個人情報保護法の中小企業実務——「うちは小さいから」は通用しない
2026-03-08
5秒でわかる結論
中小企業の個人情報保護法実務を解説。5,000件要件の2017年廃止、利用目的の特定・通知公表（17条・21条）、安全管理措置（23条）、第三者提供の原則同意（27条）と委託先監督（25条）、漏えい時の委員会報告（速報3〜5日・確報30日）＋本人通知の義務化（26条）、法人1億円以下の罰金まで。
5,000件要件は2017年に廃止され、1件でも個人データを持つ事業者はすべて個人情報取扱事業者です。
基本義務
- ①利用目的の特定と通知・公表（17条・21条）②安全管理措置（23条・中小規模事業者向けの緩和手法あり）③第三者提供の原則同意（27条）と委託先監督（25条）④開示等請求への対応（33条以下）⑤従業者の監督（24条）。
漏えい時の報告義務（2022年改正）
- 要配慮個人情報の漏えい・財産的被害のおそれ・不正目的のおそれ・1,000人超のいずれかに該当すれば、個人情報保護委員会への報告（速報3〜5日・確報30日以内〔不正目的は60日〕）と本人通知が義務です（26条）。隠蔽は制裁・信用毀損を拡大させる最悪手です。
特に注意
- 要配慮個人情報（病歴等）は取得自体に原則同意が必要です。命令違反には法人1億円以下の罰金（178条・184条）があり、漏えいの民事賠償は人数分の集団請求リスクがあります。
最低限のチェックリスト
- ①プライバシーポリシー②個人データの所在一覧③アクセス権限・パスワード管理④委託先契約の個人データ条項⑤漏えい時の対応手順⑥年1回の従業員研修。この6点が中小企業のコンプライアンスの底線です。
※ 本記事は一般的な法律情報であり、個別の案件に対する法的助言ではありません。実際の案件については必ず弁護士にご相談ください。本記事の内容は記事作成日（2026-03-08）時点の法令・判例に基づくものであり、その後の法改正等により変わることがあります。