令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

民間の解説サイトです。個人情報保護委員会などの国の機関の公式の窓口ではなく、届出や相談の受付はしていません。運営者情報

業種別ナビゲーション ／ 更新 2026-11-06

士業・人材・団体・組合の15業種

業種別の入口から分けた、15業種の節です。業種ごとに、令和8年改正のうちまず見る3テーマを挙げています。

士業事務所・人材紹介・宗教法人・労働組合・業界団体・協同組合・M&A・採用・廃業などの15業種について、先に確認する3テーマを整理します。ほかの業種は業種別の入口にあります。該当するかどうかは個別に判断が必要で、このページは判定しません。

5. 士業事務所（税理士・社労士・行政書士等）

顧客企業から個人データの取扱いを委託されることが多い業種です。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 顧客企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
  2. 漏えい等報告・本人通知義務の緩和: 委託を受けて取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。
  3. 目的外利用・要配慮個人情報取得・第三者提供の規律緩和: 契約の履行に伴う第三者提供（例: 業務の一部を他の専門家へ取り次ぐ場合）に関係しうるテーマです。

士業事務所の依頼者情報について、守秘義務を定める各士業法の条文と改正項目の対応は士業事務所の依頼者情報と令和8年改正にあります。

6. 人材紹介・人材派遣事業者

求職者・登録スタッフの氏名・経歴・連絡先など大量の個人データを保有し、適性検査やバックグラウンドチェック等を外部委託することも多い業種です。まず見ておくとよいのは次の3テーマです。

  1. 課徴金制度: 対象行為には「本人の数について1,000人を基準とする」大規模事案という限定要件があります。登録者数の多い人材紹介・派遣事業者は、この人数規模に達しているかをまず確認する意味があります。
  2. 委託先における個人データ等の適正な取扱い: 適性検査・バックグラウンドチェック・給与計算等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。
  3. 漏えい等報告・本人通知義務の緩和: 保有する登録者データの件数が多いほど、漏えい等が起きた際の報告・本人通知の負担も大きくなります。緩和・簡素化される範囲を確認しておく意味があります。

この業種の3テーマを、法律に定まったことと未定のことに分けた表は人材紹介・人材派遣事業者が先に確認する改正3項目にあります。

52. 寺院・神社などの宗教法人

この節で想定する場面は、檀家・氏子名簿、法要・祈祷の申込、葬祭業者との連携を扱う場合です。

檀家・氏子の氏名・住所・電話番号を載せた名簿を作り、法要や祈祷の申込を受け付け、葬祭業者などと連絡を取り合っている団体です。法第57条第1項第3号は、宗教団体が宗教活動（これに付随する活動を含む）の用に供する目的で個人情報等を取り扱うときは、同じ章の規定を適用しないと定めています（e-Gov法令検索で確認）。個人情報保護委員会のQ&A（Q11-5）も、宗教団体の宗教活動を適用除外の例に挙げています。ただし、この適用除外は目的が宗教活動に当たる範囲に限られ、その場合でも安全管理や苦情処理の措置を自ら講じて公表するよう努める規定（同条第3項）があります。どの取扱いが宗教活動やこれに付随する活動に当たるかは個別の事情によるため、このサイトでは判断できません。なお、宗教に関する情報は、ガイドライン（通則編2-3）が「信条」（思想と信仰の双方を含む）を要配慮個人情報の一つに挙げています。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 名簿の紛失や、法要案内のメール誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。ガイドライン（通則編3-5-3）は、要配慮個人情報が含まれる個人データの漏えい等を委員会への報告の対象としています。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 名簿の管理や法要案内の発送を外部のサービスや業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 目的外利用等の緩和: 檀家・氏子の連絡先を葬祭業者などに伝える場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

葬祭業者との連携が適用除外に含まれるか、名簿を第三者に渡せるかは、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

53. 労働組合

この節で想定する場面は、組合員名簿、加入情報、組合費の徴収委託を扱う場合です。

組合員の氏名・所属・連絡先を載せた名簿を管理し、組合費の徴収や名簿の保管を外部に任せている場合がある団体です。個人情報保護委員会のQ&A（A1-54）は、営利・非営利の別を問わず、非営利の団体でも個人情報データベース等を事業の用に供していれば個人情報取扱事業者に該当し得るとしています。取り扱う人数の多寡は問われません（A1-50）。実際に該当するかは団体の形態や名簿の使い方によるため、このサイトでは判断できません。法第57条第1項が適用除外として定める主体は、報道機関、著述を業とする者、宗教団体、政治団体であり、労働組合は条文に挙がっていません。組合員であることや組合活動の内容が要配慮個人情報に当たるかは、ガイドライン（通則編2-3）で確認した範囲では明記が見当たらず、このサイトでは判断できません。信条に当たる記述が含まれるかどうかなど、実際の記載内容によります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 組合員名簿の紛失や、組合員向けメールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 組合費の徴収や名簿の管理、連絡網の配信を外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 目的外利用等の緩和: 組合員名簿を上部団体などへ渡す場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

使用者と労働組合の間で従業者の個人データを共同利用する場合があることは、ガイドライン（通則編）の共同利用の事例に挙げられています。個別の場面でこれが使えるかは、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

73. 商工会議所・商工会・業界団体・協会

この節で想定する場面は、会員名簿、会員企業の担当者情報、セミナー申込、会員向け名簿の第三者提供を行う場合です。

地域の商工会議所・商工会、業種ごとの業界団体や協会など、会員の名簿を持ち、会員企業の担当者の氏名・役職・連絡先を管理し、セミナーや交流会の申込を受け、会員向けに名簿を配る団体です。会員が法人でも、名簿に載る担当者や個人事業主の会員の氏名・連絡先は、特定の個人が分かるものとして個人情報の保護に関する法律（法第2条第1項）の対象になりえます。労働組合の組合員名簿は労働組合の節に、同窓会は同窓会名簿管理サービス事業者の節にあり、この節は事業者の団体の会員名簿・申込・名簿の提供に絞っています。名簿を本人の同意なく第三者に提供することは原則できず（法第27条第1項）、本人の求めに応じて提供を停止することなどを前提に、本人への通知または容易に知り得る状態に置くことと個人情報保護委員会への届出をしたうえで提供する方法（オプトアウト）が法第27条第2項にあります。団体が利用目的の達成に必要な範囲で名簿の取扱いを委託するときの受け手は、第三者に当たらないとされています（法第27条第5項第1号）。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 会員名簿のメール誤送信、セミナー申込者一覧の紛失、事務局のパソコンへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 会員管理システム、セミナー申込の受付、会報や名簿の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. オプトアウト制度の強化: 会員向けの名簿や会員企業の担当者リストを、同意によらずオプトアウトの届出によって他者へ提供している場合に関係します。提供先の身元と利用目的の確認が新設されますが、確認方法は委員会規則で定められる予定で、確定していません。会員同士での名簿共有が同意や共同利用によるものか、オプトアウトによるものかで関係が変わります。

会員名簿を会員に配ってよいか、同意を取る範囲、協会が行政機関や関連団体へ名簿を出す場合の整理など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

76. 生活協同組合・農業協同組合などの協同組合

この節で想定する場面は、組合員名簿の管理、組合員・債権者からの名簿の閲覧請求への対応、共同購入・宅配の注文履歴と配送先の管理、組合員の世帯の子どもの情報の記録です。

生活協同組合（生協）や農業協同組合（農協）など、組合員の名簿を法律に基づいて作り、共同購入や宅配の注文履歴と配送先を持ち、組合員の世帯の子どもの情報を記録することがある組織です。組合員の氏名・住所・注文履歴は、特定の個人が分かるものとして個人情報の保護に関する法律（法第2条第1項）の対象になりえます。この節が他の団体の節と違うのは、組合員名簿の作成・備置きと、組合員・債権者による閲覧・謄写の請求が、それぞれの組合の根拠法に定められている点です。消費生活協同組合法の第25条の2は、名簿に氏名・住所、加入年月日、出資口数・金額等を記載し、組合員および組合の債権者が業務取扱時間内にいつでも閲覧・謄写を請求でき、組合は正当な理由なく拒めないと定めています。農業協同組合法の第27条にも、同じ趣旨の名簿の作成と閲覧・謄写の請求の規定があります（e-Govの条文で2026-10-13に確認）。漁協など他の協同組合は、それぞれの根拠法に同種の規定があるかを個別に確かめてください。名簿を法令に基づいて見せる場合が個人情報保護法の第三者提供の制限（法第27条第1項。第1号に「法令に基づく場合」がある）にどう当たるかは、請求者や範囲で変わりうるため、このサイトでは結論を示しません。労働組合の名簿は労働組合の節、会員の名簿を配る業界団体は商工会議所・業界団体の節、自治会はマンション管理組合・自治会の節にあり、この節は協同組合の名簿の法定の閲覧請求、共同購入・宅配の記録、子どもの情報に絞っています。

  1. 漏えい等報告・本人通知義務の緩和: 組合員名簿のメール誤送信、宅配の注文履歴や配送先一覧の紛失、組合員システムへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 共同購入の受注システム、宅配の配送、組合員への案内の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. こどもの個人情報: 宅配の記録や子ども向けのサービスの申込に、16歳未満の本人の氏名・年齢・アレルギーなどを載せる場合に関係します。16歳未満の本人に代わって法定代理人が関与する規律が、改正法で定められています（個人情報保護委員会「改正法の概要」で確認）。組合員である親の情報の扱いと、世帯の子どもの情報の扱いは分けて確認します。

名簿の閲覧請求にどこまで応じるか、閲覧させる項目の範囲、請求者が債権者の場合の確認方法など、個別の場面の判断はこのサイトではできません。顧問弁護士または所管の行政庁、個人情報保護委員会にご確認ください。

81. M&A・事業譲渡・事業承継・グループ会社再編

この節で想定する場面は、顧客名簿・従業員情報の承継、買収監査（デューデリジェンス）での開示を扱う場合です。

合併、事業譲渡、会社分割、グループ会社の再編などで、相手の会社に顧客名簿や従業員の情報を引き継ぐ、または引き継ぎを受ける、あるいはその前に買収監査で資料を開示する場合がある事業者です。法は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」の提供を受ける者を、第三者提供の制限の適用上、第三者に該当しないものとしています（法第27条第5項第2号）。一方で、事業を承継して個人情報を取得した事業者は、あらかじめ本人の同意を得ないで、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはなりません（法第18条第2項。いずれもe-Gov法令検索で確認）。どの再編の形が「事業の承継」に当たるか、買収監査の段階での開示がこの扱いの対象になるか、グループ会社間の共有が承継ではなく共同利用（法第27条第5項第3号）などの別の規定で整理されるかは、事案ごとに変わるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 課徴金制度の導入: 課徴金について、消滅・事業譲渡等の場合の適用は政令で定めるとされています（法第148条の7第6項）が、その政令の内容は未確定事項の一覧のとおり未確定です。確定していない部分を、確定した事実のように扱わないでください。
  2. 漏えい等報告・本人通知義務の緩和: 名簿や従業員情報を移行する途中の誤送信、移行先システムへの不正アクセスなどで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 委託先における個人データ等の適正な取扱い: データの移行作業、システムの統合、買収監査の資料整理などを外部の会社に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

承継後に何の目的で使えるか、本人への通知や公表をどうするか、従業員情報の扱い、承継の対象に含まれる情報の範囲は、再編の契約や承継前の利用目的の書き方によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

92. 霊園・墓地管理者・寺院の納骨堂運営者

この節で想定する場面は、使用者の名簿と、承継者（墓を引き継ぐ人）の情報を扱う場面です。

墓地の使用者を募り、使用者の氏名・住所・連絡先、管理料の納付記録、永代供養の契約内容、承継者や連絡先となる親族の情報を名簿で管理している霊園・墓地の管理者や、納骨堂を運営する寺院です。檀家・氏子の名簿や法要の申込は寺院・神社などの宗教法人、葬儀そのものは葬儀社・葬祭業者にあり、ここでは使用者名簿と承継者情報に絞ります。名簿の管理や管理料の請求を管理会社や石材店に任せている場合は取扱いの委託に当たり得るため、委託先の監督（法第25条）が関係します。なお、宗教法人が宗教活動の用に供する目的で取り扱う場合の適用除外（法第57条第1項第3号）に、墓地の管理がどこまで含まれるかは、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 使用者名簿や承継者の情報を入れた端末の紛失、管理料の請求書の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。名簿に宗派や信仰に関わる記録が含まれる場合、要配慮個人情報（法第2条第3項は「信条」を挙げています）に当たり得ます。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 使用者名簿の管理や管理料の請求を管理会社や石材店に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
  3. 目的外利用等の緩和: 承継者や親族の連絡先を、管理会社や石材店、他の使用者の親族に伝える場面で、同意の要否が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

使用者の死亡後に承継者へ名簿の情報を伝えてよいか、永代供養の契約書に載る情報をどこまで他へ示せるかは、契約の内容や状況によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

99. 採用選考で応募者の情報を扱う企業

この節で想定する場面は、履歴書・職務経歴書・面接の記録、内定辞退者や不採用者の情報の保管、採用管理システムや人材会社への委託を扱う場面です。

応募を受け付け、履歴書・職務経歴書、面接の評価メモ、内定辞退者・不採用者の連絡先を管理している企業です。応募者を紹介する側の事業は6. 人材紹介・人材派遣事業者にあり、入社後の従業員や退職者の情報は従業員・応募者・退職者の個人情報で整理しています。ここでは、採用する企業の側が、選考の途中と選考後に応募者の情報を持つ場面に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 採用管理システム、書類選考や面接日程の調整、人材会社への一部の業務を外部に任せ、応募者の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
  2. 漏えい等報告・本人通知義務の緩和: 応募者への一斉メールの宛先の誤り、履歴書の誤送付、採用管理システムからの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 2027年1月施行の罰則: 採用担当者や退職した担当者が、応募者の名簿を不正に持ち出して提供する場合を含む、個人情報データベース等の不正提供等の罪に関係します。罰則関係は2027年1月17日に施行です。

内定辞退者や不採用者の情報をいつまで保管してよいか、面接の記録が個人情報に当たる範囲、応募者の同意の取り方は、事業の内容や契約によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

101. 政治団体・議員事務所・後援会

この節で想定する場面は、支持者名簿、寄付者情報、イベント参加者の連絡先、選挙運動での連絡、名簿作成の委託を扱う場面です。

政治団体や議員事務所、後援会では、支持者の氏名・住所・連絡先、寄付者の情報、集会やイベントの参加者の連絡先、選挙運動で連絡する相手の情報が、名簿として積み上がりやすくなります。法第57条第1項第4号は、政治団体が政治活動（これに付随する活動を含む）の用に供する目的で個人情報等を取り扱うときは、同じ章の規定を適用しないと定めています（e-Gov法令検索で確認）。ただし、この適用除外は目的が政治活動に当たる範囲に限られ、その場合でも安全管理や苦情処理の措置を自ら講じて公表するよう努める規定（同条第3項）があります。議員事務所や後援会が同号の「政治団体」に当たるか、どの取扱いが政治活動に付随する活動に当たるかは個別の事情によるため、このサイトでは判断できません。なお、ガイドライン（通則編2-3）は「信条」を要配慮個人情報の一つに挙げており、支持者であることを示す情報がこれに関わる場面もあります。PTAの学校後援会は51. PTA・保護者会・学校後援会、宗教団体の名簿は52. 寺院・神社などの宗教法人にあり、ここでは政治活動に関わる名簿に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 支持者名簿や寄付者一覧の誤送信、イベント案内メールの宛先の誤り、名簿の入った端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します。要配慮個人情報が含まれる個人データの漏えい等は、ガイドライン（通則編3-5-3）が委員会への報告の対象としています。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 名簿の作成や宛名の印字、案内状の発送、連絡システムの運用を外部の業者に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 目的外利用等の緩和: 支持者名簿を別の団体や候補者の関係者に渡す場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

名簿の取扱いが適用除外に含まれるか、名簿を他の団体に渡せるかは、このサイトでは個別の場面の判断はできません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

102. 外国人材の受入れ関係事業者

この節で想定する場面は、監理団体・登録支援機関・日本語学校・外国人を雇う企業が、在留カード情報、本人確認書類の写し、母国の家族情報、送出機関への提供を扱う場面です。

外国人材の受入れに関わる事業者では、在留カードやパスポートの写し、本人の氏名・住所・連絡先、母国の家族や緊急連絡先の情報、就労や就学の状況の記録が、本人確認や各種の手続のために集まります。製造業での外国人労働者の名簿は98. 製造業・工場、人材紹介や派遣の事業は人材紹介・人材派遣事業者の節にあり、ここでは重ねずに、受入れを支える側の事業者が先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 在留カードやパスポートの写しの紛失、本人確認書類の誤送付、管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 入国や在留の手続、住居や生活の支援、日本語教育、給与計算などを外部に任せ、本人の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 目的外利用等の緩和: 受入れ先の企業や関係機関、母国の送出機関へ本人の情報を伝える場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

送出機関など外国にある相手へ情報を渡す場合は、法第28条（外国にある第三者への提供の制限）が関係しうるため、外国にある第三者への提供（法第28条）のページも参照してください。母国の家族の情報の扱い、在留カードの写しを保管してよい範囲、送出機関への提供が同意の要る第三者提供に当たるかは、事業の内容や契約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

106. 内部通報窓口の受託事業者

この節で想定する場面は、外部窓口を担う法律事務所・専門会社が、通報者の情報、通報内容の取扱い、依頼企業への報告を扱う場面です。

企業から内部通報の窓口を請け負う法律事務所や専門会社には、通報者の氏名・連絡先、通報の内容に含まれる被通報者や関係者の情報、調査の経過、依頼企業へ返す報告書が集まります。通報の内容には、ハラスメントや不正の疑いなど、本人が知られたくない事情が含まれることがあります。公益通報者保護法は、事業者が公益通報を受けて調査し是正する業務に従事する者を定めることを求め（第11条第1項。常時使用する労働者が300人以下の事業者は努力義務、同条第3項）、その従事者や従事者であった者が、正当な理由なく公益通報者を特定させる事項を漏らすことを禁じています（第12条）。この守秘の規定は個人情報保護法とは別の法律のもので、このサイトの対象は令和8年の個人情報保護法改正のため、公益通報者保護法の内容はここでは解説しません。窓口の事業者が個人データをどう取り扱うかについて、改正との関係で先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 通報内容を記した報告書の誤送信、通報受付システムからの流出、窓口担当者の端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 企業から窓口業務を請け負い、通報者や関係者の情報を預かる場合の任される側の義務（法第30条の3）と、受付システムや文字起こしを外部に任せる場合の監督（法第25条）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。通報者の情報の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

依頼企業へ通報者の情報をどこまで伝えてよいか、報告書に何を書くか、窓口の事業者と依頼企業のどちらが個人データを取り扱う立場になるかは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

128. 個人事業主・一人社長・従業員数名の小規模事業者（顧客名簿を手元で持つ場合）

この節で想定する場面は、顧客や取引先の連絡先を表計算ソフトや会計ソフト、クラウドの名簿サービスで管理している場面です。従業員がいない、または数名の事業者も含みます。

個人事業主・一人社長・従業員数名の小規模事業者には、顧客の氏名・住所・電話番号・メールアドレス、見積書や請求書に残る取引の記録、問い合わせの履歴、会計や請求のクラウドサービスに入れた取引先の情報が残ります。個人情報保護法の「個人情報取扱事業者」は、個人情報データベース等を事業の用に供している者をいい（法第16条第2項）、条文には法人かどうか、従業員数、保有する件数の下限は書かれていません。個人情報データベース等は、特定の個人情報を電子計算機で検索できるように体系的に構成したもの（法第16条第1項第1号）が基本で、パソコンの顧客一覧はこれに当たりえます。紙の名簿などは、政令で定める要件に当たるかを個別に確かめる必要があります（同項第2号）。個人情報取扱事業者に当たる場合は、個人データの安全管理のために必要かつ適切な措置（法第23条）、委託先への必要かつ適切な監督（法第25条）、第三者提供に原則として本人の同意を求める定め（法第27条第1項）が、小規模でも現行の条文のまま適用されます。ここは改正で変わる点ではありません。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 顧客一覧を入れたパソコンやスマートフォンの紛失、請求書や顧客一覧のメール誤送信、名簿を載せたクラウドサービスへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 会計や請求、顧客管理のクラウドサービス、発送や集金を任せる業者、記帳や制作を外注する相手に顧客の情報を渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
  3. 課徴金制度: 対象は不適正な利用、不適正な取得、第三者提供の制限違反、統計特例違反の4類型に限られ、対象行為に係る本人の数について1,000人を基準とする大規模な事案という限定要件があります。顧客数が少ない事業者は優先度が下がりますが、基準の数え方の細部は政令やガイドラインが出るまで確定していません。算定式を定める政令は公布されていません。

顧客名簿が法の定める個人情報データベース等に当たるか、クラウドサービスの利用が委託に当たるのか第三者提供に当たるのか、紙の名簿が政令の要件に当たるか、名刺の取引先担当者の情報が個人データに当たるかは、取扱いの実態やサービスの契約内容によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

136. 株主名簿・株主総会・持株会を扱う会社

この節で想定する場面は、株主の氏名・住所・持株数を名簿にまとめ、株主総会の招集通知や議決権行使書を発送し、株式事務を外部の事業者に任せ、株主やIRの問い合わせに応じている場面です。上場会社だけでなく、株主が数名から数十名の非上場の中小企業や、従業員持株会を持つ会社も含みます。

81番のM&A・事業承継の当事者は、買収の検討で相手方の情報を見る場面です。ここでは平時に株主の情報を持ち続け、総会や配当のたびに使う会社に絞ります。株式会社は株主名簿を作成し、株主の氏名または名称と住所、株式の数、株式を取得した日などを記載します（会社法第121条）。名簿を検索できる形で整理していれば、個人情報データベース等に当たり得て（法第16条第1項）、株主が個人であればその情報は個人データになります。株主名簿に関する事務は、定款で定めれば株主名簿管理人に委託できます（会社法第123条）。株主と債権者は、請求の理由を明らかにして株主名簿の閲覧や謄写を請求でき、会社は一定の場合を除いて拒めません（会社法第125条第2項・第3項）。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 株主名簿管理人（信託銀行や証券代行会社など）、総会の招集通知や議決権行使書の印刷・発送の事業者、持株会の事務の受託者に株主の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 招集通知や議決権行使書の宛先の誤り、株主名簿のファイルの誤送信や紛失、株主向けの電子提供のサイトへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 目的外利用等の規律緩和: 株主名簿に載せた情報を、総会の案内や配当の事務とは別の、株主優待や会社のニュースの案内などに使う場合の利用目的の範囲（法第18条）に関係します。同意を要しない例外が広がる改正の内容と、規則で定める範囲が未確定の部分は、リンク先で確認できます。

株主から閲覧や謄写の請求があったときに、個人情報保護法の第三者提供の制限（法第27条第1項）との関係をどう整理するか、請求を拒める場合に当たるか、名簿管理人との役割分担、株主が自分の情報の開示を求めたときの対応（法第33条）は、事案ごとに異なるため、このサイトでは判断しません。株主の情報の取扱いには会社法などの法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

140. 廃業・事業終了・店じまいをする小規模事業者

対象: 廃業・事業終了・店じまいをする小規模事業者（顧客名簿・従業員情報・防犯カメラ映像の廃棄と消去、取引先への引き継ぎ）

この節で想定する場面は、店や事業をたたむときに、顧客名簿・予約台帳・会員カードの控え、従業員や退職者の情報、防犯カメラの録画、取引先の連絡先を、廃棄するか、消去するか、誰かに引き継ぐかを決める場面です。

81番のM&A・事業譲渡・事業承継は事業を引き継ぐ側と再編の場面、103番の産業廃棄物処理・リサイクル・不用品回収事業者は回収する側、128番の個人事業主・一人社長・従業員数名の小規模事業者は日ごろの名簿の管理を扱います。ここでは、事業をやめる側が、手元に残る個人データの終わらせ方を決める場面に絞ります。

個人データについて、法第22条は、利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定めます（努力義務。e-Gov法令検索で確認）。委員会のガイドライン（通則編）3-4-1は、利用する必要がなくなったときの例として、利用目的が達成され保有する合理的な理由がなくなった場合のほか、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合を挙げ、法令で保存期間が定められている場合はこの限りでないとします。同じ箇所の注記は、「消去」を、個人データとして使えなくすることで、削除のほか、特定の個人を識別できないようにすることなどを含むと説明しています。廃棄の方法については、同ガイドライン10-5が、個人データの削除や、個人データを記録した機器・電子媒体等の廃棄は復元不可能な手段で行わなければならないとし、書類は焼却、溶解、適切なシュレッダー処理などの例を挙げ、削除や廃棄の記録を残すこと、作業を委託するときは委託先が確実に削除・廃棄したことを証明書等で確認することも重要としています（確認日 2026-10-14）。

やめるときに手元に残る情報の棚卸し（確認の観点。該当性や保存期間の判定ではありません）
手元に残る情報確認すること条文・資料で確かめられること
顧客名簿・予約台帳・会員の控えもう使わないものか、事業を引き継ぐ先に渡すものか。使わないなら消去か廃棄の方法と記録法第22条は消去の努力義務。ガイドライン通則編3-4-1は、事業自体の中止を利用する必要がなくなった場合の例に挙げる
従業員・退職者・応募者の情報他の法令で保存が求められる書類に当たらないか。当たらないものを消去の対象にする労働基準法第109条は、労働者名簿、賃金台帳、雇入れ・解雇・災害補償・賃金その他労働関係に関する重要な書類の保存を定める（条文上は五年間。附則の経過措置などの実際の期間は労働基準監督署等に確認）。ガイドライン3-4-1は、法令で保存期間が定められている場合は消去の努力義務の対象外とする
防犯カメラの録画・撮影した写真録画機器や記録媒体を処分する前に、データを復元できない形で消したか。カメラの扱いそのものは9番の小売店舗・商業施設運営者を参照ガイドライン通則編10-5は、機器・電子媒体等の廃棄は復元不可能な手段で行うとする
取引先・仕入先の連絡先やめた後も取引の記録として残す必要がある書類に含まれていないか。引き継ぐなら相手と範囲を決める保存の要否は、商取引や税務などの別の法令で定まる場合がある。個人情報保護法の条文だけでは決まらない
パソコン・スマートフォン・クラウドの名簿機器の処分前の消去、クラウドサービスの解約とデータの削除、バックアップの有無ガイドライン通則編10-5は、削除・廃棄の記録を残すことと、委託する場合は証明書等で確認することが重要とする

事業を他の事業者へ引き継ぐ場合は、別の線引きがあります。合併その他の事由による事業の承継に伴って個人データが提供される場合、提供を受ける者は第三者に該当しません（法第27条第5項第2号）。ガイドライン通則編3-6-3は、合併、分社化、事業譲渡などによる提供を例に挙げ、承継後も承継前の利用目的の範囲内で利用しなければならないとします（法第18条第2項、確認日 2026-10-14）。名簿だけを他社へ渡す、売る場合がこの承継に当たるかは、このサイトでは判断しません。

  1. 漏えい等報告・本人通知義務の緩和: 廃棄に出した書類や機器が回収の前後で紛失した、廃棄を頼んだ業者から情報が流出した、処分した機器からデータが復元されて外に出たなどの場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 書類の溶解・回収、パソコンの消去、データ消去の作業を外部の業者に任せる場合に関係します。任せる側は委託先に対する監督が求められ（法第25条）、委託を受けた側の新しい規定が今回の改正の論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
  3. 課徴金制度: 事業をやめるときに名簿を本人の同意なく他社へ渡すと、第三者提供の制限（法第27条）が関係します。第三者提供の制限違反は課徴金の対象類型の一つですが、対象行為に係る本人の数について1,000人を基準とする大規模な事案という限定要件があり、算定式を定める政令は公布されていません。

どの時点で個人データを利用する必要がなくなったといえるか、書類ごとの保存期間、廃棄業者との契約が委託に当たるか、名簿の引き渡しが事業の承継に当たるかは、事業の実態や契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

出典