• 更新日 : 2025年3月17日

個人情報取扱事業者とは？法的な定義や義務をわかりやすく解説

個人情報取扱事業者とは、事業のために個人情報を利用する事業者のことです。個人情報保護法の規定を遵守して個人情報を扱う義務を負います。違反した場合、罰則の対象になったり、社会的信用が失墜したりするリスクがあるため注意は必要です。

今回は、個人情報取扱事業者の定義や義務、個人情報管理時の注意点などをわかりやすく解説します。

契約業務スタートパック

個人情報の同意書やプライバシーポリシー、社内規程など会社・事業の立ち上げや契約業務の整理に役立つテンプレートをまとめました。自由にダウンロードしてご活用ください。

無料でダウンロードする

個人情報取扱事業者とは

2005年4月に個人情報保護法が施行され、個人情報取扱事業者が遵守すべき義務が定められました。

個人情報取扱事業者とは、事業のために個人情報を使用している事業者のことです。

これまでは、事業に使用する個人情報データベースに含まれる個人情報の数が5,000人以下である場合、個人情報取扱事業者には該当しないとされていました。しかし、2017年の個人情報保護法改正により、この除外規定は廃止されています。

そのため、個人情報を事業のために扱っている事業者であれば、基本的にはすべて個人情報取扱事業者に該当すると理解しておきましょう。

個人情報について詳しく知りたい方は、以下の記事を参考にしてください。

契約の基礎知識

個人情報とは何か？法律上の定義や取扱事業者の義務を解説

個人情報保護は企業の重大な責務の一つです。そもそも個人情報とは何なのでしょうか。今回は個人情報の法律上の定義や取扱事業者の義務についてわかりやすくご説明します。あらためて個人情報保護の重要性について考えてみましょう。個人情報とは何？では個人情報とはどのような情報を指すのか、その定義について見ていきましょう。これを知ることで、どのような情報を守らなければならないかということも理解できるようになります。個人情報の法律上の定義個人情報は「個人情報の保護に関する法律（個人情報保護法）」という法律によ...

個人情報取扱事業者の法的な定義

個人情報取扱事業者の定義は、個人情報保護法第16条によると「個人情報データベース等を事業の用に供している者」です。ただし、国の機関や地方公共団体、独立行政法人などは除きます。

ここでいう個人情報データベースとは、個人情報を含む情報の集合物であって、特定の個人情報を検索できるように体系的に構成されているものです。

また、個人情報とは特定の個人を識別できるもの、または個人識別符号が含まれるもののことを指します。たとえば、氏名や生年月日、顔写真、マイナンバーカード、DNAなどは個人情報に当たります。

参考：e-Gov法令検索 個人情報の保護に関する法律（平成十五年法律第五十七号）

個人情報取扱事業者に当てはまる具体的なケース

個人情報取扱事業者に該当する事業者の具体例は、以下のとおりです。

基本的に、顧客や取引先の個人情報を扱って事業を営んでいる場合は、個人情報取扱事業者に該当します。

ただし、以下の各機関・団体が各目的で個人情報を扱っている場合は、個人情報取扱事業者に該当するとしても、個人情報保護法に基づく義務が適用されません。

これらは、憲法上保障された自由に関わる活動であるためです。

個人情報取扱事業者に課せられた義務

個人情報取扱事業者には、個人の権利と利益を保護するため、個人情報の取り扱いに関する以下のような義務が課せられています。

ほかにも、さまざまな義務が定められています。

以下では、仮名加工情報、匿名加工情報、個人関連情報の取り扱いに関する義務について、詳しく見ていきましょう。

仮名加工情報の取り扱いに関する義務

仮名加工情報とは、個人識別符号や記録などを削除することで、ほかの情報と照合しない限り個人を識別できないよう加工された情報のことです。

仮名加工情報のみでは、個人は特定できません。しかし、個人情報取扱事業者は仮名加工情報を作成するもととなる情報を持っていると考えられることから、仮名加工情報は原則個人情報に該当します。

仮名加工情報の取り扱いについては、以下のような規定が設けられています。

匿名加工情報の取り扱いに関する義務

匿名加工情報とは、個人を識別できないように加工され、個人情報を復元できないようにしたものです。匿名加工情報は、個人情報保護法における個人情報そのものには該当しません。そのため、取り扱いに関しては比較的ゆるやかなルールが定められています。たとえば、本人の同意を得ずに第三者に提供することが可能です。

しかし、匿名加工情報として保護されるためには以下のような規定を守らなければなりません。

個人関連情報の取り扱いに関する義務

個人関連情報とは、個人に関する情報であり、個人情報、仮名加工情報、匿名加工情報のいずれにも当てはまらないものを指します。たとえば、個人の位置情報やWebサイトの閲覧履歴などです。

個人関連情報を取り扱う際は、以下の規定を守る必要があります。

個人情報取扱事業者が個人情報を管理する際の注意点

個人情報取扱事業者が個人情報を管理する際は、以下の4つの観点から安全管理措置を講じましょう。

組織的安全管理措置

組織的安全管理措置とは、個人情報を安全に管理できるような組織体制を整備することです。

具体的には、以下のような措置が挙げられます。

人的安全管理措置

人的安全管理措置とは、従業員が情報漏えいや情報の紛失などを起こさないよう、個人情報の管理に関する意識を高めることです。

具体的には、以下のような措置が挙げられます。

物理的安全管理措置

物理的安全管理措置とは、物理的に安全性を高め、個人情報を厳重に管理することです。

具体的には、以下のような措置が挙げられます。

技術的安全管理措置

技術的安全管理措置とは、システムの監視やソフトウェアの導入など、技術的な面から安全性を高めることです。

具体的には、以下のような措置が挙げられます。

個人情報取扱事業者の義務に違反した場合

個人情報取扱事業者が遵守すべき義務に違反した場合は、個人情報保護委員会による行政指導や行政処分の対象になる可能性があります。

さらに、個人情報保護委員会による命令に違反した場合は、1年以下の懲役または100万円以下の罰金、報告義務違反や検査拒否を行った場合は、50万円以下の罰金が科せられる恐れがあります。法人の両罰規定もあり、法人に1億円以下の罰金が科されることもあるため注意が必要です。

レピュテーションリスクも無視できません。個人情報の扱いがずさんな事業者とみなされれば、社会的信用が失墜し、顧客や取引先が離反するケースも考えられるでしょう。

また、個人情報の漏えいが発生した場合は、被害者から損害賠償請求される可能性があります。

いずれにせよ、事業者にとっては大きなダメージとなるため、個人情報の取り扱いには注意が必要です。

個人情報取扱事業者として情報管理体制を整えよう

個人情報取扱事業者は、個人情報を事業のために扱う事業者のことです。多くの事業者が個人情報取扱事業者に該当するでしょう。個人情報取扱事業者は、個人情報保護法における規定に則って、個人情報を適切に扱わなければなりません。違反した場合は、罰則の対象となったり、社会的信用が失墜したりするリスクがあります。

個人情報保護法について正しく理解し、個人情報の管理体制を整えましょう。

• 執筆：南 陽輔（弁護士）

  大阪市出身。大阪大学法学部、関西大学法科大学院卒業。2008年弁護士登録（大阪弁護士会所属）。大阪市内の法律事務所に勤務し、民事訴訟案件、刑事事件案件等幅広く法律業務を担当しておりました。2021年3月に現在の一歩法律事務所を設立し、契約書のチェックや文書作成、起業時の法的アドバイス等、予防法務を主として、インターネットを介した業務提供を行っております。皆様が利用しやすい弁護士サービスを提供できるよう心掛けております。