個人情報保護法とサイト運営者の義務（基本編）

「小さな会社だから対象外」ではない

個人情報保護法は、2017年5月30日の全面施行以降、保有する個人情報の件数にかかわらず、個人情報を取り扱うすべての事業者が対象になっています（それ以前は、取り扱う個人情報が一定件数以下の小規模な事業者には適用が除外されていました）。問い合わせフォームや会員登録、ネットショップの注文情報などでお客様の氏名・メールアドレスといった個人情報を集めているウェブサイトを運営している場合、会社の規模にかかわらず法律の対象になると考えてください。

個人情報保護委員会（PPC）が中小企業向けに公開している自己点検チェックリストでは、従業員数が100人以下の個人情報取扱事業者を「中小規模事業者」と位置づけ、安全管理措置の簡易な手法例を示しています（ただし、取り扱う個人データの件数が過去6か月のいずれかの日に5,000件を超える場合や、委託を受けて個人データを取り扱う場合は中小規模事業者に該当しません）。つまり、中小規模事業者であっても、安全管理などの基本的な義務そのものから除外されるわけではなく、対応方法の目安が示されているということです。

ウェブサイト運営者が意識すべき基本的な取り扱いルール

個人情報保護委員会は、事業者が個人情報を取り扱う場面ごとに詳細なガイドライン（通則編、第三者提供時の確認・記録義務編など）を公表しています。ウェブサイト運営の実務では、特に次の点を意識しておくとよいでしょう。

• 利用目的の特定・通知：問い合わせフォームや会員登録で個人情報を取得する際は、何のために使うか（例：問い合わせへの回答、商品の発送）を利用者に示す必要があります。
• 安全管理措置：取得した個人情報が漏えい・滅失・毀損しないよう、組織的・人的・物理的・技術的な対策を講じる必要があります。個人情報保護委員会は、社内ルールの参考資料として「個人データ取扱要領（例）」を公表しています。
• 第三者提供の制限：本人の同意なく、取得した個人情報を外部の第三者に渡すことは原則としてできません（外部の委託先にデータ処理を委託する場合の扱いは別に整理されています）。

漏えい時の報告義務（第26条）

個人情報保護委員会の案内によると、個人データの漏えい等（漏えい・滅失・毀損）が発生し、個人の権利利益を害するおそれが大きい場合には、委員会への報告と本人への通知が義務付けられています。報告が必要となる主なケースは次のとおりです。

• 要配慮個人情報（病歴、犯罪歴など）が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（クレジットカード番号や、決済機能のあるサービスのログインID・パスワードの組み合わせなど）
• 不正アクセスやランサムウェア、盗難など、不正の目的をもって行われたおそれがある漏えい等
• 1,000人を超える人数の個人データに係る漏えい等

報告には期限があり、委員会への報告は、漏えい等を知ってからおおむね3〜5日以内の速報と、30日以内（不正の目的によるものが疑われる場合は60日以内）の確報の2段階で行う必要があるとされています。あわせて、施行規則が定める事態に該当する場合は、本人への通知も必要です。

何をすべきか（まとめ）

1. 自社のウェブサイトがどのような個人情報を集めているか（問い合わせフォーム、会員登録、注文情報など）を洗い出す
2. 個人情報保護委員会の自己点検チェックリストを使い、安全管理の現状を確認する
3. 万が一の漏えいに備え、どこに・いつまでに報告すべきかをあらかじめ把握しておく
4. サイトの制作・管理会社が、どのような安全管理措置を取っているか確認する（教材「制作会社に確認すること」も参考にしてください）

参考にした公開情報

• 個人情報保護委員会：法令・ガイドライン等（中小企業向けお役立ちツールを含む）
• 個人情報保護委員会：漏えい等の対応（個人情報）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものであり、法律の専門的な解釈や個別の法律相談に代わるものではありません。正確な適用関係は、個人情報保護委員会の公式ガイドラインを直接確認するか、専門家にご相談ください。