象になります。所管は個人情報保護委員会です。

事業者が守るルールは、大きく分けて次の4つです。

• 取得・利用：利用目的を決めて知らせ、その範囲で使う
• 保管・管理：漏えいが起きないよう安全に管理し、社員や委託先にも徹底させる
• 第三者への提供：原則として、あらかじめ本人の同意を得る
• 開示の請求など：本人から求められたら対応する

02漏えいが起きたときの義務

2020年の改正（2022年4月施行）で、一定の漏えいが起きたときの委員会への報告と、本人への通知が義務になりました。対象は、実際に漏れた場合だけでなく「おそれ」がある場合も含みます。

報告は2回に分けます。速報は発覚からおおむね3〜5日以内、確報は30日以内です。不正の目的によるおそれがある場合（不正アクセスなど）は、確報が60日以内になります。

03会社がすること

1. どんな個人データを、どこに、どれだけ持っているかを書き出す
2. 漏えいに気づいたら誰に報告するか、社内の連絡先を決める
3. 委託先（クラウドや発送代行など）に任せている個人データも把握する
4. 報告の様式と提出先を事前に確かめておく

漏えいが起きたときの具体的な動き方は情報漏えいのページにまとめています。

04よくある誤解

• 「小さい会社は対象外」ではない。件数に関係なく対象になる類型（要配慮個人情報、財産的被害、不正目的）があります。
• 「確定してから報告」ではない。おそれの段階で速報を出します。
• ルールは変わっていく。2026年に改正法が成立し、漏えい等報告と本人通知の範囲を見直す方向で、委員会が規則の検討を進めています。最新の内容は委員会の発表で確かめます。