法改正の中身を待たずに動く理由
個人情報保護法は、改正のたびに事業者の義務が重くなってきました。今後の見直し内容は、個人情報保護委員会の公式サイトで随時公表されます。ここでは未確定の改正内容を断定せず、「要確認」として扱います。
現場でよくある判断ミスは、「改正の内容が固まってから動こう」と待ってしまうことです。備えの土台は、改正の中身に左右されません。自社がどんな個人情報を、どこに、誰が持っているかを把握していれば、どの改正にも対応しやすくなります。逆に、把握していない会社は、改正のたびに一から調べ直すことになります。
新潟の道の駅や観光施設は、実は個人情報の宝庫です。ふるさと納税や通販の注文者名簿、宿泊・体験予約、会員カード、アンケート、スタッフのシフト表、防犯カメラの映像まであります。「うちは小さいから関係ない」と考えがちですが、法の義務は取り扱う件数が少なくても事業者に課されます。
備えの型：棚卸し→初動→委託先の3段階
1. 棚卸し：台帳を1枚つくる
最初にやるのは、個人情報の置き場所を一覧にすることです。完璧を目指さず、次の4列だけで十分です。
| 情報の種類 | 保管場所 | 見られる人 | 使う目的 |
|---|---|---|---|
| 通販の注文者情報 | 受注システム・紙の伝票 | 事務2名 | 発送・問い合わせ |
| 体験予約の名簿 | 予約フォーム・LINE | 現場責任者 | 当日の受付 |
| 従業員の情報 | 給与ソフト・書庫 | 経営者・経理 | 給与・社会保険 |
つまずきやすいのは、紙のメモや個人のスマホのLINEが漏れることです。繁忙期の現場では、予約の名前と電話番号を手書きのメモや私用のスマホで受けがちです。台帳をつくる段階で「現場にだけ存在する情報」を聞き取ると、実態が見えてきます。
2. 初動：漏えいが起きた日の動きを決める
個人情報保護委員会の公式ページ（https://www.ppc.go.jp/personalinfo/legal/leakAction/ 、2026-10-15確認）によると、要配慮個人情報の漏えいや、不正な目的による漏えい、1,000人を超える漏えいなどは、国への報告が義務です。期限は、発覚から速報が3〜5日以内、確報が30日以内（不正目的のおそれがある場合は60日以内）とされています。
大切なのは、期限を暗記することより「誰が最初に判断するか」を決めておくことです。たとえば、観光シーズン中に予約名簿を誤送信した場合を考えます。担当者が黙って対応すると、発覚から日数だけが過ぎます。そこで次の流れを紙1枚にしておきます。
- 気づいた人がすぐ責任者に伝える（隠さない）
- 何の情報が、何人分、どこへ出たかを記録する
- 責任者が報告対象かを判断し、必要なら委員会へ報告する
委託先管理：自社だけ守っても足りない
見落とされやすいのが委託先です。通販カートの運営会社、予約サービス、メール配信ツール、ホームページの保守業者に、お客様の情報を預けているはずです。委託先で漏えいが起きても、預けた側の責任は消えません。
選ぶ基準は、機能や価格より先に「情報がどこに保存され、事故のときにどう連絡が来るか」を答えられるかどうかです。次の表で、委託先ごとに確認します。
| 確認項目 | ○の目安 | 要注意の例 |
|---|---|---|
| 事故時の連絡窓口 | 担当と連絡手段が明記 | 問い合わせフォームのみ |
| 預けた情報の削除 | 解約時の扱いが明記 | 記載なし |
| 担当者のアクセス権 | 人ごとに権限を分けられる | 全員が共通パスワード |
サービスごとの規約や仕様は変わるため、各社の公式ヘルプで最新の内容を確認してください。
明日やれる一歩
明日は、台帳をつくる前に「個人情報を受け取っている場面」を3つ書き出してください。レジ横の予約メモ、ホームページの問い合わせフォーム、通販の伝票などで構いません。10分で終わります。書き出した3つについて、保管場所と見られる人を横に書けば、台帳の第1行が完成します。
規制の強化は負担に見えますが、棚卸しをした会社は、お客様に「預けて安心」と伝えられるようになります。備えは、信頼を積み上げる作業でもあります。