個人情報保護法・安全管理措置の実務ガイド（令和8年版）

　個人情報保護法第23条は、事業者に対して「個人データの漏えい・滅失・毀損等を防ぐための安全管理措置」を義務づけています。

　しかし、安全管理措置は抽象的な概念であり、実務では何をどこまでやればよいのかわかりにくいという問題があります。

　本記事では、個人情報保護委員会が公表する「個人情報の保護に関する法律についてのガイドライン（通則編）」をもとに、安全管理措置の内容を体系的に整理します。対象となるのは個人データだけでなく、個人データとなった仮名加工情報及び匿名加工情報も含まれます。

　安全管理措置は、事業者が直面するリスクに応じて柔軟に選択すべきものであり、ガイドラインに示される措置は例示に過ぎません。したがって、すべてを採用しなければならないわけではなく、また、例示に限定されるものでもありません。

　また、中小規模事業者については、取り扱う個人データの量や従業者数が一定程度にとどまることを踏まえ、大規模事業者向けよりも緩和された措置の例が示されています。ただし、中小規模事業者が大規模事業者向けの措置を採用することは全く問題ありません。

　自社の状況に応じて、必要かつ適切な安全管理措置を選択するための参考として、本記事をご活用ください。

1．基本方針の策定

　個人情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針（例：プライバシーポリシー）を策定する。

基本方針に含める項目の例：

• 事業者の名称
• 関係法令・ガイドライン等の遵守
• 安全管理措置に関する事項
• 質問及び苦情処理の窓口

2．個人データの取扱いに係る規律の整備

　個人情報取扱事業者は、個人データの具体的な取扱いに係る規律を整備しなければならない。

取扱いに係る規律の例：

• 個人データの取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定める取扱規程を策定する。
  • 取扱規程の策定にあたっては、以降に記載する組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置の内容を織り込むことが重要である。
• 中小規模事業者にあっては、個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備する。

3．組織的安全管理措置

　個人情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。

1. 　組織体制の整備
   • 内容：安全管理措置を講ずるための組織体制を整備する。
     • 具体例：個人データの取扱いに関する責任者の設置及び責任の明確化
     • 具体例：個人データを取り扱う従業者及びその役割の明確化
     • 具体例：上記の従業者が取り扱う個人データの範囲の明確化
     • 具体例：法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
     • 具体例：個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制
     • 具体例：個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化
     • 具体例：中小規模事業者にあっては、個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する。
2. 　個人データの取扱いに係る規律に従った運用
   • 内容：あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱うとともに、その運用状況を確認するために利用状況等を記録する。
     • 具体例：例えば次のような項目に関して、システムログその他の個人データの取扱いに係る記録の整備¹や業務日誌の作成等を通じて個人データの取扱いの検証を可能とすることにより、個人データの取扱いに係る規律に従った運用を確保する。
       • 個人情報データベース等の利用・出力状況
       • 個人データが記載又は記録された書類・媒体等の持ち運び等の状況
       • 個人情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）
       • 個人情報データベース等を情報システムで取り扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）
     • 具体例：中小規模事業者にあっては、あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する。
3. 　個人データの取扱状況を確認する手段の整備
   • 内容：個人データの取扱状況を確認するための手段を整備する。
     • 具体例：例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とする。
       • 個人情報データベース等の種類、名称
       • 個人データの項目
       • 責任者・取扱部署
       • 利用目的
       • アクセス権を有する者
     • 具体例：中小規模事業者にあっては、あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する。
4. 　漏えい等事案に対応する体制の整備
   • 内容：漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備する。
     • 具体例：漏えい等事案の発生時に例えば次のような対応を行うための体制を整備する。
       • 事実関係の調査及び原因の究明
       • 影響を受ける可能性のある本人への通知
       • 個人情報保護委員会等への報告
       • 再発防止策の検討及び決定
       • 事実関係及び再発防止策等の公表
     • 具体例：中小規模事業者にあっては、漏えい等事案の発生時に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認する。
5. 　取扱状況の把握及び安全管理措置の見直し
   • 内容：個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。
     • 具体例：個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。
     • 具体例：外部の主体による監査活動と合わせて、監査を実施する。
     • 具体例：中小規模事業者にあっては、責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う。

4．人的安全管理措置

　個人情報取扱事業者は、人的安全管理措置として、以下に掲げる措置を講じなければならない。

• 従業者に、個人データの適正な取扱いを周知徹底するとともに適切な教育を行う。
  • 具体例：個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
  • 具体例：個人データについての秘密保持に関する事項を就業規則等に盛り込む。

　また、個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、法第24条に基づき従業者に対する監督をしなければならない。

5．物理的安全管理措置

　個人情報取扱事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。

1. 　個人データを取り扱う区域の管理
   • 内容：個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（「管理区域」）及びその他の個人データを取り扱う事務を実施する区域（「取扱区域」）について、それぞれ適切な管理を行う。
     • 具体例：管理区域について、入退室管理及び持ち込む機器等の制限等を実施する。
     • 具体例：取扱区域について、間仕切り等の設置、座席配置の工夫、のぞき込み防止措置を実施して、権限を有しない者による個人データの閲覧等の防止措置を講ずる。
     • 具体例：中小規模事業者にあっては、個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる。
2. 　機器及び電子媒体等の盗難等の防止
   • 内容：個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行う。
     • 具体例：個人データを取り扱う機器、個人データが記録された電子媒体又は個人データが記載された書類等を施錠可能なキャビネット・書庫等に保管する。
     • 具体例：個人データを取り扱う情報機器をセキュリティワイヤー等により固定する。
3. 　電子媒体等を持ち運ぶ場合の漏えい等の防止
   • 内容：個人データが記録された電子媒体又は書類等を管理区域・取扱区域から外部へ移動する場合、容易に個人データが判明しないよう、個人データの紛失・盗難等に留意した安全な方策を講じる。
     • 具体例：持ち運ぶ個人データの暗号化、パスワードによる保護等を行った上で電子媒体に保存する。
     • 具体例：封緘、目隠しシールの貼付けを行う。
     • 具体例：施錠できる搬送容器を利用する。
4. 　個人データの削除及び機器、電子媒体等の廃棄
   • 内容：個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で削除・廃棄を実行し、削除・廃棄記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除・廃棄したことについて証明書等により確認する。
     • 具体例：個人データが記載された書類等を廃棄する方法として、焼却、溶解、適切なシュレッダー処理等の復元不可能な手段を採用する。
     • 具体例：情報システム（パソコン等の機器）において、個人データを削除する場合、容易に復元できない手段を採用する。
     • 具体例：個人データが記録された機器、電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。
     • 具体例：中小規模事業者にあっては、個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄したことを、責任ある立場の者が確認する。

6．技術的安全管理措置

　個人情報取扱事業者は、情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、技術的安全管理措置として、次に掲げる措置を講じなければならない。

1. アクセス制御
   • 内容：担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行う。
     • 具体例：個人情報データベース等を取り扱うことのできる情報システムを限定する。
     • 具体例：情報システムによってアクセスすることのできる個人情報データベース等を限定する。
     • 具体例：ユーザーIDに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる従業者を限定する。
     • 具体例：中小規模事業者にあっては、個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する。
2. アクセス者の識別と認証
   • 内容：個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。
     • 具体例：ユーザーID、パスワード、磁気・ICカード等にて識別・認証する。
     • 具体例：中小規模事業者にあっては、機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する。
3. 外部からの不正アクセス等の防止
   • 内容：個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。
     • 具体例：情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。
     • 具体例：情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入し、不正ソフトウェアの有無を確認する。
     • 具体例：機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
     • 具体例：ログ等の定期的な分析により、不正アクセス等を検知する。
     • 具体例：中小規模事業者にあっては、個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
     • 具体例：中小規模事業者にあっては、個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。
4. 情報システムの使用に伴う漏えい等の防止
   • 内容：情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用する。
     • 具体例：情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む。）。
     • 具体例：個人データを含む通信の経路又は内容を暗号化する。
     • 具体例：移送する個人データについて、パスワード等による保護を行う。
     • 具体例：中小規模事業者にあっては、メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する。²

7．外的環境の把握

　個人情報取扱事業者は、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

---

注釈：

1. 　安全管理措置として求められる「個人データへのアクセス状況の把握」を実現するには、サーバー・データベース・アプリケーションなど複数のレイヤーでログを記録する必要があります。これは、技術的安全管理措置における「アクセス制御」「アクセス者の識別と認証」「外部からの不正アクセス等の防止」など複数の項目にまたがる措置です。そのため、ログを記録するための設計や運用は専門家によるシステム構築が不可欠です。
   　もっとも、小規模事業者に対して、大規模事業者と同水準のログ管理システムを構築することまでは求められていません。PCやクラウドサービスに備わっている標準的なログ機能を活用し、誰がいつ個人データにアクセスしたかを把握できる状態を確保すれば、ガイドラインが求める「実効性のある安全管理措置」として十分と考えられます。 ↩︎
2. 　個人情報保護委員によるガイドライン制定時の例示であり、現在ではメールの添付ファイルにパスワードを設定する方法（いわゆるPPAP）は一般的に推奨されていません。メールの誤送信やメールサーバーの侵害が発生した場合、添付ファイルとパスワードが同時に漏えいする可能性があるためです。
   　現在では、これに代わる手法として、クラウドストレージやデータ転送サービスを利用し、アクセス権限や有効期限を設定したうえでファイルを共有する方法がより安全とされています。 ↩︎