中小規模事業者は個人情報取扱規程・個人情報保護指針をどのように作成するべきか

中小規模事業者と緩和された特例的な安全管理措置

　改正個人情報保護法では、過去6か月以内に5,000以下の個人情報を保有する者も個人情報取扱事業者としての義務を負うことになりますが、平成28年10月4日に公表された「個人情報の保護に関する法律についてのガイドライン（通則編）（案）」8（（別添）講ずべき安全管理措置の内容）において、「中小規模事業者」については緩和された特例的な安全管理措置を許容されています。
　「中小規模事業者」とは、従業員の数が100人以下の個人情報取扱事業者のうち、①その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者、及び、②委託を受けて個人データを取り扱う者を除くもののことです。これも番号法の事業者ガイドラインに準拠した取扱いです。

個人情報取扱規程（中小規模事業者用）の内容

　本稿で例として用意した「個人情報取扱規程（中小規模事業者用）」では、個人情報保護法ガイドライン（通則編）において、中小規模事業者に適用される緩和された（組織的・人的・物理的・技術的）安全管理措置を下に可能な限りシンプルな規程として作成しています。中小規模事業者以外の一般事業者においては適用される管理区域・取扱区域という概念も使用していません。記録関係もできる限り要しない内容としています。

　また、中小規模事業者が通常利用することが考えられない、「オプトアウト手続」（個人情報保護法23条2項～4項）や外国の第三者への提供の制限（個人情報保護法24条）に関する規定はしていません。「第三者提供に係る記録の作成等」（個人情報保護法25条）においても、オプトアウト手続による提供に関する規定をしていません。
　さらに、中小規模事業者は『開示等の請求等に応じる手続』（個人情報保護法32条）を公表しない場合が多いと考えこれも規定していません。
　もちろん、中小規模事業者がそれ以外の一般事業者と同様の安全管理措置に基づく規定の整備をすることは望ましいことです。また、上記で省略した規定についても規定することも考えられます。

個人情報保護法において講じなければならない措置と中小規模事業者における手法の例

　個人情報保護法において講じなければならない措置とされている項目について、中小規模事業者における手法の例を以下のとおりまとめました。

個人情報取扱規程と別紙

　個人情報取扱規程と別紙、個人情報保護指針、当社における個人情報の取扱いについては以下を参照ください。

• 個人情報取扱規程（中小規模事業者用）（PDF）
  ※個人情報取扱規程の別紙
  • 別紙1 個人識別符号（PDF）
  • 別紙2 要配慮個人情報（PDF）
  • 別紙3 個人データ提供記録簿（PDF）
  • 別紙4 個人データ受領記録簿（PDF）
• 個人情報保護指針（PDF）
• 当社における個人情報の取扱いについて（PDF）