小さな会社でも個人情報取扱規程は必要ですか。

取扱件数による除外はありません。個人情報保護法16条2項は個人情報データベース等を事業の用に供している者を個人情報取扱事業者と定め、除かれるのは国の機関、地方公共団体、独立行政法人等、地方独立行政法人だけです。従業員数や保有件数の基準は置かれていません。規程の分量は会社の規模と扱うデータの性質に合わせて簡素にできますが、23条から26条までの役割を誰かが担う点は変わりません。

プライバシーポリシーがあれば社内規程は不要ですか。

役割が違います。公表文書は個人情報保護法32条1項の事項や利用目的を本人の知り得る状態に置くためのもので、社内の実行手順ではありません。23条の安全管理措置、24条の従業者監督、25条の委託先監督、26条の漏えい等対応は、誰が判断し誰が記録するかを社内で決めないと動きません。両方を持ち、改定時に記載が食い違わないよう突き合わせる運用が現実的です。

規程を作っていないこと自体が法令違反になりますか。

個人情報保護法23条から26条まで、施行規則7条・8条は、規程という書面の作成を義務として定めてはいません。義務の対象は措置と監督の実体です。ただし規程がないと、必要かつ適切な措置を講じたことを説明する材料が乏しくなります。法148条2項・3項の命令に従わなかった場合には法178条が1年以下の拘禁刑又は100万円以下の罰金を定めており、体制の不備は勧告・命令の入口になり得ます。

漏えいが起きたら必ず個人情報保護委員会に報告しますか。

個人情報保護法26条1項本文が報告を求めるのは、個人の権利利益を害するおそれが大きいものとして委員会規則で定めるものが生じたときで、規則7条が定める4類型に当たるかを判定します。26条1項ただし書は、他の個人情報取扱事業者又は行政機関等から委託を受けた場合に、規則の定めにより委託元へ通知したときは報告を要しないとします。規則9条は、委託元への通知も規則7条各号の事態を知った後速やかに行うことを求めます。

本人への通知には何を書けばよいですか。

個人情報保護法施行規則7条各号の事態を知った後の本人通知について、同規則10条は「当該事態の状況に応じて速やかに」、本人の権利利益を保護するために必要な範囲で、規則8条1項の1号（概要）、2号（漏えい等が発生し、又は発生したおそれがある個人データの項目）、4号（原因）、5号（二次被害又はそのおそれの有無及びその内容）、9号（その他参考となる事項）を通知するものとしています。委員会へ報告する9項目をそのまま本人へ送る建て付けではありません。

個人情報取扱規程（社内規程）の解読ガイド

個人情報保護規程、個人情報管理規程、個人データ取扱規程、個人情報取扱基本規程とも呼ばれます。

個人情報取扱規程は、対外公表用のプライバシーポリシーとは別に、社内で個人データをどう扱うかを定める内部規程です。誰がどのデータに触れてよいか、委託先をどう監督するか、漏えい等が起きたとき誰が判定し、いつ何を報告・通知するかを決めます。骨格は個人情報保護法23条（安全管理措置）、24条（従業者の監督）、25条（委託先の監督）、26条（漏えい等の報告等）と、報告対象を定める施行規則7条、報告期限を定める施行規則8条です。規程という書面自体に法定の書面要件はなく、措置と監督を実際に行った証跡として働きます。

最終確認日: 2026-08-27

どんなときに必要か

個人情報データベース等を事業の用に供している会社は、規模にかかわらず個人情報取扱事業者に当たります（個人情報保護法16条2項。除かれるのは国の機関、地方公共団体、独立行政法人等、地方独立行政法人）。取扱件数による除外はありません。採用、EC、問い合わせ対応、会員管理、給与・人事、外部クラウド利用、委託先へのデータ提供がある会社ほど、23条から26条までの役割分担を社内で明文化する意味が大きくなります。

書面にする必要はあるか

法定の書面要件はありません（証拠目的）。個人情報保護法23条は「漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を求めますが、措置を規程という書面で定めることまでは要求していません。24条の従業者監督、25条の委託先監督、26条の報告・通知も同様の構造で、義務の対象は書面ではなく実体です。一方、法148条2項・3項の命令に違反した場合には法178条が罰則を定めており、必要かつ適切な措置を講じたことを後から説明する材料として、規程・台帳・教育記録の整備には実務上の意味があります。

必ず入れる事項

適用範囲と対象データの特定
個人情報保護法23条の義務は個人データ（法16条3項＝個人情報データベース等を構成する個人情報）に及びます。紙台帳、共有ドライブ、業務SaaS、私物端末のどれを規程の射程に入れるかを書かないと、漏えい、滅失又は毀損の防止措置の対象が抜け落ちます。
管理責任者・承認権限・報告ライン
個人情報保護法23条は必要かつ適切な措置を実際に講じることを求めます。責任者、持出し等の承認権限、事故時の判定者、記録の保管者を置かない規程は運用主体が定まらず、点検も是正も動きません。法40条2項は苦情処理のための体制整備も努力義務としています。
従業者の遵守事項と教育・監督
個人情報保護法24条は従業者に個人データを取り扱わせるに当たり「当該従業者に対する必要かつ適切な監督」を求めます。さらに法179条は、従業者等が業務で取り扱った個人情報データベース等を「自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用した」場合に1年以下の拘禁刑又は50万円以下の罰金を定めます。
委託先の選定・契約・再委託・終了時処理
個人情報保護法25条は個人データの取扱いの全部又は一部を委託する場合に「委託を受けた者に対する必要かつ適切な監督」を求めます。選定基準、契約条項、再委託の可否、終了時の返却・削除を欠くと、委託先で起きた事故について監督してきた経緯を示せません。
アクセス権限の付与・変更・削除の記録
誰がどの個人データに到達できるかの統制は個人情報保護法23条の措置の中核です。退職者アカウント、共有ID、退職時の端末回収の手順を欠くと、漏えい、滅失又は毀損の防止措置として不十分と評価される余地が残ります。
漏えい等の一次報告窓口と報告対象の判定表
個人情報保護法施行規則7条各号は「漏えい等が発生し、又は発生したおそれがある事態」を対象にします。要配慮個人情報、不正に利用されることにより財産的被害が生じるおそれ、不正の目的、本人の数が千人超の4類型と、おそれ段階での一次報告先を書かないと、個人情報保護法26条1項の報告要否の判断に入れません。
速報・確報の期限表と報告方法
個人情報保護法施行規則8条1項の速報は「前条各号に定める事態を知った後、速やかに」で日数の定めがなく、規則8条2項の確報は「当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）」です。起算日と担当を固定しないと期限管理が崩れます。
本人通知・委託元通知と代替措置の判断者
個人情報保護法26条2項本文は本人への通知を求め、ただし書は「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。」とします。規則10条は本人へ通知する事項を規則8条1項の1号・2号・4号・5号・9号に限っており、委員会報告と内容がそろいません。
外国にある第三者へ渡す場合の判定と手続
個人情報保護法28条1項は、外国（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く）にある第三者へ個人データを提供する場合、同法27条1項各号に掲げる場合を除くほか、本人の同意を求めます。すなわち28条1項は「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」とし、続けて「この場合においては、同条の規定は、適用しない。」と定めます。27条5項1号が委託に伴う提供を第三者への提供から外す扱いは、ここでは働きません。海外事業者のクラウドや海外の委託先について、本人の同意を取るのか、個人情報保護委員会規則で定める基準に適合する体制を整備している者かを確認するのかを、誰がいつ判定するかを規程に置きます。後者を選んだ場合、28条3項は相当措置の継続的な実施を確保するために必要な措置と、本人の求めに応じた情報提供を求めます。

無効・効力が否定されやすい条項

古い雛形をそのまま使うと、次の点でつまずくことがあります。

対外公表用のプライバシーポリシーをそのまま社内規程として使うこと。公表文書は利用目的や個人情報保護法32条1項の事項を本人の知り得る状態に置くための文書で、23条の安全管理措置、24条の従業者監督、25条の委託先監督を社内の誰が実行するかは定めていません。公表文書だけでは、措置と監督を講じた実体を説明する材料になりにくくなります。
漏えい時は本人に必ず通知すると一律に書くこと。個人情報保護法26条2項本文は本人への通知を定める一方、ただし書は「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。」としています。例外を落とすと、連絡先が不明な大量データで運用が止まり、代替措置の判断者も決まりません。
報告対象を、漏えいが確認できた事案だけに絞ること。個人情報保護法施行規則7条各号はいずれも「漏えい等が発生し、又は発生したおそれがある事態」を対象にします。確定を待つ運用にすると、おそれ段階の社内連絡が起きず、26条1項の報告要否の判断に入れません。規則8条1項の速報は報告時点で把握している事項に限る建て付けで、調査完了を前提にしていません。
速報の期限を条文由来の日数として規程に書くこと。個人情報保護法施行規則8条1項は「前条各号に定める事態を知った後、速やかに」と定めるだけで、日数を置いていません。30日以内は規則8条2項の確報の期限であり、60日以内は規則7条3号の「不正の目的をもって行われたおそれがある」当該個人情報取扱事業者に対する行為による類型に限られます。速報・確報・類型の3軸を1つの期限に丸めると管理を誤ります。
秘匿化措置の有無を判定表から落とすこと。個人情報保護法施行規則7条1号の括弧書きは「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。」と定め、除外の効果は規則7条の各号と規則8条1項に及びます。暗号化の方式と鍵の管理状況を記録していないと、除外に当たるかを事後に説明できません。
委託先で起きた事故を社外の問題として規程の外に置くこと。個人情報保護法25条は委託を受けた者への必要かつ適切な監督を求め、26条1項ただし書は、委託を受けた事業者が規則の定めにより委託元へ通知したときに委員会への報告を要しないとします。裏返せば委託元が報告する側に立つため、委託先からの連絡ルートと連絡期限を規程に置かないと起算が遅れます。規則9条は委託元への通知も速やかに行うことを求めます。
持出し禁止や私物端末の扱いを訓示的な努力目標にとどめること。個人情報保護法24条の監督の実体を示せないだけでなく、法179条は従業者等による個人情報データベース等の不正な利益目的での提供・盗用に1年以下の拘禁刑又は50万円以下の罰金を定め、法184条1項1号により法人には1億円以下の罰金刑が科され得ます。禁止行為、権限、違反時の報告先は具体的に書く必要があります。
従業者の誓約書や規程に、違反した場合に支払う金額をあらかじめ書き込むこと。労働基準法16条は「使用者は、労働契約の不履行について違約金を定め、又は損害賠償額を予定する契約をしてはならない。」と定め、同法119条1号は16条違反に6月以下の拘禁刑又は30万円以下の罰金を置いています。現に生じた損害の賠償を後から請求すること自体が禁じられているわけではありませんが、「1件あたり◯円」「漏えい時は◯◯万円」のように金額を先に決めておく条項は置けません。誓約書には、禁止行為と報告義務、退職時の返却・消去を書きます。

作成の流れ

1
公表文書と社内規程を切り分ける
最初に、対外公表用のプライバシーポリシーと社内規程の役割を分けます。公表側は利用目的や個人情報保護法32条1項の事項、社内側は23条の安全管理措置、24条の従業者監督、25条の委託先監督、26条の漏えい等対応をどう実行するかの手順です。両方に重複した文言を置くと、改定のたびに食い違いが生まれます。
2
個人データを棚卸しして適用範囲を決める
部署、業務、システム、媒体ごとに個人データを洗い出し、規程の射程を確定します。紙、共有ドライブ、業務SaaS、外部クラウド、私物端末、バックアップ、委託先に渡しているデータを分けて並べ、保管場所・保管期間・削除の担当まで表にします。棚卸し表は改定時の基礎資料にもなります。
3
安全管理措置を章立てする
個人情報保護法23条を軸に、取得、保管、利用、共有、持出し、廃棄、アクセス権限、ログ、媒体管理、クラウド利用を章立てします。理念だけでなく、責任者、承認手続、禁止事項、例外承認の要件、記録の残し方を書きます。措置の粒度は、取り扱う個人データの性質と量に合わせて調整します。
4
従業者監督と委託先監督を別章にする
個人情報保護法24条の従業者監督と25条の委託先監督は対象も手段も違うため章を分けます。従業者側は教育、誓約、権限、違反時の報告先、退職時処理を置きます。委託先側は選定基準、契約条項、再委託の承認、報告や監査の求め方、事故連絡、終了時の返却・削除を置きます。
5
判定表と期限表を作る
個人情報保護法施行規則7条が定める4類型（要配慮個人情報、不正に利用されることにより財産的被害が生じるおそれ、不正の目的、本人の数が千人超）と秘匿化措置の有無を判定表にします。期限表には規則8条1項の速報、規則8条2項の確報（30日以内、規則7条3号の類型は60日以内）、規則9条の委託元通知、規則10条の本人通知を並べ、担当と様式を決めます。規則8条3項は委員会への報告方法として電子情報処理組織を使用する方法を原則に置いています。
6
運用証跡を残して定期に見直す
規程を作って終わりにせず、教育の実施記録、権限棚卸しの結果、委託先確認の記録、訓練とインシデントの記録、改定履歴を残します。書面自体は効力要件ではありませんが、個人情報保護法23条から25条までの措置と監督を実際に行ったことを説明できる材料になります。法改正や委託先の変更があったときは、判定表と期限表を先に点検します。

専門家に相談したほうがよい場面

個人情報保護法施行規則7条のどの類型に当たるか、個人情報保護法26条1項ただし書の委託元への通知で足りるか、同法26条2項ただし書の代替措置で足りるかは、事案ごとの判断になります。報告様式や運用上の取扱いは個人情報保護委員会の公表資料と窓口が一次情報です。規程の文言や責任分配について法的判断が必要な場面、就業規則の一部として扱うため労働基準監督署への届出が関わる場面（提出代行は社会保険労務士法27条の制限がかかる領域）は、弁護士・社会保険労務士へご相談ください。当社は士業資格者を擁さず、書類作成の受託・代理は行いません。本ガイドは、利用者自身が内容を編集し、自らの名義で運用することを前提とした支援のための情報です。

よくある質問

小さな会社でも個人情報取扱規程は必要ですか。: 取扱件数による除外はありません。個人情報保護法16条2項は個人情報データベース等を事業の用に供している者を個人情報取扱事業者と定め、除かれるのは国の機関、地方公共団体、独立行政法人等、地方独立行政法人だけです。従業員数や保有件数の基準は置かれていません。規程の分量は会社の規模と扱うデータの性質に合わせて簡素にできますが、23条から26条までの役割を誰かが担う点は変わりません。
プライバシーポリシーがあれば社内規程は不要ですか。: 役割が違います。公表文書は個人情報保護法32条1項の事項や利用目的を本人の知り得る状態に置くためのもので、社内の実行手順ではありません。23条の安全管理措置、24条の従業者監督、25条の委託先監督、26条の漏えい等対応は、誰が判断し誰が記録するかを社内で決めないと動きません。両方を持ち、改定時に記載が食い違わないよう突き合わせる運用が現実的です。
規程を作っていないこと自体が法令違反になりますか。: 個人情報保護法23条から26条まで、施行規則7条・8条は、規程という書面の作成を義務として定めてはいません。義務の対象は措置と監督の実体です。ただし規程がないと、必要かつ適切な措置を講じたことを説明する材料が乏しくなります。法148条2項・3項の命令に従わなかった場合には法178条が1年以下の拘禁刑又は100万円以下の罰金を定めており、体制の不備は勧告・命令の入口になり得ます。
漏えいが起きたら必ず個人情報保護委員会に報告しますか。: 個人情報保護法26条1項本文が報告を求めるのは、個人の権利利益を害するおそれが大きいものとして委員会規則で定めるものが生じたときで、規則7条が定める4類型に当たるかを判定します。26条1項ただし書は、他の個人情報取扱事業者又は行政機関等から委託を受けた場合に、規則の定めにより委託元へ通知したときは報告を要しないとします。規則9条は、委託元への通知も規則7条各号の事態を知った後速やかに行うことを求めます。
本人への通知には何を書けばよいですか。: 個人情報保護法施行規則7条各号の事態を知った後の本人通知について、同規則10条は「当該事態の状況に応じて速やかに」、本人の権利利益を保護するために必要な範囲で、規則8条1項の1号（概要）、2号（漏えい等が発生し、又は発生したおそれがある個人データの項目）、4号（原因）、5号（二次被害又はそのおそれの有無及びその内容）、9号（その他参考となる事項）を通知するものとしています。委員会へ報告する9項目をそのまま本人へ送る建て付けではありません。

出典

最終確認日: 2026-08-27

同じ分類のガイド（取引・契約）

本ページは一般的な情報提供であり、個別の事案についての法律判断ではありません。本ガイドが扱う書類は、利用者自身による編集・提出・締結を前提とした支援のための情報です。ソロイは書類作成の受託を行うものではなく、記載内容の正確性について保証するものでもありません。実際の作成・運用にあたっては、出典の原文をご確認いただくか、弁護士など有資格の専門家にご相談ください。