個人情報保護法の定義・事例・FAQ|現場で使える解説

『個人情報保護法』って、ぶっちゃけ何を守る法律か、説明できますか?

株式会社Cameen 西村温裕ことおんゆーです。

近年、個人情報の漏洩事故がニュースで取り上げられない月はほぼないですよね。大手企業が数百万件の個人情報を流出させた、フィッシング詐欺で顧客名簿が盗まれた、退職者が顧客リストを持ち出した、こういう報道が毎月のように流れています。で、そのたびに「うちは個人情報なんてそんなに持ってないから関係ない」と思って読み流していませんか?

いやちょっと待ってください。メルマガ読者のメールアドレスを1件でも持っていたら、その瞬間からあなたは個人情報保護法の対象事業者なんです。LINEのお友達リスト、LP経由のお問い合わせフォーム、Zoomウェビナーの参加者名簿、すべて個人情報。「事業者として」の責任が発生します。これ、自分だけだと思ってませんか?

うちの事業はメルマガリスト・LINE登録者・LP問い合わせフォーム経由の顧客情報、こういう個人情報を日々取り扱っていて、株式会社Cameenとして個人情報保護法に基づく運用体制を構築してきました。プライバシーポリシーの策定、取得時の同意取得フロー、保管・利用・削除の各段階での実務的な仕組みを整備して運用してきた経験から、見えてきたことがあります。それは、個人情報保護法は「漏らさないように気をつける」程度の話ではなく、「事業として成立するための前提インフラ」だということ。守らないと罰則が来るレベルではなく、守らないと顧客との信頼関係そのものが成立しません。

もう1つ、運用してわかったのは、「個人情報保護を後回しにして、メルマガ配信が拡大してから慌てて整備しようとすると、過去の取得方法を全件遡って同意を取り直す必要が出てくる」という現実。100名規模なら何とかなりますが、1万名規模で過去同意の不備が発覚すると、リスト全体を失うリスクすらあります。最初の100名の段階で、5要件を満たす運用設計を入れておくのが、後から考えると一番安い投資です。

今回はその「今さら聞けない個人情報保護法」を、条文の解説ではなく、メルマガ・LINE・LP運用の現場で実装できる5要件の中身まで深掘りしていきます。読み終わる頃には、自分の事業のどこに穴があるか、何から手を付けるか、紙に書き出せるレベルになっているはずです。

結論:個人情報保護法の核心は「罰則回避」ではなく「信頼の前提条件」

個人情報保護法の本当の正体は、「個人情報を取り扱う事業者が、本人との信頼関係を成立させるために守るべき5つの要件を体系化した、事業運営の前提インフラ」のことです。罰則を避けるための消極的な規制ではなく、事業として成立するための土台設計です。

2003年に成立し、2005年に全面施行、その後2017年・2022年・2024年と複数回の改正を経て、現在の形になっています。改正のたびに事業者の義務が拡大され、特に2022年改正では「漏洩時の本人通知義務化」「越境データ移転の規制強化」「保有個人データの利用停止請求権の拡大」、こういう実務的な負担が一気に増えました。事業者側の負担は年々重くなっています。

対象は、個人情報を取り扱うすべての事業者。「5,000件以下なら対象外」という旧ルールは2017年改正で撤廃され、1件でも個人情報を扱えば対象事業者です。メルマガ読者1名、LINE登録者1名、LP問い合わせ1件、これだけで個人情報保護法の対象になります。「うちは小規模だから関係ない」が通用しない領域です。

個人情報保護法の真の価値は罰則回避ではなく、本人(顧客・読者・問い合わせ者)に対して「自分の情報がどう扱われるか」を明示することで、信頼関係を成立させることなんです。プライバシーポリシーの掲示、取得時の同意取得、利用目的の特定、安全管理措置、開示・訂正・削除請求への対応、すべて「信頼の前提条件」を形にしたものです。

なぜ「個人情報保護法」が必要になったのか

もう少し深く掘ります。なぜ個人情報保護法が必要になったのか、歴史的背景を整理します。

個人情報保護の概念が国際的に整理されたのは1980年、OECDが「プライバシー保護と個人データの国際流通についてのガイドライン」を公表した時です。ここで提示された「OECD8原則」(収集制限・データ内容・目的明確化・利用制限・安全保護・公開・個人参加・責任)が、世界各国の個人情報保護法の土台になりました。日本の個人情報保護法も、このOECD8原則を基本骨格として組み立てられています。

日本では1990年代後半から2000年代初頭、IT普及に伴って個人情報の電子化・大量蓄積が一気に進みました。同時に、住基ネット問題・大規模な顧客情報漏洩事件が社会問題化し、「個人情報を電子的に扱うルールが必要だ」という認識が広がります。2003年5月、個人情報の保護に関する法律(個人情報保護法)が成立し、2005年4月に全面施行されました。

2017年の改正で大きな転換点を迎えます。「5,000件以下の事業者は対象外」というルールが撤廃され、1件でも個人情報を扱えば対象事業者になりました。同時に、要配慮個人情報(人種・信条・病歴等)の取扱いに厳格な同意取得が義務化され、匿名加工情報のルールが整備されました。

2022年改正は、デジタル時代に対応した大幅アップデートです。漏洩時の個人情報保護委員会への報告義務化、本人への通知義務化、保有個人データの利用停止請求権の拡大、越境データ移転の規制強化、個人関連情報(Cookieなど)の規制新設、罰則の厳罰化(法人最大1億円)、すべてここで実装されました。事業者側の負担が一気に増えた改正です。

2024年改正では、3年ごとの見直しサイクルに沿って、データの取扱いに関する透明性の強化、利用目的の特定の精緻化、こういう論点が議論されています。改正は今後も継続するため、事業者は「一度設計したら終わり」ではなく、3年ごとにルールを見直す前提で運用設計を組む必要があります。

業界の体感として、個人情報保護への意識は読者・顧客側でも年々高まっています。「プライバシーポリシーを確認してから登録する」「個人情報の取扱いに不安があれば申し込まない」、こういう行動が当たり前になっています。事業者として個人情報保護を整備することは、コンプライアンスのためだけではなく、選ばれる事業者であり続けるための必須条件になっています。

個人情報保護法の現場で何が起きているか

個人情報保護法の現場で、具体的に何が起きているか。5段階で整理します。

ステージ1:取得(取得時の同意とポリシー提示)

個人情報を取得する瞬間に、本人に対して「何の目的で・どこまで使うか」を明示し、同意を取得します。メルマガ登録フォームなら「メールアドレスをメルマガ配信目的で利用する」と明記し、同意チェックボックスを設置するのが標準。プライバシーポリシーへのリンクも必須です。

業界の現場で起きているのは、取得時の同意を曖昧にしたまま運用しているケースです。LPの問い合わせフォームに「個人情報の取扱いについて」のリンクがなかったり、メルマガ登録時の利用目的が「サービスのご案内」とだけ書かれていたり。これだと利用目的が「特定」されていない状態で、後で別目的で使うと違反になります。

ステージ2:利用(利用目的の範囲内での取扱い)

取得した個人情報は、特定した利用目的の範囲内でのみ使えます。「メルマガ配信」目的で取得したメールアドレスを、別商品の販売促進に使うと利用目的の範囲外。本人への新たな同意取得が必要です。

現場では「目的の書き方をどこまで広く設定するか」が論点になります。「サービスの案内、関連情報の提供、その他の目的」みたいに広く書いておけば自由度は高いんですが、本人にとっては何に使われるか不透明。信頼を取りに行くなら、目的は具体的に書き、追加目的が発生したら追加で同意を取るのが業界標準です。

ステージ3:保管(安全管理措置の実装)

取得した個人情報を安全に保管する義務があります。法律が求める安全管理措置は、組織的・人的・物理的・技術的の4側面。組織的措置(責任者の選任・規程の整備)、人的措置(従業員への教育・誓約書)、物理的措置(入退室管理・施錠)、技術的措置(アクセス制御・暗号化・ログ管理)、すべて実装が求められます。

小規模事業者の場合、4側面すべてを大企業レベルで実装するのは現実的ではないですが、それでも最低限の措置は必要。パスワード管理、データの暗号化、アクセス権限の明確化、退職者のアカウント即時無効化、こういう基本実装は事業規模に関わらず必須です。

ステージ4:第三者提供(同意なしでは原則禁止)

取得した個人情報を、本人の同意なしに第三者に提供することは原則として禁止です。例外として、法令に基づく場合、人の生命・身体・財産の保護に必要な場合、公衆衛生・児童の健全育成に必要な場合、国の機関への協力が必要な場合、これらに限定されます。

現場でよく問題になるのは、外部委託のケース。メルマガ配信ツール(MyASP・MailChimp等)に個人情報を渡す、決済代行業者に顧客情報を渡す、CRM ツールに名簿をアップロードする、こういう業務委託は「第三者提供」ではなく「業務委託」として扱えますが、委託先の監督義務が事業者側に発生します。委託先選定の段階で、安全管理措置のレベルを確認する必要があります。

ステージ5:開示・訂正・削除請求への対応

本人から「自分の個人情報を開示してほしい」「内容を訂正してほしい」「削除してほしい」、こういう請求が来た場合、事業者は対応する義務があります。請求受付窓口の設置、本人確認の手順、開示・訂正・削除の実行、すべてフローを整備しておく必要があります。

2022年改正で、利用停止・消去請求の対象が拡大されました。本人の権利・利益が害されるおそれがある場合、本人が利用停止や消去を請求でき、事業者は応じる義務があります。これに対応できる業務フローを最初に組んでおかないと、請求が来た時に対応漏れで違反になります。プライバシーポリシーに窓口連絡先を明記し、請求受付の業務フローを文書化しておくのが業界標準です。

身近な話で全体像をつかむ

ちょっと身近な話で、全体像を掴み直しましょう。

友人があなたに「合鍵を1本預けたい」と頼んできた、と仮定します。あなたが合鍵を受け取った瞬間から、その鍵の取扱いに責任が発生します。どこに保管するか、誰にも触らせないか、貸し出してほしい時にすぐ取り出せるか、不要になったら確実に返却するか、こういう取扱いがすべて問われます。

友人からすれば「自分が頼んだ目的(緊急時の予備)以外には絶対に使ってほしくない」、これが当然の感覚ですよね。あなたがその鍵で勝手に友人の家に入ったり、第三者に貸したり、紛失したりすれば、信頼関係は一瞬で崩れます。最悪、刑事問題にまで発展します。

個人情報保護法はこれと同じ構造なんです。本人(友人)が事業者(あなた)に個人情報(合鍵)を渡す。その情報は本人が指定した目的の範囲内でのみ使え、安全に保管し、第三者に渡さず、不要になったら適切に処分する。これが個人情報保護法の本質です。「漏らさないように気をつける」という消極的な話ではなく、「預かった大切なものを、預けた人の意向通りに扱う」という、関係性の前提条件の話なんです。

業界の例として、メルマガ運営で考えてみます。読者があなたにメールアドレスを登録した。その瞬間、あなたは「合鍵」を預かっています。読者は「コンテンツビジネスのノウハウメルマガを受け取りたい」という目的で渡している。だったら、別商品のセールスを連発したり、リストを他人に売ったり、退会後もアドレスを保持し続けたりすれば、読者の信頼を裏切ることになります。

逆に、最初に「このメルマガはコンテンツビジネスのノウハウ配信が主目的で、関連商品の案内も含みます。退会はいつでも可能で、退会後は速やかにデータを削除します」と明示し、その通りに運用すれば、読者は安心してメールアドレスを預けてくれます。個人情報保護法を守ることは、読者から「鍵を預けても大丈夫な相手だ」と認められることそのものなんです。事業として継続するための土台です。

個人情報保護法が定める5要件