個人情報取扱事業者とは？中小企業・スタートアップも対象になるのか

第1話で個人情報保護法の全体像を、第2話で「個人情報」「個人データ」などの基本用語を押さえました。第3話のテーマは、その手前にある入口の論点——「そもそも自社が個人情報保護法の対象（個人情報取扱事業者）になるのか」です。全体像を振り返りたい方は、第1話：個人情報保護法とは？もあわせてご覧ください。

まず結論｜中小企業・スタートアップ・個人事業主も対象になり得る

先に結論をお伝えします。会社の規模が小さいことだけを理由に、個人情報保護法の対象外になるわけではありません。顧客管理表、問い合わせフォーム、採用応募者リスト、従業員名簿、メール配信リスト、会員データベースなどを事業のなかで使っている場合、その会社は「個人情報取扱事業者」に該当し得ます。

次のような状況に一つでも当てはまる場合は、個人情報保護法への対応を意識しておく必要があります。

もっとも、個人情報を一時的に・未整理のまま持っているだけで、直ちにすべての義務が問題になるわけではありません。一方で、件数が少なくても、個人情報を検索・一覧できる形に整理し、事業のために使っていれば、個人情報取扱事業者に該当し得ます。ポイントは、個人情報を「個人情報データベース等」として事業に使っているかという視点です。次の章から、その意味を順に見ていきます。

個人情報取扱事業者とは何か

個人情報取扱事業者とは、ごく簡単に言えば、「個人情報データベース等を事業の用に供している者」のことです（個人情報保護法第16条第2項）。法人だけでなく、個人事業主や任意団体（権利能力なき社団）も含まれ得ます。なお、国の機関、地方公共団体、独立行政法人等、地方独立行政法人は、この「個人情報取扱事業者」からは除かれ、別の規律に服します。

ここで重要なのが、「個人情報を持っていること」と「個人情報データベース等を事業に使っていること」は別の話だという点です。たまたま名刺を1枚もらった、というだけでは判断できません。問題になるのは、個人情報を検索・一覧できるよう体系的に整理し、それを事業活動のなかで使っている状態です。

以下に、個人情報取扱事業者に当たるかどうかを考えるときの判断ポイントを整理します。

個人情報データベース等とは｜ExcelでもCRMでも該当し得る

個人情報取扱事業者の判断のカギになるのが、「個人情報データベース等とは」何か、という点です。個人情報データベース等とは、特定の個人情報をコンピュータで検索できるよう体系的に構成したもの、または紙の名簿のように容易に検索できるよう整理したものをいいます（個人情報保護法第16条第1項）。

つまり、専用システムでなくても該当し得ます。次のようなものは、いずれも個人情報データベース等に当たり得る典型例です。

• Excel・スプレッドシートの顧客リスト
• CRM（顧客管理システム）、会員管理システム
• SaaS上の会員情報・利用者情報
• 採用管理システム（ATS）の応募者一覧
• 従業員名簿、人事システム
• メール配信ツールの配信先リスト

注意したいのは、紙のファイルでも、五十音順やインデックスで検索できるよう体系的に整理されていれば、個人情報データベース等に当たり得るという点です。「デジタルじゃないから関係ない」とは言い切れません。

判断が難しいケースもあります。たとえば、未整理の紙束が実態としては検索可能に使われている場合などです。最終的には情報の管理実態に応じて個別に確認が必要ですが、「整理して事業に使い始めたら該当を意識する」と捉えておくと実務上は安全です。

もっとも、文書ファイルのなかに氏名が含まれ、ソフトの検索機能で検索できるというだけで、常に個人情報データベース等に当たるわけではありません。特定の個人情報を検索できるよう体系的に構成されているかを、管理実態に即して確認する必要があります。

「事業の用に供している」とはどう考えるか

個人情報取扱事業者の要件には、「事業の用に供している」という条件が含まれます。これは難しく考える必要はなく、事業活動のなかで個人情報データベース等を使っている状態を指すと理解すれば十分です。営利企業に限られるわけではありません。

具体的には、次のような場面が「事業の用に供している」に当たり得ます。

• 営業活動（顧客リスト・見込み客管理）
• 採用活動（応募者情報の管理）
• 人事労務（従業員名簿・人事情報）
• 問い合わせ対応（フォームからの個人情報取得）
• 会員管理・EC（注文者・会員データの管理）
• SaaS提供（利用者アカウント情報の管理）
• セミナー運営・メルマガ配信（参加者・配信先リスト）

また、株式会社などの営利法人に限らず、個人事業主、副業として事業を営む個人、NPO、任意団体などであっても、事業活動として個人情報データベース等を利用している場合は、個人情報取扱事業者に該当し得ます。「法人ではないから関係ない」「非営利だから関係ない」とは一概に言えません。

「5,000件以下なら対象外」という古い理解に注意

中小企業・スタートアップの担当者が特に気をつけたいのが、過去の制度の知識のまま判断してしまうことです。

かつては、取り扱う個人情報の件数が一定数（いわゆる「5,000件要件」）を超えない小規模事業者は、個人情報取扱事業者から除外されていました。しかし、この5,000件要件は2017年5月30日に施行された改正によって撤廃されています。その結果、現在は、件数が少ないことだけを理由に当然に対象外となる、という理解はできません。

なお、対象になったからといって、すべての情報・すべての行為が同じ重さで一律に規制されるわけではありません。扱う情報の性質や量、リスクに応じて、実務上求められる対応の程度は変わります。ただし、扱う件数がたとえ少なくても、不正アクセスや要配慮個人情報の漏えいなど一定の事態が生じた場合には、個人情報保護委員会への報告と本人への通知が法律上義務づけられる点には注意が必要です（漏えい等報告。詳細は第10話：漏えい等が起きたときの初動対応・速報・確報の報告義務で扱います）。まずは「対象になり得る」と認識したうえで、自社の状況に合った範囲で整理を進めることが現実的です。

中小企業・スタートアップでよくある対象場面

ここでは、中小企業やスタートアップで実際によく見られる、個人情報取扱事業者性の確認が必要になる場面を整理します。どれも特別なことではなく、日常業務のなかにあるものばかりです。

このように、「自社は個人情報取扱事業者ではない」と言い切れる中小企業・スタートアップは、実際にはほとんどありません。まずは該当し得る前提で、自社の情報管理を確認することが出発点になります。

個人情報取扱事業者に該当し得る場合、最初に確認すべきこと

自社が個人情報取扱事業者に該当し得るとわかったら、次は何を確認すればよいのでしょうか。企業法務担当者が最初に押さえたい確認項目を、関連する後続記事・担当部署とあわせて整理します。

外部にデータを渡す場合（第三者提供・委託・共同利用）は、特に判断を誤りやすい論点です。実務上の結論は個人情報はどこまで共有できるか、契約条項のチェック観点は個人情報と契約条項で整理しています。

法務担当者が事業部門に確認すべき質問

事業部門から「この施策で個人情報保護法の対応は必要ですか」と相談を受けたとき、いきなり結論を出そうとすると判断を誤りがちです。まずは「誰が、何の目的で、どの個人情報データベースを使うのか」を、次のような質問で確認しましょう。

これらの質問は、事業部門を問い詰めるためのものではありません。論点の抜けを防ぎ、必要な対応を一緒に整理するための共通言語として使うと、スムーズに連携できます。

よくある誤解と正しい理解

個人情報取扱事業者性をめぐっては、中小企業・スタートアップでよく見られる誤解があります。代表的なものを整理します。

企業法務としての実務対応ステップ

自社が個人情報取扱事業者に該当し得るとわかったら、初心者でも進めやすいよう、次の順番で対応を整理していきましょう。一度にすべてを完璧にする必要はありません。まずは棚卸しから始めるのが基本です。

1. 個人情報データベース等の棚卸し：どこに、どんな個人情報があるかを洗い出す
2. 利用目的の整理：それぞれを何の目的で使っているか書き出す
3. 取得経路の確認：どこから取得しているか（フォーム・名刺・採用等）を確認する
4. 外部提供・委託先の確認：誰に渡しているか、どこに預けているかを整理する
5. 管理ルール・アクセス権限の確認：誰がアクセスできるか、持ち出しルールを点検する
6. プライバシーポリシー・社内規程との整合確認：記載と運用が一致しているか確認する
7. 漏えい時の初動連絡ルートの確認：第一報の連絡先と判断者を決める
8. 定期的な見直し：担当者と頻度を決めて継続的に点検する

なお、個人情報保護法は「3年ごと見直し」により制度改正の動きが続いています（詳細は個人情報保護法の3年ごと見直しと企業の準備を参照）。⑧の定期的な見直しでは、最新の制度動向も確認するようにしましょう。

このシリーズでの次の学び方

自社が個人情報取扱事業者に該当し得ると確認できたら、次は個人情報を取得・利用するときの基本ルールに進みます。第4話では「利用目的の特定・通知・公表」を扱います。プライバシーポリシーを作る前に押さえておくべき土台の論点です。第5話以降では、取得時の注意点、目的外利用、外部提供、安全管理措置、漏えい対応へと進みます。

まとめ｜個人情報取扱事業者は大企業だけの問題ではない

個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者のことであり、会社の規模や知名度で対象が決まるわけではありません。顧客リスト、問い合わせフォーム、採用応募者情報、従業員名簿などを事業で使っている中小企業・スタートアップ・個人事業主は、いずれも該当し得ます。「件数が少ないから」「Excelだから」「中小企業だから」という理由で、当然に対象外と判断することはできません。