個人情報保護法

読み: こじんじょうほうほごほう　

個人情報保護法とは、個人情報を取り扱う事業者や行政機関等に対し、取得、利用、保管、第三者提供、本人からの請求への対応などのルールを定め、個人の権利利益を保護する法律です。正式名称は「個人情報の保護に関する法律」です。

顧客名簿や従業員情報だけでなく、名刺、問い合わせ履歴、顔画像、端末識別情報なども、内容やほかの情報との組み合わせによって個人情報に当たります。公開済みの情報であっても、個人情報でなくなるわけではありません。

個人情報・個人データ・保有個人データの違い

個人情報は、生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるもの、または個人識別符号を含むものです。個人データは、個人情報データベース等を構成する個人情報を指します。

保有個人データは、個人データのうち、事業者が開示、訂正、利用停止などに応じる権限を持つものです。どの区分に当たるかによって適用される義務が違うため、社内規程では単に「個人情報」とまとめず、データの状態と利用場面を分けて管理します。

参考：政府広報オンライン｜「個人情報保護法」を分かりやすく解説。個人情報の取扱いルールとは？

事業者が守る基本ルール

個人情報を取得するときは、利用目的をできる限り特定し、本人へ通知または公表します。取得後は目的の範囲内で利用し、漏えい、滅失、毀損を防ぐために必要かつ適切な安全管理措置を講じなければなりません。従業者への監督と委託先への監督も必要です。

個人データを第三者へ提供するときは、法令上の例外に当たる場合を除き、あらかじめ本人の同意を得ます。外国にある第三者への提供、共同利用、委託、事業承継では扱いが異なるため、データの移転先と目的を先に整理してください。漏えい等が発生し、個人の権利利益を害するおそれが大きい場合は、個人情報保護委員会への報告と本人への通知が必要です。

参考：e-Gov法令検索｜個人情報の保護に関する法律

参考：個人情報保護委員会｜個人情報保護法等

2026年改正で企業実務に影響する点

個人情報の保護に関する法律等の一部を改正する法律は、2026年7月10日に成立し、同月17日に公布されました。改正法は、一部を除き、公布日から2年以内の政令で定める日に施行されます。

改正には、統計情報の作成を目的とするデータ利用の特例、16歳未満の子どもの個人情報に関する規律、顔特徴データ等の生体情報に関する規律、委託先の取扱い、漏えい時の本人通知、課徴金制度、勧告・命令や罰則の見直しなどが含まれます。政令、委員会規則、ガイドラインの整備が続いているため、現時点で未確定の実務要件を推測して規程へ書き込むのは避け、個人情報保護委員会の公表内容を追って準備を進めます。

参考：個人情報保護委員会｜令和8年改正個人情報保護法について

企業が進める管理体制の見直し

最初に、どの部署がどの個人情報を取得し、どこへ保存し、誰と共有し、いつ削除するのかを一覧にします。プライバシーポリシーだけを直しても、現場の申込画面、同意文言、アクセス権限、委託契約が古いままでは事故を防げません。

委託先との契約では、利用目的外の取扱いの禁止、再委託、事故時の報告、監査、返却・削除を定めます。子ども向けサービスや顔認証を扱う事業者は、同意取得の相手、周知事項、利用停止請求への対応を優先して確認してください。漏えい時に迷わないよう、事実確認、影響範囲の特定、委員会への報告、本人通知を担当する部署も決めておきます。

参考：個人情報保護委員会｜令和8年改正個人情報保護法について