2026年10月8日に個人情報保護委員会の通則編、個人情報保護法本文、2026年改正の公布・施行案内を再確認した。個人情報、個人データ、保有個人データ、要配慮個人情報、個人関連情報を分け、利用目的、取得、委託・第三者提供、国外提供、安全管理、本人請求、漏えい報告を実際のデータフローで照合する。公布済みと施行済みを混ぜず、Cookieや小規模を一律に対象外・同意必須としない。
問い合わせフォーム、会員情報、アクセス解析、外部サービスへの送信。Webサイトで個人情報を扱う場面は、フォームで氏名を集める時だけではありません。まず、何を取得し、何のために使い、誰へ渡し、どこで保管するかを整理します。
この記事は2026年10月に確認した現行法と個人情報保護委員会の通則編を基に、Web運営で確認すべき点を説明します。公布済みでも未施行の改正内容を、現在の義務と混ぜません。個別の適用はデータの内容と取扱いによって異なるため、判断が難しい場合は委員会の資料や専門家に確認してください。
30秒で要点
- 5,000人以下なら対象外という一律の除外はありません。 小規模でも、個人情報データベース等を事業に使う場合は対象を確認します。
- 通常の取得、要配慮個人情報の取得、目的外利用、第三者提供では条件が違います。「すべて同意を取ればよい」では整理できません。
- 個人情報・個人データ・保有個人データ・個人関連情報を区別し、目的の表示、安全管理、委託・提供、本人請求、事故対応まで確認します。
図の順番は作業を整理するための例です。取得後に新しい送信先や利用目的が増えた時も、最初の確認へ戻ります。
1. 対象事業者と、情報の種類を区別する
個人情報保護法の第16条は、個人情報データベース等を事業の用に供する者を個人情報取扱事業者として定義しています。取り扱う人数が少ないことだけで、一般的に義務を免れると考えないようにします。法が保護するのは生存する個人に関する情報です。名前があればいつも同じ取扱い、名前を消せばいつも対象外、とも限りません。容易に照合できる他の情報や、利用しているシステムとの関係を確認します。
表が収まらない場合は、横にスクロールできます
| 用語 | 区別するポイント | Web運営での例・注意 |
|---|---|---|
| 個人情報 | 特定の個人を識別できる情報、容易な照合で識別できる情報、所定の個人識別符号 | 氏名や連絡先を含む問い合わせ。項目単体だけで判断しない |
| 個人データ | 個人情報データベース等を構成する個人情報 | 検索・整理している会員や問い合わせの記録。安全管理や提供の規定を確認 |
| 保有個人データ | 開示、訂正、利用停止等を行う権限を有する個人データで、法令上の除外を除くもの | 自社の顧客記録など。本人請求と公表等の規定が問題になる |
| 要配慮個人情報 | 病歴など、不当な差別・偏見等が生じないよう配慮を要する所定の情報 | 通常の連絡先と同じ取得条件では扱わない |
| 個人関連情報 | 生存する個人に関する情報で、法定の個人情報等には当たらないもの | Cookie等による履歴は、識別や他情報との関係によって分類が変わる |
IDやパスワードを、すべて法定の個人識別符号としない
個人識別符号は、第2条と政令の定めによるものです。マイナンバーや所定の身体特徴の符号などがあり、任意のサービスIDやパスワードがすべて法定の個人識別符号になるわけではありません。
ただし、法定符号に当たらなくても、アカウント情報から本人を識別できるなら個人情報としての検討が必要です。認証情報としての保護も必要なので、「符号ではないから自由に公開できる」と考えないようにします。
2. 取得時の表示と、同意が必要な場面を分ける
利用目的は、できるだけ特定します。「事業のため」だけでなく、問い合わせへの回答、商品やサービスの提供、別途行う案内など、本人が取扱いを想像できる形を考えます。
第21条では、通常の取得における利用目的の通知・公表と、本人から書面等で直接取得する場合の事前の明示を区別しています。Webフォームで直接取得する場合も、入力前に目的を確認できるようにします。法令上の例外は、個別の条件を確認します。
表が収まらない場合は、横にスクロールできます
| 場面 | 原則として確認する点 |
|---|---|
| 通常の個人情報の取得 | 適正な取得と利用目的の通知・公表等。取得一般をすべて同意必須としない |
| 要配慮個人情報の取得 | 第20条の本人同意と、列挙された例外の条件 |
| 目的の達成に必要な範囲を超える利用 | 第18条の本人同意と例外の条件 |
| 個人データの第三者提供 | 第27条の同意、例外や第三者に当たらない場合の条件 |
フォームの必須チェックボックスを置くだけで、これらがすべて適切になるわけではありません。何を表示し、どの処理への同意を求めているのかを確認します。
利用目的は、公表し直せば自由に変えられるわけではない
第17条は、変更前の利用目的と関連性を有すると合理的に認められる範囲での変更を定めています。変更後の目的の通知・公表と、目的外利用に必要な同意等は別の論点です。
問い合わせの回答用に集めた連絡先を別の用途へ広げる時は、その用途が既存の目的に含まれるか、関連性のある変更で扱えるか、目的外利用になるかを確認します。ポリシーの文章だけを変えて、実際の処理を先に始めないようにします。
3. 委託、第三者提供、国外提供を整理する
外部サービスを使う時は、送信する情報と、その事業者が何のために扱うかを把握します。契約名が「委託」であることだけを見ず、実際の処理を確認します。
第27条では、利用目的の達成に必要な範囲での委託など、提供先が第三者に当たらない場合も定めています。一方で、独立した目的で他社へ個人データを渡す取扱いは、第三者提供の条件を確認する必要があります。共同利用も、名称を付けるだけで成立するものではありません。
表が収まらない場合は、横にスクロールできます
| 確認する場面 | 整理すること |
|---|---|
| 外部へ処理を委託する | 委託する範囲、取扱い、委託先の監督、再委託や返却・削除 |
| 他社へ個人データを提供する | 提供の目的、同意や例外、提供・受領時の確認と記録 |
| 国外の第三者へ提供する | 第28条の条件、必要な情報提供や措置。国内提供と同一と決めつけない |
| Cookie等の情報を提供する | 提供先で個人データになることが想定されるか、第31条の確認等 |
Cookie単体について「いつも個人情報ではない」と断定しないようにします。また、Cookieを使う全サイトで同じ同意表示が必要、と一律に扱うこともできません。識別可能性、他情報との照合、提供先での利用を確認し、個人情報保護法以外の関連ルールも別に検討します。
4. 安全管理は、4つの領域と委託先まで見る
第23条は個人データの漏えい、滅失、毀損の防止などに必要な安全管理措置を定め、第24・25条は従業者と委託先の監督を扱っています。対策を置いただけで完了とせず、実際の取扱いに合っているかを確認します。
表が収まらない場合は、横にスクロールできます
| 領域 | Web運営で考える対策例 | 確認する問い |
|---|---|---|
| 組織的 | 責任者、取扱いルール、点検と事故時の連絡経路 | 誰が変更を判断し、問題を受け付けるか |
| 人的 | 教育、取扱いの周知、秘密保持 | 担当者が使ってよい情報と送信先を知っているか |
| 物理的 | 機器や媒体の管理、紛失防止、廃棄 | 個人データを持ち出したり、復元できるまま捨てたりしていないか |
| 技術的 | アクセス権、認証、不正アクセス対策、適切な保護 | 必要な人だけが必要な範囲へアクセスできるか |
この表は対策を考えるための例で、固定の合格チェックリストではありません。扱う情報、量、環境、リスクに応じて選びます。保管する場所と国外での取扱い、委託先の状況も確認します。
問い合わせ記録やログは、必要性を見直し、不要になったデータを漫然と残さないようにします。第22条は、利用目的に必要な範囲での正確性の確保と、不要になった個人データの消去に努めることを定めています。業務・法令上の保持条件も合わせて決めます。
5. 本人請求と、漏えい等への対応を準備する
開示・訂正・利用停止は、それぞれの条件を確認する
保有個人データについては、第32条の公表等や、第33条以降の本人請求への対応を確認します。受付方法、本人確認、担当者、回答までの経路を準備します。
開示にも法定の例外があります。訂正等は内容が事実でない場合など、利用停止や消去も法定の要件を確認して対応します。「請求があれば常に全情報を削除する」「どんな場合も削除しない」といった一律の案内を避けます。
報告対象かどうかと、初動対応を分ける
漏えい等が疑われたら、影響を抑え、事実と範囲を確認し、担当者へ連絡します。そのうえで、第26条と通則編に沿って報告・本人通知の要否を判断します。
通則編は、要配慮個人情報、財産的被害のおそれ、不正の目的による行為のおそれ、本人の数が1,000人を超える場合などの報告対象を示しています。人数だけを見て対象外と決めないようにします。確証がなくても、判明した事実から漏えい等のおそれを判断する場合があります。
表が収まらない場合は、横にスクロールできます
| 対応 | 通則編で確認する時間の扱い |
|---|---|
| 速報 | 速やかに。概ね3〜5日以内は目安で、状況を無視した固定期限ではない |
| 確報 | 原則30日以内。不正の目的による行為等の所定の事態では60日以内 |
| 本人への通知 | 事態の状況に応じて速やかに。困難な場合の代替措置にも条件がある |
起算点となる「知った」時点を記録します。調査が終わるまで連絡を待つ計画にしないようにします。委託先から委託元への通知による報告義務の例外も、定められた条件で確認します。
6. 違反時のリスクを、行政・刑事・民事に分ける
個人情報保護委員会の報告徴収や立入検査、勧告・命令と、裁判による刑事罰を区別します。違反があればすべて同じ罰金、という説明は正確ではありません。
2026年10月確認時点の法では、命令違反を扱う第178条と、不正な利益を図る目的での個人情報データベース等の提供・盗用を扱う第179条など、対象となる行為が分かれています。法人に適用する両罰規定や、過料の規定も別です。個別の制裁を判断する時は、行為、適用条文、施行時点を確認します。
本人からの開示・訂正・利用停止等の請求は、刑事罰とは別の制度です。損害賠償などの民事上の問題も、個別の事実と法的要件を検討する必要があります。
7. 2026年の改正を、施行済みの義務と混ぜない
個人情報保護委員会の2026年改正案内は、7月10日の成立、7月17日の公布と、関連ルールの整備を案内しています。成立・公布と、各規定の施行は同じ時点とは限りません。改正法の附則には、原則として公布から2年以内の政令で定める施行日と、個別の例外が定められています。新しい制度や罰則の説明を読む際は、「公布済み」「施行予定」「現在適用される規定」を分けて確認します。この記事では、将来の課徴金や特例を現在の一般的な取扱いへ置き換えていません。
ルールが更新された時は、ニュースの日付だけでなく、適用する条文、附則、政令・規則、委員会の最新資料を確認します。
Webサイト運営で進める4つの作業
- 情報の流れを整理する：入力項目、利用目的、保管先、アクセスできる人、委託先・提供先を一覧にします。
- 表示と受付を整える：フォームの目的表示、必要な同意、保有個人データに関する公表等と、本人請求の窓口を確認します。
- 実際の取扱いを合わせる：安全管理、従業者・委託先の監督、不要データの見直し、事故時の連絡と復旧を点検します。
- 変更時に見直す：新しいタグ、外部サービス、利用目的、データ項目を追加する時や、法令の施行時に再確認します。
プライバシーポリシーという名称のページを置くこと自体がゴールではありません。法令で必要な事項を本人が確認でき、実際の処理や受付方法と一致していることを確認します。一般的な解説だけで個別の適法性を確定せず、迷う点は委員会の資料や個人情報保護法に詳しい専門家へ相談してください。
参考資料・引用元
- 個人情報の保護に関する法律：e-Gov法令検索：第2・16〜40条、監督と制裁に関する必要条文を確認。
- 個人情報保護委員会：通則編：定義、取得・目的、安全管理、漏えい等の必要箇所を確認。
- 個人情報保護委員会：2026年改正：改正法と附則の施行区分を確認。資料全体の逐条解説をしたものではありません。