個人情報保護法の改正と中小企業の対応

「個人情報保護法は大企業のための法律で、うちのような中小企業には関係ない」——これは、今では大きな誤解です。法改正により、原則としてすべての事業者が個人情報の適切な取り扱いを求められ、漏えい時の対応も厳格化されています。このページでは、改正の要点と、中小企業が今すべき対応を、専門用語をかみくだいて解説します。

そもそも個人情報保護法とは

個人情報保護法は、氏名・住所・連絡先・顧客データなど「特定の個人を識別できる情報」を事業で取り扱う際のルールを定めた法律です。情報を何の目的で使うのかを明らかにすること、安全に管理すること、本人の同意なく目的外に使わないこと、第三者へ渡す際のルールを守ることなどが求められます。顧客名簿や従業員情報を持っているだけで、ほとんどの事業者がこの法律の対象になります。

近年の改正で何が変わったのか

個人情報保護法は社会の変化に合わせて見直されており、近年の改正では、企業に求められる責任が一段と重くなりました。中小企業に関係の深い主なポイントは次のとおりです。

• 漏えい等の報告・通知が義務化：一定の個人データ漏えい等が起きた場合、個人情報保護委員会への報告と、本人への通知が原則として義務づけられました。
• 本人の権利が強化：自分の情報の開示・利用停止などを求める本人の権利が広がり、企業はこれに適切に応じる必要があります。
• 不適正な利用の禁止が明確化：違法・不当な目的での個人情報の利用が、はっきりと禁止されました。
• ペナルティの強化：違反に対する措置・罰則が強化され、対応を怠るリスクが大きくなりました。

中小企業も「対象外」ではない

かつては、取り扱う個人情報が少ない小規模事業者を適用除外とする考え方もありましたが、現在は取り扱う件数の多少にかかわらず、事業として個人情報を扱う以上は法の対象となります。「うちは小さいから大丈夫」という認識のままでいると、漏えいが起きたときの報告義務や、取引先からの管理体制の確認に対応できず、信用を大きく損なうおそれがあります。

今すぐ着手したい基本の対応

難しく考える必要はありません。まずは次の基本から着手することが、リスクを下げる確実な一歩になります。

• 自社がどんな個人情報を、どこに、何のために持っているかを洗い出す
• 情報の保管・利用・共有・廃棄のルールを決め、社内で共有する
• パスワード管理・アクセス制限など、基本的な安全管理を徹底する
• 万一漏えいが起きた場合の連絡・対応の手順を決めておく
• 従業員に対し、個人情報の取り扱いについて周知・教育する

これらは、特別な設備がなくても始められる取り組みです。とはいえ「何から手をつければよいか分からない」「自社のやり方で十分なのか不安」という声も多く、体系立てて整える際には専門会社の支援が役立ちます。

「対応している」を客観的に示す方法

法対応は、社内で取り組むだけでは「きちんと対応している」ことが取引先や顧客に伝わりにくいという課題があります。そこで有効なのが、第三者認証の活用です。JAPHICマークのような認証を取得すれば、「個人情報を適切に扱う体制を整え、運用している会社」であることを、客観的な形で示せます。法改正への対応を、信頼獲得の機会に変えることができます。

JAPHICマークは、Pマーク（プライバシーマーク）に比べて低コストで取得しやすく、中小企業が法対応の体制を整える出発点として適しています。制度の概要は「JAPHICマークとは」、Pマークとの比較は「JAPHICマークとPマークの違い」で詳しく解説しています。