「個人情報を大量に抱える大企業やITプラットフォーマーだけが規制の対象だ」という言説は、現場取材を重ねる中でもいまだに根強く耳にする致命的な勘違いです。結論から言えば、日本の個人情報保護法において、資本金の額や売上高、従業員数による除外規定は存在しません。
中小企業の該当条件や個人事業主の適用範囲を分ける唯一の基準は、「個人情報データベース等を事業の用に供しているか否か」という1点に尽きます。ここで言う「個人情報データベース等」とは、特定の個人情報をコンピュータで容易に検索できるよう体系的に構成したものはもちろん、紙媒体であっても五十音順や日付順にファイリングされ、目次やインデックスによって容易に特定の個人を検索できる状態にしたものを含みます。
つまり、次のような日常業務を行っている事業者は、事業規模に関係なくすべて法的な義務を負う事業者となります。
- パソコンの表計算ソフト（Excel等）で取引先や顧客の氏名・電話番号・メールアドレスを一覧管理している
- 業務用のスマートフォンに顧客の連絡先を登録し、日々の連絡に活用している
- 名刺管理アプリを契約し、社員や個人で交換した名刺をスキャンして共有・検索している
- ECサイトや問い合わせフォームを通じて、一般消費者から注文情報や相談内容を受け取っている
「2017年5月30日施行の改正法によって、旧法に存在した『5,000人要件』は完全に撤廃されました。この事実を未だにアップデートできていない経営層が、監査や顧客トラブルの際に致命傷を負っています」と、企業法務を専門とする弁護士は警鐘を鳴らします。自社を「対象外」と決めつける行為は、法的リスクに対する無防備な怠慢にほかなりません。
