顧客情報を扱うときの個人情報保護法

この記事の要点

取扱件数の要件は撤廃されているため、顧客が1人でも個人情報取扱事業者です。ひとり法人でも、問い合わせフォームを置いた時点で対象になります。

	条文	やること
①利用目的を特定する	17条1項	「できる限り特定しなければならない」
②目的の範囲で使う	18条1項	同意なく目的の達成に必要な範囲を超えて取り扱わない
③目的を伝える／公表する	21条1項・2項	取得したら速やかに通知または公表。書面で直接取得するときは事前に明示
④第三者提供は同意を得る	27条1項	法令に基づく場合などを除き、あらかじめ本人の同意

やること	条文が求めていること
①利用目的を決める	「できる限り特定」する。「事業のため」では足りず、何に使うかまで書く（17条1項）
②その範囲で使う	本人の同意なく、決めた目的の達成に必要な範囲を超えて使わない（18条1項）
③本人に伝える	取得したら速やかに通知または公表。フォームや契約書で直接もらうときは、もらう前に明示（21条1項・2項）
④外に出すときは同意	法令に基づく場合などを除き、あらかじめ本人の同意を得る（27条1項）

③の「直接もらうときは、もらう前」がひとり法人でいちばん抜けます。問い合わせフォームは「本人から直接書面（電磁的記録を含む）で取得する場合」にあたるため、送信ボタンの前に利用目的が見えている必要があります。

プライバシーポリシーに書く内容も条文で決まっています。本人の知り得る状態に置くべき項目は4つです。

1に代表者の氏名が含まれる点に注意してください。ただし「本人の知り得る状態」には求めに応じて遅滞なく回答する場合も含まれるため、サイトに常時掲載しなければならないわけではありません。聞かれたら答えられる状態にしておけば足ります。

一号に注意してください。法人の名称・住所に加えて代表者の氏名が挙げられています。「本人の知り得る状態」には求めに応じて回答する場合も含まれるため、必ずしもサイト上に常時掲載しなければならないわけではありませんが、問い合わせがあれば答えられる状態にしておく必要があります。

サイト上の住所表示については別の法律の論点もあります。→ 特定商取引法と住所表示、本店移転の手続き

問い合わせフォームだけ置いて、利用目的を書いていない：21条に反する
名刺をそのままメルマガに登録する：取得時の目的を超える（18条）
外注先に顧客リストを渡す：委託の場合は27条の第三者提供にあたらないが、委託先の監督義務が別にかかる → 業務委託契約と偽装請負の線引き、秘密保持契約（NDA）の実務
個人のGoogleアカウントで顧客データを管理：漏えい時に説明できない → 会社の重要書類の保管

人を雇えば、履歴書・給与情報・扶養情報も個人情報です。マイナンバーはさらに厳しい別のルールがかかります。→ マイナンバーの取扱い、初めて人を雇うときの手続き

1. どんな個人情報を、どこで、何のために取得しているかを書き出す
2. 利用目的をできる限り具体的に決める
3. プライバシーポリシーを作ってサイトに載せる
4. フォームの送信ボタン付近からポリシーへリンクする
5. データの置き場所を法人のアカウントに集約する

この記事は条文の該当箇所を示したものです。要配慮個人情報、安全管理措置、漏えい時の報告義務など、事業内容によって追加で必要になる対応があります。個人情報保護委員会のガイドラインで確認してください。

個人情報の保護に関する法律第17条第1項：個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない。
同第18条第1項：あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
同第21条第1項：個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに、本人に通知し、又は公表しなければならない。同第2項：契約書その他の書面に記載された本人の個人情報を直接書面で取得する場合は、あらかじめ本人に利用目的を明示しなければならない。
同第27条第1項：法令に基づく場合等を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
同第32条第1項：保有個人データに関し、①事業者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名、②全ての保有個人データの利用目的、③開示・訂正・利用停止等の請求に応じる手続（手数料を定めたときはその額）、④政令で定める事項を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。

出典：個人情報の保護に関する法律 17条、18条、21条、27条、32条（e-Gov法令検索で条文を確認）／最終確認日：2026年9月9日