新規事業での個人情報の取り扱い：取得から漏えい対応まで

新規事業で個人情報を扱うなら、サービスを作り始める段階で「何の目的で、どの情報を、どこに保存し、誰に渡すか」を決め、その内容をプライバシーポリシー等で公表できる状態にしておくことが基本です。個人情報保護法の義務は、営利・非営利を問わず個人情報データベース等を事業に使う者（個人情報取扱事業者）に課されるため、MVPの段階でも対象になります。

この記事では、個人情報保護委員会の資料「個人情報保護法の基本」（令和5年9月）などをもとに、新規事業の工程に沿って確認点を整理します。

まず押さえておく言葉

個人情報保護法では、情報の種類によって守るべきルールが変わります。

用語	意味（要旨）	新規事業での例
個人情報	生存する個人に関する情報で、特定の個人を識別できるもの（他の情報と容易に照合して識別できるものを含む）、または個人識別符号を含むもの	氏名、顔写真、氏名と組み合わせた住所や生年月日
個人識別符号	身体的特徴を変換した符号や、旅券番号・免許証番号・マイナンバーなど公的な番号。単体で個人情報になる	顔認識データ、指紋データ
個人データ	個人情報データベース等（検索できるように体系的に構成したもの）を構成する個人情報	顧客管理システムに登録した顧客情報
保有個人データ	事業者が開示・訂正・利用停止等の権限を持つ個人データ	自社サービスの会員情報
要配慮個人情報	人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実など、取扱いに特に配慮を要するもの	健康診断の結果、障害の有無
個人関連情報	個人に関する情報のうち、個人情報に当たらないもの	Cookie等で集めた閲覧履歴、位置情報、購買履歴

新規事業で特に注意したいのは、要配慮個人情報と個人関連情報です。ヘルスケア、人材、保険、教育などの分野では要配慮個人情報を扱う場面が多く、取得には原則として本人の同意が必要です。また、Webサービスで集める閲覧履歴などは単体では個人情報に当たらなくても、提供先で個人データと結び付くことが想定される場合には、提供元は、提供先で本人の同意が得られていること等を確認しなければなりません（法第31条）。

設計の段階で決めること

利用目的をできる限り具体的に書く

個人情報を取得する前に、利用目的をできる限り特定し（法第17条）、あらかじめ公表しておくか、取得時に本人へ通知または公表します（法第21条）。申込みフォームなど本人から直接書面（電子的なものを含む）で取得する場合は、あらかじめ利用目的を明示します。

新規事業では、後から「集めたデータを分析して別のサービスにも使いたい」となることがよくあります。利用目的を変更できるのは、変更前の目的と関連性があると合理的に認められる範囲に限られ、それを超える場合は本人の同意が必要です（法第17条・第18条）。そのため、最初の段階で将来の使い方も検討し、利用目的に書けるものは書いておきます。

集める項目を絞る

「後で使うかもしれない」項目を集めるほど、安全管理の負担と漏えい時の影響が大きくなります。個人情報保護法は、個人データを利用する必要がなくなったときは消去するよう努めることも求めています（法第22条）。MVPで検証したいことに必要な項目だけを集め、保存期間を決めておきます。

個人情報保護委員会の「個人情報等の適正な取扱いに関係する政策の基本原則」は、事後の改修費用や信用の毀損を防ぐ観点から、個人の権利利益の保護を設計段階で組み込む「プライバシー・バイ・デザイン」の考え方を重要としています。行政機関向けの原則ですが、サービスを作る側にとっても参考になる考え方です。

保管と管理

安全管理措置

事業者は、個人データの漏えい、滅失、毀損を防ぐための安全管理措置を講じる必要があります（法第23条）。個人情報保護委員会の資料では、組織的・人的・物理的・技術的な措置と外的環境の把握が挙げられています。ガイドラインは、従業員100人以下の事業者（取り扱う個人情報が5,000人分を超える事業者や、委託を受けて個人データを扱う事業者を除く）を「中小規模事業者」とし、安全管理措置について中小規模事業者向けの手法の例も示しています。具体的な技術対策はMVP段階で押さえるセキュリティ対策で扱っています。

外部サービスへの委託と委託先の監督

クラウドの顧客管理ツールやメール配信サービス、開発会社など、個人データの取扱いを外部に任せる場面は多くあります。個人データの取扱いを委託する場合、委託先は第三者提供の同意が不要な例外として扱われますが、委託元は委託先に対して必要かつ適切な監督を行う義務を負います（法第25条）。契約で安全管理の内容を決め、委託先がどのように扱っているかを把握します。

外国のサービスや事業者に渡す場合

外国にある第三者へ個人データを提供する場合は、原則として、参考となる情報を本人に提供したうえで本人の同意を得る必要があります（法第28条）。例外として、提供先が個人情報保護委員会の定める基準に適合する体制を整備している場合や、日本と同等の水準にあると認められる制度を持つ国（EU（EEA加盟国）と英国）にある場合があります。海外のサービスを使う場合は、データがどこで扱われるかを確認します。

第三者に渡すとき

個人データを第三者に提供するには、原則として本人の同意が必要です（法第27条）。法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが難しい場合などの例外や、オプトアウト手続（事前の通知と個人情報保護委員会への届出等が必要）もありますが、新規事業では同意を得る設計にするのが基本です。

協業先と顧客データを共有する場合は、「委託」「共同利用」「第三者提供」のどれに当たるかで必要な手続が変わります。共同利用では、共同利用すること、データ項目、利用する者の範囲、利用目的、責任を有する者を、本人が容易に知り得る状態に置く必要があります。

第三者に提供したときや第三者から提供を受けたときは、一定の事項を記録し、原則3年保存します（法第29条・第30条）。

公表と本人からの請求への対応

保有個人データについては、事業者の名称・住所・代表者名、全ての保有個人データの利用目的、開示等の請求に応じる手続、安全管理のために講じた措置（公表により支障が出るものを除く）、苦情の申出先などを、本人が知り得る状態に置きます（法第32条）。本人から開示、訂正、利用停止等の請求があった場合は対応します（法第33条〜第35条）。これらをまとめて公表するのがプライバシーポリシーです。書き方は利用規約とプライバシーポリシーの作り方で扱っています。

漏えいが起きたとき

個人データの漏えい等が起き、個人の権利利益を害するおそれが大きい場合は、個人情報保護委員会への報告と本人への通知が法律上の義務です（法第26条）。個人情報保護委員会によると、報告の対象は次のいずれかに当たる場合で、漏えい等の「おそれ」がある事案も含みます。

• 要配慮個人情報の漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある漏えい等
• 不正の目的をもって行われたおそれがある漏えい等
• 本人の数が1,000人を超える漏えい等

報告には期限があり、速報は発覚日から3〜5日以内、確報は発覚日から30日以内（不正の目的によるおそれがある場合は60日以内）とされています。小さなチームでも、誰が判断し、誰が報告するかを事前に決めておきます。

2026年の法改正

2026年7月、「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました。個人情報保護委員会が公表している法律案の概要資料によると、統計情報等の作成（統計作成等と整理できるAI開発等を含む）にのみ利用される場合の本人同意を不要とすること、16歳未満の者の個人情報の取扱いに関する規定、顔特徴データ等の取扱いに関する規定、委託を受けた事業者の義務の見直し、課徴金制度の導入などが含まれています。施行は原則として公布日から2年以内で政令で定める日とされているため、施行日と関連するガイドラインの改正を確認しながら対応を検討してください。

大企業と起業家で異なる点

大企業の新規事業担当者の場合

既存事業で取得した顧客データを新規事業に使いたい場合、その利用目的の範囲に収まるかが最初の論点になります。グループ会社や新設会社にデータを渡す場合は、同じ企業グループでも別の法人であれば、第三者提供や委託、共同利用のどれに当たるかを整理する必要があります。社内の個人情報保護の担当部署や法務部門に、企画段階から相談します。

起業家・スタートアップの場合

少人数でも個人情報取扱事業者になります。外部のSaaSを組み合わせてサービスを作ることが多いため、どのサービスにどのデータを預けているかの一覧を作り、各サービスの規約とデータの保存場所を確認しておくと、プライバシーポリシーの作成や漏えい時の対応が楽になります。投資家や取引先の審査で個人情報の管理体制を聞かれることもあります。

まとめ

• 個人情報を取得する前に利用目的を具体的に決め、公表または通知する
• 集める項目は検証に必要なものに絞り、保存期間を決める
• 外部サービスへの委託では委託先を監督し、第三者提供や外国への提供では同意等の要件を確認する
• 漏えい等の報告対象と期限を把握し、社内の判断者を決めておく
• 2026年の法改正の施行時期を確認する

制度は改定されます。サービスの公開や契約の前に、個人情報保護委員会の公式情報と専門家（弁護士など）に確認してください。

参考資料

• 個人情報保護法の基本（令和5年9月）（個人情報保護委員会）
• 個人情報の保護に関する法律（e-Gov法令検索）
• 漏えい等の対応とお役立ち資料（個人情報保護委員会）
• 法令・ガイドライン等（個人情報保護委員会）
• いわゆる３年ごと見直しの経緯（令和８年改正個人情報保護法関係）（個人情報保護委員会）
• 個人情報の保護に関する法律等の一部を改正する法律案（概要）（個人情報保護委員会）
• 「個人情報の保護に関する法律等の一部を改正する法律」の公布について（令和８年７月17日）（個人情報保護委員会）