新規事業のデータ利用と個人情報保護｜設計段階で確認すべきこと

新サービスの開発がほぼ完了し、公開直前に法務へプライバシーポリシーの作成を依頼する。顧客データをAI学習・レコメンド・広告へ使う予定だが利用目的は具体化されていない。取得するデータ項目や保存場所は一覧化されておらず、外部クラウド・分析ベンダー・広告事業者・海外開発会社がデータへアクセスする。利用規約に同意欄があるので「すべて同意を得た」と考え、グループ会社間の共有を「共同利用」と呼ぶが公表事項や管理責任者は決めていない——新規事業の現場でよくある状況です。

新規事業の個人情報保護は、公開直前にプライバシーポリシーを作ることではありません。取得するデータ、利用目的、処理方法、委託・提供先、保存期間、安全管理、本人対応、終了時の削除までを設計段階で可視化し、必要な同意・表示・契約・システム要件・運用体制を組み込む作業です。本記事は、その確認手順を整理します（業務提携契約は第6話、利用規約は第10話で扱います）。

本記事のGO・条件付きGO・HOLD・NO-GOは、社内検討を整理するための区分であり、法令上の正式な分類ではありません。

新規事業の個人情報保護は「データフローの可視化」から始める

最初にプライバシーポリシーを書くのではなく、実際のデータの流れ（誰から・何を・どの経路で取得し、どの目的で・どこに保存し・誰が利用し・どこへ渡し・いつ削除するか）を整理します。個人情報とプライバシーは同一の概念ではなく、個人情報保護法に違反しなくてもプライバシー上の問題が生じる場合があり、逆に個人情報に当たるから利用が一切禁止されるわけでもありません。法令遵守に加え、本人の合理的な期待・説明の分かりやすさ・利用による不利益も検討します。

次は自社で記入するデータフローマップです。事業部が把握していないSDK・アクセス解析・クラウドログによる取得や委託先の再委託も確認し、フローが変われば法的評価を更新します。将来使うかもという理由だけで過剰に取得せず、取得の必要性（最小化）も確認します。

ステップ1　取得するデータを棚卸しして法的区分を確認する

同じデータでも、保有する他情報・管理方法・提供先等によって法的区分が変わり得ます。まず項目を棚卸しし、法的区分と、漏えい・誤判定・差別・監視感などのプライバシーリスクを評価します。必要性の低い高リスク情報は取得しない設計も検討し、必須情報と任意情報を分けます。

表は概要であり、具体的な該当性・義務は法令・ガイドラインに基づいて確認します。

ステップ2　利用目的を具体的に決める

個人情報を取り扱うにあたっては、利用目的をできる限り特定する必要があります。個人情報保護委員会の通則編では、「事業活動」「お客様のサービスの向上」等の抽象的・一般的な記載だけでは特定したことにならないとされています。アカウント登録・本人確認・提供・請求・分析・改善・レコメンド・広告配信・AI学習・第三者提供等の単位で整理します。

ステップ3　適正な取得方法と本人への説明を設計する

偽りその他不正の手段で個人情報を取得してはならず、本人が認識しにくいデータ取得が行われないか確認します。アプリ権限の取得と、個人情報保護法上必要な説明・同意は別です。本人から書面等で直接取得する場合の利用目的明示、本人以外から取得する場合の通知・公表、要配慮個人情報の取得に必要な本人同意を確認します。公開情報・SNS・名簿等でも取得方法・利用目的・規約・他法令を、第三者から受領するデータは取得経緯・本人同意・提供記録を確認します。

ステップ4　同意が必要な場面と通知・公表で足りる場面を区別する

「個人情報の利用にはすべて本人同意が必要」でも「プライバシーポリシーを公表すればすべて同意不要」でもありません。要配慮個人情報の取得、個人データの第三者提供、外国にある第三者への提供、提供先が個人データとして取得する個人関連情報の提供などは原則として本人同意等が問題となり、委託・共同利用・事業承継・法令に基づく場合等の例外があります。

ステップ5　ポリシー・取得画面・システムを一致させる

プライバシーポリシーだけが正しくても、実際の取得データ・利用目的・SDKやCookie・保存場所・委託先・提供先・共同利用者・海外移転・保存期間・開示窓口・同意画面・アプリ権限・社内アクセス権限・削除処理が一致していなければ問題が残ります。

ステップ6　委託・第三者提供・共同利用を区別する

契約名称ではなく「誰が何の目的でデータを利用するか」で区別します。委託は自社の利用目的の達成に必要な範囲で取扱いを委ねるもので、委託に伴う提供は第三者提供に当たらず、委託元に必要かつ適切な監督が求められます（委託先が指示の範囲を超えて独自利用する場合や、自社データと本人単位で突合する場合は通常の委託の範囲を超え得ます）。第三者提供は自社以外の者が個人データを利用可能な状態に置くことで、物理的移転がなくてもアクセス権付与で提供となる場合があり、原則として本人同意が必要です。共同利用は、共同利用する旨、共同利用される個人データの項目、共同利用する者の範囲、共同利用する者の利用目的、個人データの管理について責任を有する者の氏名または名称・住所（法人の場合は代表者の氏名）を、あらかじめ本人に通知し、または本人が容易に知り得る状態に置くことで第三者に該当しないものとして扱う制度です。次は判断フローです。

ステップ7　Cookie・広告ID・閲覧履歴等の取扱いを確認する

Cookie・広告ID・端末識別子・IPアドレス・閲覧履歴・位置情報等は、すべてが常に個人情報である、または常に個人情報ではない、と断定しません。自社が保有する他情報との容易照合性、提供先での個人データ化、発行者・取得者・送信先（国内/外国）、自社目的か広告・分析事業者の独自目的かを確認します。

ステップ8　クラウド利用と外国へのデータ移転を確認する

クラウドを利用するだけで常に第三者提供・委託になるわけではありません。個人情報保護委員会のQ&Aでは、契約条項と適切なアクセス制御により、クラウド事業者が保存された個人データを取り扱わないこととなっている場合には、個人データの提供に当たらず委託先監督の対象とならないことがあるとされています。ただし契約に書くだけで決まるわけではなく、実際のアクセス権・保守運用・ログ・サポートを確認し、委託先監督の対象外でも安全管理措置としての安全性確認は必要です。

ステップ9　安全管理措置と委託先管理を設計する

個人データの漏えい・滅失・毀損の防止その他の安全管理のため、必要かつ適切な措置を講じます。これはシステム部門だけの問題ではなく、組織的・人的・物理的・技術的措置と外的環境の把握を含みます（責任者と規程、教育と権限管理、媒体・入退室管理、アクセス制御・最小権限・ログ・暗号化・脆弱性管理・バックアップ・環境分離、外国で取り扱う場合の制度把握など）。同一の措置でよいわけではなく、事業規模・データの性質・件数・漏えい時の影響に応じて決めます。

ステップ10　AI分析・プロファイリングをPIAで評価する

AI・スコアリング・レコメンド等に個人情報等を利用する場合、利用目的の範囲内なら無条件に問題がないとは言えません。入力データが当初の利用目的に含まれるか、AI学習や外部AI事業者の独自学習へ利用されるか、契約・採用・融資・保険・医療等の重要判断に使うか、誤判定・偏り・差別の可能性、本人による訂正・異議申立てや人による確認の有無、入力・出力・判断履歴の記録、海外移転の有無を確認します。

プライバシー・バイ・デザインは、完成後に対策を追加するのではなく企画・設計段階から権利利益を守る仕組みを組み込む考え方です。PIA（個人情報保護評価）は、個人情報等の収集を伴う事業の開始・変更時にプライバシー等への影響を事前評価しリスクを低減する手法で、現行法上すべての民間事業者・新規事業へ一律に義務付けられた制度ではなく、実施すれば適法性や事故防止が保証されるわけでもありません（特定個人情報保護評価とは区別します）。要配慮情報・子ども・生体認証・常時位置情報・大規模行動履歴・AIや重要な自動判断・広範な第三者提供・外国移転等の高リスク処理で有効です。次はその基本フローです。

ステップ11　本人対応と漏えい等の初動を準備する

開始前に、保有個人データに関する公表事項、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止、第三者提供記録の開示等の請求へ対応できる窓口・手順・本人確認・回答期限・記録を整えます。「削除してほしい」と言われればすべて直ちに削除義務が生じるわけではなく、法令上保存が必要な情報・紛争対応に必要な情報は区別しつつ、法定請求に当たらなくてもサービス方針・契約・本人の期待を踏まえた対応を検討します。本人対応ができないシステム設計を後から手作業で補う前提にせず、データの所在・複製・バックアップ・委託先保有分やAIモデル・ログの取扱いを事前に整理します。

ステップ12　保存期間・削除・サービス終了時の処理を決める

取得時だけでなく、いつまで保存し、いつ・どのように削除するかを設計段階で決めます。保存期間は利用目的・契約期間・法令上の保存義務・紛争対応・本人の期待・漏えい時の影響等で判断します。個人情報保護法第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定めています（努力義務）。ただし、すべてのデータに一律の保存期間や即時削除義務が定められているわけではなく、法令上の保存義務その他の合理的保存理由を区別し、必要がなくなった個人データを漫然と保存しません。削除・論理削除・利用停止・アクセス制限・アーカイブ・匿名化を区別し、バックアップ・委託先・共同利用先でも削除されるか確認します。

具体例で見る新規事業のデータ利用設計

取得データの列挙でなく、誰がどの目的で利用するかを確認します。位置情報・顔認証は必要性と代替手段を、SDK・広告事業者は個人関連情報・第三者提供・外部送信を分けて確認し、外国クラウドは所在国でなく取扱主体・アクセス権・再委託を、AI推薦と不利益を与え得るスコアリングはリスクを分けて評価します。グループ会社でも自由に共有できず、退会・終了時の削除をシステム要件へ組み込み、未確定事項が多い段階で安易にGOとしないことが重要です（GO等は社内整理用の区分です）。

新規事業のデータ利用でよくある失敗

経営者へ提出するデータ利用サマリー

経営者が必要とするのは長い解説ではなく判断材料です。何のデータをなぜ取得するか、本人の利益・不利益、高リスク処理や外部利用・外国移転の有無、安全管理、システム改修費、同意取得による利用率や開始時期への影響、漏えい時の最大影響、未確定事項・残存リスク、経営者が判断すべき事項を整理します。

新規事業のデータ利用・個人情報保護チェックリスト

まとめ

• 個人情報保護は、プライバシーポリシー作成だけではなく、データフロー・利用目的・外部共有・保存削除の設計である
• 個人情報・個人データ・個人関連情報等を区別し、同意・通知公表・委託・第三者提供・共同利用を混同しない
• Cookie・クラウド・外国移転は、技術名称や所在国だけでなく実態を確認する
• 安全管理・委託先監督をシステムと運用へ組み込み、AI・高リスク処理はPIA等で影響を評価する
• 本人対応・漏えい対応・終了時処理を開始前に準備し、法改正・仕様変更時に再評価する

新規事業の個人情報保護は、データ活用を止めるための作業ではありません。何を、なぜ、誰と、どのような安全管理の下で利用するかを明確にし、本人の信頼を損なわずに事業を継続できる形へ整える作業です。次回の第10話では、契約書・利用規約の作り方を扱います。

よくある質問（FAQ）

本記事は、2026年6月時点の公開情報に基づく一般的な情報提供であり、個別の事案に対する法的助言ではありません。日本法を前提としており、海外サービス・海外利用者については対象国法の確認が別途必要です。記載は現行法を前提とし、いわゆる3年ごと見直しに基づく2026年改正法案（2026年5月26日に衆議院可決、同年6月時点で参議院審議中・未成立）の内容は現在の義務ではありません。成立・公布・施行の状況や政令・規則・ガイドラインの整備は変動するため、最新の個人情報保護委員会等の公式情報を確認してください。個人情報・個人データ・個人関連情報・要配慮個人情報・仮名加工情報・匿名加工情報の該当性、同意の要否、委託・第三者提供・共同利用・外国移転の整理、漏えい等報告の要否・期限、PIAの要否等は、対象・事実関係・契約・システム・各国制度によって異なります。PIA等は望ましい取組であり、すべてが法定義務とは限りません。GO・条件付きGO・HOLD・NO-GOは本シリーズの社内整理用の区分で、法令上の正式な分類ではありません。記事中の具体例は前提事実が未確定の暫定的な整理です。実際の判断にあたっては、最新の法令・規則・ガイドラインを確認し、弁護士・個人情報保護担当者等にご相談ください。