個人情報取扱事業者の定義と義務｜中小・個人事業主の2026年対策

個人情報取扱事業者の定義と義務｜中小・個人事業主の2026年対策の最新情報を解説します。役立つ情報が満載です。

Q1：個人事業主やフリーランスでも、顧客が数人しかいなければ個人情報取扱事業者になりませんか？
A1：いいえ、取り扱う顧客の人数が1人であっても、業務のために検索可能な状態で名簿やデータを管理していれば例外なく個人情報取扱事業者に該当します。過去にあった「5000人要件」は完全に廃止されていますので、フリーランスであっても適切な安全管理や利用目的の通知義務を果たさなければなりません。

Q2：パソコンを使わず、紙の名刺や手書きのノートで管理しているだけなら対象外ですか？
A2：紙媒体であっても対象になります。五十音順や日付順にファイリングされ、目次やインデックスが付けられていて容易に特定の個人を検索できる状態になっていれば、法律上の「個人情報データベース等」とみなされます。紙の顧客台帳を鍵のかからない棚に放置したり、紛失した場合は安全管理措置義務違反に問われます。

Q3：メールの「Bcc」と「To」を誤って送信し、アドレスが流出してしまった場合も報告義務がありますか？
A3：漏洩した個人データの件数が1,000人を超える場合や、不正アクセスの被害、要配慮個人情報が含まれる場合、あるいは財産的被害が生じるおそれがある場合には、個人情報保護委員会への法定報告と本人への通知が義務付けられています。軽微な誤送信であっても、事態の拡大を防ぐための初動対応や再発防止策の記録は必須です。

Q4：2026年時点で、社内でChatGPTなどの生成AIを使う際に個人情報保護法上注意すべき点は？
A4：業務で利用する生成AIツールのプロンプトに、顧客の氏名や連絡先、社外秘の個人情報を入力することは厳禁です。入力したデータがAIモデルの学習に再利用される設定になっている場合、第三者への不正な提供とみなされるリスクがあります。学習に利用されないオプトアウト設定が保証された法人向けエンタープライズプランの導入や、AI利用規程の策定が不可欠です。