顧客情報を扱うときの個人情報保護法

取扱件数の要件は撤廃されているため、顧客が1人でも個人情報取扱事業者です。ひとり法人でも、問い合わせフォームを置いた時点で対象になります。

最低限やる4つ

	条文	やること
①利用目的を特定する	17条1項	「できる限り特定しなければならない」
②目的の範囲で使う	18条1項	同意なく目的の達成に必要な範囲を超えて取り扱わない
③目的を伝える／公表する	21条1項・2項	取得したら速やかに通知または公表。書面で直接取得するときは事前に明示
④第三者提供は同意を得る	27条1項	法令に基づく場合などを除き、あらかじめ本人の同意

条文

第17条第1項：個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない。
第18条第1項：あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
第21条第1項：個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
第21条第2項：本人との間で契約を締結することに伴って契約書その他の書面に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。
第27条第1項：法令に基づく場合等を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

プライバシーポリシーに書くこと

第32条第1項：保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二全ての保有個人データの利用目的
三開示・訂正・利用停止等の請求に応じる手続（手数料を定めたときはその額）
四その他、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

一号に注意してください。法人の名称・住所に加えて代表者の氏名が挙げられています。「本人の知り得る状態」には求めに応じて回答する場合も含まれるため、必ずしもサイト上に常時掲載しなければならないわけではありませんが、問い合わせがあれば答えられる状態にしておく必要があります。

サイト上の住所表示については別の法律の論点もあります。→ 特定商取引法と住所表示、本店移転の手続き

ひとり法人で起きやすいこと

問い合わせフォームだけ置いて、利用目的を書いていない：21条に反する
名刺をそのままメルマガに登録する：取得時の目的を超える（18条）
外注先に顧客リストを渡す：委託の場合は27条の第三者提供にあたらないが、委託先の監督義務が別にかかる → 業務委託契約と偽装請負の線引き、秘密保持契約（NDA）の実務
個人のGoogleアカウントで顧客データを管理：漏えい時に説明できない → 会社の重要書類の保管

従業員の情報も対象

人を雇えば、履歴書・給与情報・扶養情報も個人情報です。マイナンバーはさらに厳しい別のルールがかかります。→ マイナンバーの取扱い、初めて人を雇うときの手続き

やる順番

1. どんな個人情報を、どこで、何のために取得しているかを書き出す
2. 利用目的をできる限り具体的に決める
3. プライバシーポリシーを作ってサイトに載せる
4. フォームの送信ボタン付近からポリシーへリンクする
5. データの置き場所を法人のアカウントに集約する

この記事は条文の該当箇所を示したものです。要配慮個人情報、安全管理措置、漏えい時の報告義務など、事業内容によって追加で必要になる対応があります。個人情報保護委員会のガイドラインで確認してください。

次に読む

6問で次にやることを出す

出典：個人情報の保護に関する法律 17条、18条、21条、27条、32条（e-Gov法令検索で条文を確認）／最終確認日：2026年9月9日