「個人 情報 取り扱い」で調べる人が知りたいのは、法律の全体像ではありません。自分が作っている名簿が決まりの対象なのか、どこまで用心すればよいのか、間違えたときに何が起きるのかです。町内会の世帯名簿、PTAの連絡先の一覧、教室の生徒の記録は、どれも氏名と連絡先が並んだ表です。この記事では、その表がどの扱いになるのか、集めるときに先に決めておくこと、保管と受け渡しの決まり、漏れたときの報告義務、そして2026年に公布された改正でどこが論点になっているのかを、順に決められる形で並べます。
個人情報の取り扱いは、町内会やPTAにも同じように及ぶ
個人情報保護法の正式な名前は、個人情報の保護に関する法律です。平成15年（2003年）5月に制定され、平成17年（2005年）4月に全面施行されました。この法律は国の行政機関や企業だけを縛るものではなく、個人情報を取り扱う全ての事業者や組織が守る共通のルールとして案内されています。
政府の広報でも、この法律の説明は町内会の場面から始まっています。
仕事や学校、町内会・自治会や同窓会などの活動で、名簿を作成するために誰かの名前や連絡先などの「個人情報」を集めたことはありませんか。 出典: gov-online.go.jp
かつては、取り扱う個人情報の件数が少ない組織は対象から外れていました。いまはその線引きがありません。会員が30世帯の町内会でも、生徒が15人の教室でも、名簿を作った時点で同じ決まりの中に入ります。規模が小さいから関係ないという考え方は成り立ちません。
とはいえ、企業と同じ体制を組む必要があるわけではありません。求められているのは、目的を決めて集めること、漏れないように保管すること、勝手に人へ渡さないこと、聞かれたら答えること。この4つです。専門の担当者を置かなくても、決めごとを紙1枚に書いて役員が共有すれば足ります。重いのは体制ではなく、決めていない状態を続けることです。
決めていない状態がなぜ重いのかというと、判断が個人に委ねられるためです。班長が名簿を自分のスマホで撮って保存する、退任した役員の家に旧年度の名簿が残り続ける、行事の写真を誰でも開ける場所へ保存する。どれも悪意のない行動ですが、決まりが無いところでは止められません。決まりを先に書いておく目的は、人を縛ることではなく、判断を個人から外すことです。
何が個人情報になるのか、どこから用心が要るのか
個人情報保護法でいう個人情報は、生存する個人に関する情報で、氏名、生年月日、住所、顔写真などによって特定の個人を識別できるものです。他の情報と容易に照合でき、それによって特定の個人を識別できるものも含まれます。生年月日や電話番号は単体では誰か分かりませんが、氏名と組み合わせれば特定できるため、個人情報に当たる場合があります。メールアドレスも、利用者名やドメイン名から誰か分かる場合はそれ自体が単体で個人情報です。
このほか、その情報だけで特定の個人を識別できるものとして政令と規則で定められたものを個人識別符号といいます。顔、指紋、虹彩、声紋、歩行の態様、手指の静脈、掌紋の認証データ、パスポート番号、基礎年金番号、運転免許証番号、住民票コード、マイナンバー、保険者番号などが挙げられています。会の運営で扱う機会があるのは運転免許証番号とマイナンバーで、どちらも本来は集める必要がありません。身分の確認のために免許証の写しを預かる運用をしている会は、その写しをいつ捨てるのかまで決めておいてください。
特に扱いに配慮すべきものは要配慮個人情報と呼ばれます。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により被害を被った事実のほか、身体障害や知的障害や精神障害があること、医師などが行った健康診断その他の検査の結果、保健指導、診療や調剤の情報、逮捕などの刑事事件の手続が行われたことなどが含まれる個人情報です。これらの取得には、原則としてあらかじめ本人の同意が必要です。
ここは会の運営で必ず当たります。緊急の連絡先と一緒にアレルギーの有無を集める、行事の参加者に持病と服用している薬を書いてもらう、支援が必要な会員の状況を役員で共有する。どれも安全のために行われていることですが、集めている情報は要配慮個人情報です。集める用紙に何のために使うのかを書き、同意の欄を設ける形にしている会が多いと言われています。集めた紙を誰が保管し、行事が終わったあとどうするのかも、集める前に決めてください。
名簿は個人データになる、という前提から始める
法律には似た言葉が3つ並びます。個人情報データベース等、個人データ、保有個人データです。この区別を押さえると、自分の名簿がどこに当たるのかが決まります。
個人情報データベース等とは、特定の個人情報を検索できるように体系的に構成された、個人情報を含む情報の集合物です。コンピュータで検索できるように構成したものだけでなく、紙で処理した個人情報を一定の規則で整理して目次や索引を付けたものも該当します。五十音順に整理された名簿は、この説明にそのまま当てはまります。つまり、班別に並べた世帯名簿も、学年順に並べた連絡先の一覧も、表計算のファイルでも紙でも、個人情報データベース等です。
その中を構成する個人情報を個人データといい、名簿を構成する氏名、生年月日、住所、電話番号などがこれに当たります。さらに、本人から請求される開示や訂正や削除に応じられる権限を持っているものを保有個人データといいます。会が作って会が管理している名簿は、この保有個人データです。
この整理が実務でどう効くかというと、名簿を作った時点で3つの義務が同時に発生する、ということです。安全に管理すること、勝手に第三者へ渡さないこと、本人から求められたら開示や訂正に応じること。名簿を作るかどうかを検討している段階なら、そもそも作らずに済む方法が無いかを先に考える価値があります。連絡が取れれば足りるのであれば、全員の住所まで集める必要は無いかもしれません。集めない情報は、漏れることも管理することもありません。
集めるときに決める2つのこと
個人情報を取り扱うときは、どのような目的で利用するのかを具体的に特定する必要があります。そして、その利用目的はあらかじめホームページなどで公表するか、本人に知らせなければなりません。取得した個人情報は、特定した目的の範囲で利用します。範囲の外のことに使う場合は、あらかじめ本人の同意が要ります。
会の運営で最初に決めるのは、この目的の書き方です。曖昧に広く書けば後で困らないと考えたくなりますが、逆です。「会の運営のため」とだけ書くと、会員から見て何に使われるのか分かりません。実務で使いやすいのは、用途を列挙する形です。行事や総会の案内の送付、会費の請求と管理、緊急時の連絡、名簿の作成と会員への配布。この4つを並べて書けば、会員は自分の情報が何に使われるか分かります。
ここで判断が要るのが、名簿を会員へ配布するかどうかです。配布するなら、それは会員同士への提供にあたるため、集める段階で目的として書いておく必要があります。書いていないのにあとから配ると、目的の範囲を超えた利用になります。名簿を配る会は、集める用紙に「会員へ配布する名簿に掲載します」と書き、掲載を望まない人の申し出を受ける欄を設ける形にしている例が多いと言われています。
もう1つ決めるのは、誰の情報をどこまで集めるかです。世帯主の氏名と連絡先だけで足りるのか、同居している家族の氏名と生年月日まで要るのか。子ども会や高齢者の見守りのように、年齢が分からないと成り立たない活動もあります。必要な活動があるなら集めてよく、無いなら集めない。この線を役員で先に合わせておくと、用紙を作る作業が一度で終わります。
保管するときに、具体的に何をするか
個人データは、漏えいなどが生じないように、安全に管理するために必要な措置を講じなければなりません。政府の広報では、具体的な例として、紙で管理している場合は鍵のかかるキャビネットに保管すること、パソコンで保管している場合はファイルにパスワードを設定すること、セキュリティ対策のソフトを導入することが挙げられています。加えて、従業者や委託先に対しても、安全管理が図られるよう必要かつ適切な監督を行う必要があります。
会の運営に置き換えると、決めることは3つです。1つめは、名簿の原本をどこに保管するかです。会館や集会所に鍵のかかる収納があるなら、そこが第一の候補です。役員の自宅に保管するなら、誰の家にあるのかを役員全員が知っている状態にしてください。どこにあるか分からない名簿は、失われたことにも気づけません。
2つめは、電子のファイルの扱いです。表計算のファイルにはパスワードを設定し、パスワードを役員の間でどう伝えるかを決めます。ファイル本体と同じ経路でパスワードを送ると、意味が薄くなります。そして、コピーを何枚作ってよいかも決める対象です。役員5人がそれぞれ自分のパソコンに保存すれば、名簿は5か所に存在します。任期が終わったときに5か所から削除する段取りが無ければ、古い名簿が残り続けます。
3つめは、スマホで撮った写真の扱いです。回覧の途中で名簿を撮っておく、班の一覧を撮って手元に残す。この行動はとても多く、しかも本人は管理しているつもりがありません。撮った画像は写真のアプリに入り、多くの場合そのままインターネット上へ自動で保存されます。名簿を撮らない、という一文を決まりに入れておくと、この経路はかなり減ります。
委託先の監督も、会では発生します。名簿の印刷を業者に頼む、会報の宛名の印字を頼む。このとき、渡したデータをどう扱うかを業者に確かめ、作業が終わったあとに消してもらう形にしておいてください。渡したままにしておくと、こちらの管理の外にコピーが残ります。
名簿を人に渡すときの決まり
個人データを本人以外の第三者に提供するときは、原則としてあらかじめ本人の同意が必要です。ただし例外があり、法令に基づく場合、人の生命や身体や財産の保護に必要で本人の同意を得ることが困難な場合、公衆衛生や児童の健全育成に必要で本人の同意を得ることが困難な場合、学術研究の目的、委託や事業承継や共同利用などが挙げられています。
会の運営でよく当たるのは3つの場面です。1つめは、行政から名簿の提出を求められる場面です。法令に基づく照会であれば例外に当たりますが、根拠を確かめずに渡すのは避けてください。何の法令に基づく求めなのかを書面で示してもらう形にすれば、あとで説明できます。2つめは、災害や急病のときに連絡先を消防や病院へ伝える場面です。生命や身体の保護に必要で本人の同意を得ることが困難な場合の例外に当たり得るため、現場での判断を止める必要はありません。3つめは、上位の団体や隣の会から名簿を求められる場面です。ここは例外に当たらないことが多く、本人の同意が無いまま渡すのは避けたい場面です。
第三者に個人データを提供した場合は、いつ、誰の、どんな情報を、誰に提供したかを確認して記録する必要があります。提供を受けた場合も同様に記録します。記録の保存期間は原則3年です。会で名簿を外へ渡す機会は年に何度も無いはずなので、渡した記録を1冊のノートに書いていく形で足ります。日付、渡した相手、渡した内容、渡した理由、誰の判断か。この5項目を書けば記録になります。
外国にある第三者へ提供する場合は、さらに条件が加わります。あらかじめ本人の同意を得るか、提供先が適切な体制を整備しているか、個人情報保護委員会が認めた国や地域に所在しているかのいずれかを満たす必要があります。名簿を海外の会社のサービスに保存すること自体が提供に当たるかは場面によって判断が分かれるため、会の名簿を扱う道具を選ぶときは、どこの国の会社がどこに保存するのかを確かめておく価値があります。
漏れたときに、報告する義務がある
漏えいなどが発生した場合、または発生したおそれがある場合に、個人情報保護委員会へ報告し、本人へ通知する義務があります。これは令和4年（2022年）4月からの決まりで、それ以前は努力義務でした。
報告と通知の対象になるのは4つの型です。1つめは要配慮個人情報の漏えい、2つめは財産的な被害のおそれがある漏えい、3つめは不正の目的によるおそれがある漏えい、4つめは1,000人を超える個人データの漏えいです。そして、最初の3つは1件でも発生したら対象になります。
4つめの例として政府の広報が挙げているのが、メールを配信するときに本来はBCCに入れるべき宛先を誤ってCCに入れ、1,000人を超える相手へ一斉に送ってしまった場合です。会の規模でこの人数に届くことは少ないものの、CCとBCCの取り違えは最も起きやすい事故です。会員全員にメールを送る運用をしているなら、送信の前に宛先の欄を確かめる手順を決めておいてください。
漏えい等という言葉は、漏えい、滅失、毀損の3つを指します。外部に流出することが漏えい、内容が失われることが滅失、意図しない形で変更されたり利用できない状態になることが毀損です。同じ内容が他に保管されている場合は滅失や毀損に当たらないとされているため、控えを別に持っておくことは、事故の重さを下げる備えにもなります。
会の運営で押さえておくべきは、事故が起きたときに誰が判断するかを先に決めておくことです。名簿を紛失した、名簿の写真が外部へ出た、という連絡が入ったとき、その場で報告すべき事案かを判断できる人がいないと、時間だけが過ぎます。分からないときの相談先も用意されています。
個人情報保護法について分からないことがあるときは、個人情報保護委員会が設置している「個人情報保護法相談ダイヤル」にお問い合わせください。個人情報保護法の一般的な解釈や個人情報保護制度についての質問にお答えしています。 出典: gov-online.go.jp
本人から開示や削除を求められたときの対応
会員から「自分の情報がどう載っているか見せてほしい」「名簿から外してほしい」と言われる場面があります。法律では、本人からの請求があった場合に、保有個人データの開示、訂正、利用停止などに対応する必要があるとされています。開示の方法についても、電子データによる提供を含め、本人が請求した方法で対応する必要があります。第三者へ提供した記録も、開示の請求の対象です。
令和4年4月からの改正で、利用停止や消去や第三者への提供の停止を請求できる場面が広がりました。以前は不正に取得した場合などの違反があるときに限られていましたが、いまは、その個人データを利用する必要がなくなったとき、委員会への報告義務がある重大な漏えいが発生したとき、本人の権利または正当な利益が害されるおそれがあるときにも請求できます。
会の運営に置き換えると、決めておくことは2つです。1つめは、請求を受け取る窓口を誰にするかです。会長か事務局か、役職で決めておきます。個人の氏名で決めると、任期が終わったときに窓口が消えます。2つめは、受け取ってから何日で応じるかの目安です。法律に日数の定めはありませんが、目安を決めておかないと、忙しい時期の請求が放置されます。2週間以内に回答する、という程度の決めごとで足ります。
苦情への対応も同じ枠に入ります。個人情報の取扱いに対する苦情を受けたときは、適切かつ迅速に対処する必要があるとされています。ここで効くのは、記録です。いつ、誰から、どんな内容の申し出があり、どう対応したのかを1行ずつ書き残しておくと、担当が代わっても同じ対応ができます。書き残していないと、次の担当は同じ相談をゼロから受けることになります。
そして、名簿から外してほしいという申し出は、実は断る必要のない場面が多いです。連絡先だけを役員が持ち、会員に配る名簿には載せない、という中間の形が取れます。全部載せるか全部外すかの二択にすると交渉になりますが、掲載の範囲を分けておけば、申し出のほとんどはその場で収まります。集める用紙の段階で、会員へ配る名簿への掲載を選べる欄を設けておくと、あとからの申し出そのものが減ります。
2026年に公布された改正で、子どもの情報が論点になっている
取り扱いの決まりを作るなら、いま動いている改正の方向も知っておく価値があります。個人情報の保護に関する法律等の一部を改正する法律は、令和8年7月10日の国会で可決して成立し、7月17日に公布されました。施行に向けて、政令、規則、ガイドラインの整備が進められている段階です。
個人情報保護委員会が公表している資料の中には、16歳未満の者の個人情報等の取扱いに関する規定の読替表が含まれています。つまり、子どもの個人情報の扱いに関する定めが加わる方向で検討が進んでいるということです。細かい要件は政令と規則の整備を待つ段階なので、いま断定できることはありません。
令和８年４月７日に第221回国会（特別会）に提出されました「個人情報の保護に関する法律等の一部を改正する法律案」は、令和８年７月10日の国会において可決、成立し、令和８年７月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。 出典: ppc.go.jp
PTA、子ども会、スポーツの少年団、子ども向けの教室は、扱っている情報のほとんどが子どもに関するものです。いまのうちにやっておいて損の無いことは2つあります。1つは、子どもの情報について、誰から同意を得ているのかをはっきりさせることです。保護者の署名で足りるとしている会が多いと言われていますが、その署名がどの用紙にどこまでの範囲で残っているかを確かめておくと、要件が明らかになったときに直す範囲が小さくなります。
もう1つは、子どもの写真の扱いを別立てで決めておくことです。名簿の扱いと写真の扱いを1つの決まりにまとめている会は、写真だけを止めたいという申し出に対応しにくくなります。名簿への掲載、会の中での写真の共有、会の外への公開の3つを別々に選べる形にしておくと、申し出を受け止めやすくなります。
取り扱いの決まりを、紙1枚にまとめる
ここまでの内容を、会で使える形に落とします。用意するのは1枚です。書く項目は6つで足ります。何のために集めるか、何を集めるか、どこに保管して誰が管理するか、誰に渡すことがあるか、いつ捨てるか、問い合わせの窓口は誰か。
このうち実務で抜けやすいのは、いつ捨てるかです。集める決まりは作られても、捨てる決まりはほとんど作られません。結果として、10年前の名簿が会館の棚に残り、退任した役員の家に旧年度の一覧が残ります。年度が替わって使わなくなった名簿は、いつ、誰が、どうやって処分するのかを書いておいてください。紙は裁断、電子のファイルは削除、というところまで書いて初めて動きます。
公表する内容も決まっています。氏名または名称と住所、すべての保有個人データの利用目的、利用目的の通知の求めや開示などの請求の手続、安全管理のために講じた措置、苦情の申出先について、本人が知り得る状態にしておく必要があります。ホームページを持っている会はそこに、持っていない会は総会の資料と会館の掲示で足ります。会員が見たいときに見られる状態であればよい、という考え方です。
そして、この1枚を作ったあとにやるべきことが1つ残ります。役員全員が読んで、内容を知っている状態にすることです。書いただけで共有されていない決まりは、無いのと同じです。年度の初めの役員会で読み合わせる時間を10分だけ取る形にしておけば、担当が代わっても決まりが引き継がれます。
名簿と連絡と写真が分かれていると、決まりを守れない
決まりを作った会が次にぶつかるのは、守れない状態が仕組みの側にあるという問題です。名簿は表計算のファイル、連絡はトークアプリ、写真は写真のサービス、予定は別の表。それぞれに別の範囲と別のアカウントがあるため、誰がどこまで見えるのかを役員の誰も答えられません。答えられない状態では、決まりを守っているかどうかも確かめられません。
トークアプリのグループを連絡の中心にしている会では、もう1つ困りごとが出ます。名簿の一部を投稿すると、それは参加者全員の端末に残ります。退会した人の端末からは消せません。連絡の残り方、参加している人の管理、役員が代わったときの引き継ぎを項目ごとに見比べたい場合はLINEグループとの比較に整理されています。誰でも入れる場を使っている会は、参加の管理の違いをLINEオープンチャットとの比較で先に確かめてください。会員数が多い会でよく使われるBANDから移る場合の違いはBANDとの比較にまとまっています。
見える範囲を選べるかどうかは、決まりを守れるかどうかに直結します。参加の管理を、誰でも入れる、申し込みを承認して入れる、招かれた人だけ、の3つから選べる仕組みなら、メンバー以外は見られない状態を保ったまま名簿と写真を同じ場所で扱えます。範囲の考え方はよくある質問に整理されているので、いまの運用と照らし合わせてみてください。
実際にどう見えるのかは、見本で確かめるのが早いです。町内会での使われかたには、お知らせが上に固定された状態、行事の日付、出欠の集め方が同じ画面に並んだ形が用意されています。PTAでの使われかたは学年や委員会で分けた連絡の形、教室での使われかたは生徒と保護者に配る記録の扱いを見せています。名簿を1か所に保ち、見える範囲を数えられる状態にしておけば、決まりを書いた紙は実際に守れる決まりになります。
Q1. 町内会やPTAの名簿も、個人情報保護法の対象になりますか？
なります。個人情報を取り扱う全ての事業者や組織が守る共通のルールとして案内されており、政府の広報でも町内会や自治会や同窓会の名簿が例として挙げられています。かつては件数が少ない組織を対象外とする線引きがありましたが、いまはありません。会員が30世帯でも、名簿を作った時点で対象です。
Q2. 名簿を集めるときに、最初に決めることは何ですか？
利用目的を具体的に特定し、あらかじめ公表するか本人に知らせることです。行事や総会の案内の送付、会費の請求と管理、緊急時の連絡、名簿の作成と会員への配布のように用途を列挙すると分かりやすくなります。会員へ名簿を配布するなら、集める段階でその旨を目的として書いておく必要があります。
Q3. 名簿を人に渡すときは、何に気をつけますか？
第三者への提供は原則としてあらかじめ本人の同意が必要です。法令に基づく場合や、生命や身体の保護に必要で同意を得ることが困難な場合などの例外があります。渡したときは、いつ、誰の、どんな情報を、誰に提供したかを記録します。記録の保存期間は原則3年です。日付と相手と内容と理由と判断者を1冊のノートに書いていく形で足ります。
Q4. 名簿を紛失したら、報告しなければいけませんか？
要配慮個人情報の漏えい、財産的な被害のおそれ、不正の目的によるおそれのいずれかに当たる場合は1件でも、また1,000人を超える個人データの漏えいの場合は、個人情報保護委員会への報告と本人への通知が義務です。令和4年4月からの決まりです。判断に迷うときは、個人情報保護委員会の個人情報保護法相談ダイヤルに問い合わせてください。