2026/08/10 解決事例・コラム
個人情報ビジネスのリーガルチェック｜スタートアップ・中小企業が押さえる8つのポイント
個人情報ビジネスのリーガルチェック｜スタートアップ・中小企業が押さえる
8つのポイント
個人情報を扱うビジネスを新たに立ち上げる際、個人情報保護法上の義務を正しく把握しておくことは経営上の必須事項です。法的な対応が遅れると、行政指導・勧告・命令、さらには公表・刑事罰のリスクにもつながります。この記事では、スタートアップ・中小企業の経営者が新規ビジネス立ち上げ前に確認すべきリーガルチェックポイントを8つに整理して解説します。
１ 個人情報取扱事業者への該当確認
まず確認すべきは、自社が個人情報保護法上の「個人情報取扱事業者」に該当するかどうかです。2017年施行の改正法により、それ以前にあった「5,000件以下の小規模取扱事業者は適用除外」というルールは廃止されました。現在は、個人情報データベース等（氏名・メールアドレスなどを含むデータベース）を事業の用に供していれば、件数にかかわらずすべての事業者が適用対象です。
顧客管理表・メール配信リスト・問い合わせフォームの受信データなど、ごく一般的な業務用データを保有しているだけで該当します。「まだ顧客が少ないから関係ない」という判断は誤りです。ビジネス立ち上げの初期段階から法律の適用を前提に体制を整えてください。
チェックポイント①
- 顧客・取引先・従業員の個人情報を電子的に管理しているか確認する
- 「件数が少ない」「紙のみ」という理由で適用除外を期待しない
- 適用対象と判断したら、社内で個人情報管理責任者を決める
２ プライバシーポリシーの整備
個人情報保護法は「プライバシーポリシーを作成すること」を直接の義務とはしていませんが、法が定める各種義務（利用目的の公表・苦情処理窓口の設置等）を果たすための最も合理的な手段として、ウェブサイトへのプライバシーポリシー掲載は実務上の標準となっています。
また、投資家・取引先・行政機関からもプライバシーポリシーの整備状況を確認されるケースが増えています。新規事業の立ち上げと同時に整備しておくことが求められます。
プライバシーポリシーに記載すべき主な事項
取得する個人情報の種類
氏名・住所・メールアドレス・決済情報など、実際に取得する情報を具体的に列挙します。
利用目的
サービス提供・契約履行・マーケティング・法令遵守など、利用目的ごとに明記します。
第三者提供・共同利用の有無
提供先・提供項目・提供目的を明示します。共同利用の場合は管理責任者も記載します。
開示・訂正・削除等の請求方法
本人からの権利行使に対応するための窓口・手続きを明記します。なお、令和2年改正により、本人は「電磁的記録の提供」（データのダウンロード等）による開示も請求できます（法33条1項）。システム対応とあわせて確認してください。
Cookieおよびトラッキング技術の利用
広告・アクセス解析目的のCookieを使用する場合は、別途記載が必要です。また、Cookie等の識別子情報が第三者保有データと照合され個人データとなる場合には、「個人関連情報」の第三者提供規制（法31条）が適用される可能性があります。利用形態に応じて、同意取得の要否を専門家と確認してください。
３ 利用目的の特定・明示
個人情報保護法21条は、個人情報を取得する際に利用目的を特定し、本人に通知または公表することを義務付けています。「サービス向上のため」のような漠然とした記載では法の要件を満たしません。
利用目的の特定が重要な理由は、後から目的を変更する場合には原則として本人の同意が必要になるからです。そのため、将来的に合理的に想定される利用範囲を踏まえつつ、実態に即して具体的に利用目的を設定することが重要です。ただし、実態と乖離した過度に広い目的の設定は、本人の信頼を損なうだけでなく、法17条1項の「できる限り特定」という要件にも反するおそれがあります。必要な範囲で、かつ具体的に設定することを心がけてください。
目的は「何のために使うか」が本人に伝わる具体性が必要です。
「サービス提供その他の目的のため」
「会員向けメールマガジンの配信」「ご注文商品の発送・代金請求」
特定した利用目的の範囲を超えて個人情報を利用するには原則として本人同意が必要です。
問い合わせ対応で取得したメールを別サービスの営業に流用する
当初から「グループ会社のサービス案内を含む」旨を目的に明示し同意を取得する
４ 第三者提供の同意取得
個人データを第三者に提供するには、原則として本人の事前同意が必要です（法27条）。ビジネスモデル上、広告代理店・提携パートナー・グループ会社などに顧客データを提供する場合は、この点を立ち上げ段階から設計に組み込んでおく必要があります。
第三者提供に該当しないケース（法的な例外）
以下のケースは第三者提供の同意が不要ですが、それぞれ要件があります。
| 類型 | 内容 | 主な要件 |
|---|---|---|
| 委託 | 業務委託先への提供（クラウド・DM発送等） | 委託先への適切な監督義務あり |
| 事業承継 | M&A・合併等に伴う提供 | 承継の範囲内であること |
| 共同利用 | グループ会社等との共同利用 | 事前に公表・利用者への通知が必要 |
| オプトアウト本人があらかじめ拒否（停止）の意思表示をしない限り、個人データを第三者に提供できる仕組みです。 | 本人が拒否しない限り提供可能とする仕組み | 個人情報保護委員会への届出・公表が必要。要配慮個人情報・不正取得データは不可。オプトアウトで受け取ったデータを再びオプトアウトで提供することも禁止（転オプトアウト禁止、法27条3項） |
５ 安全管理措置と委託先管理
個人データの漏えい・滅失・毀損を防ぐため、事業者は必要かつ適切な安全管理措置を講じるとともに、従業者・委託先に対する必要かつ適切な監督を行わなければなりません（法23条〜25条）。具体的な措置内容は個人情報保護委員会のガイドライン（通則編）に詳細が示されています。
安全管理措置の4分類
組織的安全管理措置
管理責任者の設置・取扱規程の整備・漏えい時の対応手順の策定など。
人的安全管理措置
従業員への教育・研修の実施、秘密保持義務を含む就業規則・誓約書の整備。
物理的安全管理措置
個人情報を保管するサーバ室・書類保管庫へのアクセス制限、持ち出し禁止ルールの設定。
技術的安全管理措置
アクセス制御・ログ管理・暗号化・不正アクセス対策ソフトの導入など。
委託先管理のポイント
業務を外部委託する際は、委託先が適切な安全管理措置を講じているか確認し、委託契約書に個人情報の取扱いに関する条項を盛り込む必要があります。委託先の選定基準・定期的な監査・再委託の承認フローを社内手続きとして整備しておきましょう。
６ 開示請求等への対応体制
個人情報保護法は、本人に対して保有個人データの開示・訂正・追加・削除・利用停止・消去・第三者提供の停止を請求する権利を認めています（法32条〜39条）。2022年施行の改正法（令和2年改正）により、本人の権利は大幅に拡充されました。
具体的には、不正取得・目的外利用の場合に限定されていた利用停止・消去請求の要件が緩和され、「事業者が個人情報を利用する必要がなくなった場合」「重大な権利侵害のおそれがある場合」にも本人から請求できるようになっています。また、本人が開示方法として「電磁的記録の提供」（データのダウンロード等）を請求できる権利も新設されています（法33条1項）。システム対応が必要になるケースもあるため、体制整備の際に合わせて確認してください。
対応体制として整備すべき事項
- 本人からの請求を受け付ける窓口（メール・フォーム・書面）の設置
- 本人確認の方法と手順の文書化
- 請求への応答期限の社内基準設定（法令上は「遅滞なく」対応することが求められます。実務上は2週間程度を目安とする例が多いですが、法定期限ではありません）
- 電磁的記録による開示請求への対応フロー・システム整備（法33条1項）
- 対応記録の保存
- 拒否できる例外要件（法34条〜38条）の社内確認フロー
７ 越境データ移転・外国事業者との連携
クラウドサービス・SaaSの利用や外国法人との業務提携により、個人データが外国に移転するケースは増えています。個人情報保護法28条は、外国にある第三者への個人データ提供に対して一定の規制を設けています。
外国への第三者提供が認められる場合
以下のいずれかに該当する場合に限り、外国への個人データ提供が認められます。
| 類型 | 要件の概要 |
|---|---|
| 本人の同意 | 移転先国名・当該国の個人情報保護制度の状況・移転先の措置について本人に情報提供した上での同意 |
| 基準適合国への移転 | 個人情報保護委員会が指定した「基準適合国」への移転。指定状況は変更されることがあるため、個人情報保護委員会の公式ページで最新情報をご確認ください。 |
| 基準適合体制の整備 | 移転先との間で個人情報の適切な取扱いを確保するための契約等を締結している場合 |
AWSやGoogle Cloud等のクラウドサービスを利用している場合、データの実際の保存場所・処理場所が外国になるケースがあります。ただし、移転規制の適用有無は、委託か第三者提供かの区分やクラウドの利用形態（容易照合不能性の有無等）によって異なるため、利用形態によっては外国にある第三者への提供規制の検討が必要になる場合があります。利用するクラウドサービスのデータ処理地域を確認し、必要に応じて専門家への相談をお勧めします。
８ 個人情報保護委員会への報告義務
2022年施行の改正法により、個人データの漏えい等が発生した場合の個人情報保護委員会への報告・本人通知が義務化されました（法26条）。一定規模以上の漏えい等については報告が必要です。
報告義務が生じる漏えい等の類型
要配慮個人情報が含まれる漏えい等
病歴・障害・犯罪歴・健康診断結果など、不当な差別・偏見を生じさせるおそれのある情報が含まれる場合。
財産的被害が生じるおそれのある漏えい等
クレジットカード番号・口座情報等の漏えいで、不正使用・詐欺被害につながる可能性がある場合。
不正の目的による漏えい等
不正アクセス・内部不正など、不正な目的によって引き起こされた漏えいの場合。
1,000件超の漏えい等
漏えい・紛失・毀損した個人データの件数が1,000件を超える場合。
報告は、漏えい等を知った後「速やかに」行う速報と、その後の確報（原則30日以内、不正アクセス等は60日以内）の2段階で行います。インシデント発生時に速やかに動けるよう、社内対応フロー・連絡体制をあらかじめ整備しておくことが重要です。
立ち上げ前に整備すべき8つのチェック一覧
- 個人情報取扱事業者への該当確認・社内管理責任者の選定
- プライバシーポリシーの策定・ウェブサイトへの公表
- 利用目的の特定・取得時の通知または公表
- 第三者提供・共同利用がある場合の同意フロー設計
- 安全管理措置（法23条〜25条）の実施・委託契約への個人情報条項の盛り込み
- 開示請求等への対応窓口・手順の設置（電磁的記録による開示請求への対応含む）
- 越境データ移転がある場合の同意・契約整備
- 漏えい等発生時の社内対応フローの策定
９ よくある質問（FAQ）
個人情報取扱事業者に該当するかどうかは、どう判断すればよいですか？
個人情報保護法上の「個人情報取扱事業者」は、個人情報データベース等を事業の用に供しているすべての事業者が対象です。以前あった「5,000件以下は適用外」という小規模取扱事業者の除外規定は2017年の法改正で廃止されました。顧客の氏名・メールアドレスをデータベースで管理しているだけでも該当しますので、ほぼすべての事業者が対象と考えてください。
プライバシーポリシーは必ず公表しなければなりませんか？
個人情報保護法は、プライバシーポリシーの作成・公表を直接義務付けてはいませんが、利用目的の公表（法21条）・安全管理措置の実施（法23条）・苦情処理体制の整備（法40条）などの義務を果たすために、プライバシーポリシーをウェブサイトに掲載するのが実務上の標準です。また、個人情報保護委員会のガイドラインや取引先・投資家からも公表が求められるため、事実上不可欠です。
第三者提供の「同意」は、どのような方法で取得すれば有効ですか？
本人の同意は、口頭・書面・電子的方法いずれでも可能ですが、後日証明できる形で取得することが重要です。ウェブサービスであれば、第三者提供の内容を明示したチェックボックスへの同意が一般的です。利用規約・プライバシーポリシーへの包括的同意のみでは、第三者提供に関する本人の認識が十分でないとして問題となる可能性があります。第三者提供先・提供情報・提供目的を具体的に示した上で同意を得るようにしてください。
個人データを外部の業者に委託する場合、何か手続きが必要ですか？
委託の場合、第三者提供の同意は不要ですが、委託先に対して「必要かつ適切な監督」を行う義務があります（法25条）。具体的には、委託先の選定基準の設定、委託契約への安全管理条項の盛り込み、定期的な状況確認が必要です。委託先が再委託する場合は、あらかじめ承認を得る条項も入れておくことを推奨します。
まとめ
個人情報を扱うビジネスを立ち上げる際には、①事業者該当確認、②プライバシーポリシー整備、③利用目的の特定・明示、④第三者提供の同意設計、⑤安全管理措置と委託先管理（法23条〜25条）、⑥開示請求への対応体制、⑦越境移転への対応、⑧漏えい等の報告体制という8つのポイントを、サービスリリース前に確認・整備することが求められます。個人情報保護法は2022年以降の改正で本人の権利が大幅に強化されており、かつての「とりあえずポリシーを貼っておけばよい」という対応にはリスクが伴います。弁護士への事前相談を活用し、コンプライアンス体制を早期に整えましょう。
個人情報ビジネスのリーガルチェックはご相談ください
プライバシーポリシーの策定・第三者提供設計・委託契約書のチェックなど、個人情報保護法への対応は弁護士にお任せください。スタートアップ・中小企業の方のご相談を承っております。
