個人情報保護法で、システムの面から事業者が守ること

個人情報保護法がシステムの面で事業者に求めることは、個人データの安全管理措置（第23条）、従業者の監督（第24条）、委託先の監督（第25条）、外国にある第三者への提供の扱い（第28条）の4つが中心です。条文は「必要かつ適切な措置」という書き方をしているため、何をすればよいかは、個人情報保護委員会のガイドラインに示された項目を、自社のシステムに置き換えて考えます。

システムに関わる4つの条文

システムに関わる条文は、次の4つに整理できます。第23条は、個人データの漏えい・滅失・毀損を防ぐための安全管理措置を求めています。第24条は、従業者に個人データを扱わせるときの監督を、第25条は、個人データの取扱いを委託するときの委託先の監督を求めています。第28条は、外国にある第三者に個人データを提供する場合に、原則として本人の同意を得ることなどを求めています。

出典：個人情報の保護に関する法律（e-Gov法令検索）

ここでいう個人データとは、検索できるように整理された個人情報のデータベースを構成する個人情報のことです。顧客の管理のシステム、会員のデータベース、社員の名簿など、業務で使うシステムの多くが当てはまります。用語の短い説明は、用語集の個人情報にまとめています。

安全管理措置は、何をすればよいか

第23条の安全管理措置は、ガイドライン（通則編）が示す7つの項目に沿って整えると、抜けを防ぎやすくなります。項目は、基本方針の策定、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握です。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）

このうち、システムの面で中心になるのは技術的安全管理措置です。ガイドラインは、講じなければならない措置として、次の4つを挙げています。

右の列は、ガイドラインの項目を実務に置き換えた例です。ガイドラインには、中小規模の事業者向けの手法の例も示されているため、会社の規模に合わせて選びます。

物理的安全管理措置（個人データを扱う区域の管理、機器と電子媒体の盗難の防止、持ち運ぶときの漏えいの防止、削除と廃棄など）も、ノートパソコンやスマートフォン、USBメモリーの扱いとしてシステムに関わります。端末の守り方は、パソコンとスマートフォンの守り方で説明しています。

従業者の監督は、システムで何を支えるか

第24条の従業者の監督は、規程と教育だけでなく、システムの権限の設計と記録で支えると、実際に守られているかを確かめやすくなります。

• 業務に必要な範囲だけの権限を与える（最小権限の原則）
• 異動や退職のときに、権限とアカウントをすぐに見直す
• 誰が、いつ、どのデータを見たか、出力したかをログに残し、定期的に確かめる
• 大量の出力や、いつもと違う時間帯の操作に気づけるようにする

権限の見直しの進め方は、アクセス権の棚卸しと特権IDの管理の進め方で説明しています。

委託先の監督は、どこまで求められるか

第25条は、個人データの取扱いの全部または一部を委託する場合に、委託した個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を求めています。ガイドラインは、適切な委託先の選定、委託契約の締結、委託先での取扱いの状況の把握の3つを示しています。

システムの開発会社に本番のデータを触れさせる、保守会社に管理者の権限を渡す、クラウドで動くサービスに顧客の情報を預ける、といった場面が、委託に当たるかを確かめる対象になります。クラウドサービスの利用が委託に当たるかの考え方と、選び方・契約・確かめ方は、委託先・クラウドサービスの管理をどう確かめるかで詳しく説明しています。

外国のサーバーやサービスを使うとき

外国にある第三者に個人データを提供する場合、第28条は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得ることを求めています。ただし、日本と同等の水準の制度があると規則で定められた国にある場合や、提供先が規則の基準に合う体制を整えている場合は、扱いが異なります。

また、ガイドラインの外的環境の把握では、外国で個人データを扱う場合に、その国の個人情報の保護に関する制度などを把握したうえで、安全管理のために必要かつ適切な措置を講じることが求められています。

• 使っているクラウドサービスの、データを保存する国と地域を確かめる
• 外国の事業者のサービスで、事業者が個人データを扱う契約になっているかを確かめる
• プライバシーポリシーなどで、本人が知り得る状態にしておく事項を確かめる

外国にある第三者への提供に当たるか、委託に当たるか、自社のサービスの利用にとどまるかは、契約の内容とサービスの形で変わります。

改正の動きにも目を配る

2026年7月17日に、個人情報保護法の改正法が公布されました。施行は、一部の規定を除き、公布の日から2年を超えない範囲内で政令で定める日とされ、政令・規則・ガイドラインは、個人情報保護委員会で検討が続いています（2026年11月時点）。システムの設計や委託の契約を見直すときは、委員会の発表を確かめながら進めることが大切です。

出典：令和8年 改正個人情報保護法について（個人情報保護委員会）

漏えいなどが起きたときの報告と本人への通知は、個人データの漏えいが起きたら。委員会への報告と本人への通知で説明しています。法律の当てはめは、扱う情報と業務によって変わります。個別の判断は、弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーでは、個人データを扱うシステムの権限の設計、ログの残し方、委託先の管理の決まりづくりを、セキュリティ診断と対策の中でご支援しています。業務システムを新しく作る場合や作り直す場合は、Webシステム開発で、設計の段階から安全管理を組み込みます。法律の判断が要る部分は、弁護士などの専門家と連携して進めていただくようお願いしています。まずは無料のセキュリティの自己診断で、おおまかな状況を確かめることもできます。