---
title: "個人情報保護法で、システムの面から事業者が守ること｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/personal-information-system-basics/
description: "個人情報保護法がシステムの面で事業者に求めるのは、安全管理措置、従業者の監督、委託先の監督、外国にある第三者への提供の扱いの4つが中心です。条文とガイドラインの項目を、システムで何をすればよいかに置き換えて説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# 個人情報保護法で、システムの面から事業者が守ること

個人情報保護法がシステムの面で事業者に求めるのは、安全管理措置、従業者の監督、委託先の監督、外国にある第三者への提供の扱いの4つが中心です。条文とガイドラインの項目を、システムで何をすればよいかに置き換えて説明します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- 第23条は、個人データの漏えい・滅失・毀損を防ぐための必要かつ適切な安全管理措置を求めています。ガイドラインは、技術的な措置としてアクセス制御や認証などを挙げています。
- 第24条は従業者の監督、第25条は委託先の監督を求めています。人と委託先の管理は、システムの権限の設計と記録で支えます。
- 外国にあるサーバーやサービスで個人データを扱う場合は、その国の制度を把握したうえで安全管理措置を講じることが、ガイドラインに示されています。

個人情報保護法がシステムの面で事業者に求めることは、個人データの安全管理措置（第23条）、従業者の監督（第24条）、委託先の監督（第25条）、外国にある第三者への提供の扱い（第28条）の4つが中心です。条文は「必要かつ適切な措置」という書き方をしているため、何をすればよいかは、個人情報保護委員会のガイドラインに示された項目を、自社のシステムに置き換えて考えます。

## システムに関わる4つの条文

システムに関わる条文は、次の4つに整理できます。第23条は、個人データの漏えい・滅失・毀損を防ぐための安全管理措置を求めています。第24条は、従業者に個人データを扱わせるときの監督を、第25条は、個人データの取扱いを委託するときの委託先の監督を求めています。第28条は、外国にある第三者に個人データを提供する場合に、原則として本人の同意を得ることなどを求めています。

出典：[個人情報の保護に関する法律（e-Gov法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)

ここでいう個人データとは、検索できるように整理された個人情報のデータベースを構成する個人情報のことです。顧客の管理のシステム、会員のデータベース、社員の名簿など、業務で使うシステムの多くが当てはまります。用語の短い説明は、用語集の[個人情報](https://www.ameliatechnology.co.jp/glossary/personal-information/)にまとめています。

## 安全管理措置は、何をすればよいか

第23条の安全管理措置は、ガイドライン（通則編）が示す7つの項目に沿って整えると、抜けを防ぎやすくなります。項目は、基本方針の策定、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握です。

出典：[個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

このうち、システムの面で中心になるのは技術的安全管理措置です。ガイドラインは、講じなければならない措置として、次の4つを挙げています。

| ガイドラインの項目 | システムで行うことの例 |
|---|---|
| アクセス制御 | 個人データを扱えるシステムと担当者を限り、ID ごとに見られる範囲を決める |
| アクセス者の識別と認証 | 一人ひとりに ID を割り当て、共有の ID を使わない。[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定する |
| 外部からの不正アクセス等の防止 | 修正版を当てる、[ファイアウォール](https://www.ameliatechnology.co.jp/glossary/firewall/)やウイルス対策を使う、外部に公開する範囲を絞る |
| 情報システムの使用に伴う漏えい等の防止 | 通信と保存の[暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/)、持ち出しの制限、ログの記録と確認 |

右の列は、ガイドラインの項目を実務に置き換えた例です。ガイドラインには、中小規模の事業者向けの手法の例も示されているため、会社の規模に合わせて選びます。

物理的安全管理措置（個人データを扱う区域の管理、機器と電子媒体の盗難の防止、持ち運ぶときの漏えいの防止、削除と廃棄など）も、ノートパソコンやスマートフォン、USBメモリーの扱いとしてシステムに関わります。端末の守り方は、[パソコンとスマートフォンの守り方](https://www.ameliatechnology.co.jp/blog/endpoint-security-edr-mdm/)で説明しています。

## 従業者の監督は、システムで何を支えるか

第24条の従業者の監督は、規程と教育だけでなく、システムの権限の設計と記録で支えると、実際に守られているかを確かめやすくなります。

- 業務に必要な範囲だけの権限を与える（[最小権限の原則](https://www.ameliatechnology.co.jp/glossary/least-privilege/)）
- 異動や退職のときに、権限とアカウントをすぐに見直す
- 誰が、いつ、どのデータを見たか、出力したかを[ログ](https://www.ameliatechnology.co.jp/glossary/log/)に残し、定期的に確かめる
- 大量の出力や、いつもと違う時間帯の操作に気づけるようにする

権限の見直しの進め方は、[アクセス権の棚卸しと特権IDの管理の進め方](https://www.ameliatechnology.co.jp/blog/access-review-privileged-id/)で説明しています。

## 委託先の監督は、どこまで求められるか

第25条は、個人データの取扱いの全部または一部を委託する場合に、委託した個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を求めています。ガイドラインは、適切な委託先の選定、委託契約の締結、委託先での取扱いの状況の把握の3つを示しています。

システムの開発会社に本番のデータを触れさせる、保守会社に管理者の権限を渡す、クラウドで動くサービスに顧客の情報を預ける、といった場面が、委託に当たるかを確かめる対象になります。クラウドサービスの利用が委託に当たるかの考え方と、選び方・契約・確かめ方は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)で詳しく説明しています。

## 外国のサーバーやサービスを使うとき

外国にある第三者に個人データを提供する場合、第28条は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得ることを求めています。ただし、日本と同等の水準の制度があると規則で定められた国にある場合や、提供先が規則の基準に合う体制を整えている場合は、扱いが異なります。

また、ガイドラインの外的環境の把握では、外国で個人データを扱う場合に、その国の個人情報の保護に関する制度などを把握したうえで、安全管理のために必要かつ適切な措置を講じることが求められています。

- 使っているクラウドサービスの、データを保存する国と地域を確かめる
- 外国の事業者のサービスで、事業者が個人データを扱う契約になっているかを確かめる
- プライバシーポリシーなどで、本人が知り得る状態にしておく事項を確かめる

外国にある第三者への提供に当たるか、委託に当たるか、自社のサービスの利用にとどまるかは、契約の内容とサービスの形で変わります。

## 改正の動きにも目を配る

2026年7月17日に、個人情報保護法の改正法が公布されました。施行は、一部の規定を除き、公布の日から2年を超えない範囲内で政令で定める日とされ、政令・規則・ガイドラインは、個人情報保護委員会で検討が続いています（2026年11月時点）。システムの設計や委託の契約を見直すときは、委員会の発表を確かめながら進めることが大切です。

出典：[令和8年改正個人情報保護法について（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/)

漏えいなどが起きたときの報告と本人への通知は、[個人データの漏えいが起きたら。委員会への報告と本人への通知](https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/)で説明しています。法律の当てはめは、扱う情報と業務によって変わります。個別の判断は、弁護士などの専門家にご確認ください。

## 当社のご支援

アメリア・テクノロジーでは、個人データを扱うシステムの権限の設計、ログの残し方、委託先の管理の決まりづくりを、[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)の中でご支援しています。業務システムを新しく作る場合や作り直す場合は、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)で、設計の段階から安全管理を組み込みます。法律の判断が要る部分は、弁護士などの専門家と連携して進めていただくようお願いしています。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、おおまかな状況を確かめることもできます。

- 個人情報保護法
- 安全管理措置
- 委託先管理
- クラウド

## この記事に出てくる用語

- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)
- [データベース](https://www.ameliatechnology.co.jp/glossary/database/)
- [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/)
- [不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/)
- [ファイアウォール](https://www.ameliatechnology.co.jp/glossary/firewall/)
- [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/)
- [ログ](https://www.ameliatechnology.co.jp/glossary/log/)
- [最小権限の原則](https://www.ameliatechnology.co.jp/glossary/least-privilege/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第23条（安全管理措置）
   個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第24条（従業者の監督）
   個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、その個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第25条（委託先の監督）
   個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報保護法第28条（外国にある第三者への提供の制限）
   外国にある第三者に個人データを提供する場合は、第27条第1項の各号の場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければなりません。事業の承継などを定めた第27条第5項は、この例外に含まれません。日本と同等の水準の制度がある国として規則で定める国（EU・英国）にある者や、基準に適合する体制を整えている者は、対象から除かれます。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「個人情報保護法で、システムの面から事業者が守ること｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/personal-information-system-basics/