フリーランスと個人情報保護法｜個人情報取扱事業者として守ること

個人のフリーランスでも、取引先の担当者の名刺やメールの連絡先などを検索できる形にまとめて仕事に使っていれば、個人情報保護法の「個人情報取扱事業者」にあたります。2017年5月の改正法施行以降、取り扱う人数の多少は問われません。

フリーランスが特に注意したいのは、客先から預かった顧客データなどを扱う「委託先」の立場です。委託を受けて個人データを扱う事業者には、小規模な事業者向けの簡易な安全管理措置の特例が使えません。2026年10月時点の法律とガイドラインをもとに、守ることを整理します。

フリーランスも個人情報取扱事業者になる

定義は「個人情報データベース等を事業に使う者」

法律では、個人情報取扱事業者を「個人情報データベース等を事業の用に供している者」と定めています（第16条第2項）。国の機関や地方公共団体などを除けば、法人か個人かは問いません。ガイドラインも、個人であっても個人情報データベース等を事業に使っていれば該当するとしています。

個人情報データベース等は、特定の個人を検索できるように体系的にまとめたものです。メールソフトのアドレス帳、名刺管理アプリ、取引先一覧の表計算ファイルなどが身近な例です。

件数が少なくても対象

個人情報保護委員会のQ&Aでは、データベースに含まれる人数の多少にかかわらず、事業に使っていれば個人情報取扱事業者にあたるとしています。以前は5,000人分以下なら対象外とする規定がありましたが、2017年5月30日の改正法施行で、この除外はなくなりました。

また、委託元のデータベースをそのまま使って作業する受託者も、個人情報取扱事業者にあたるとされています。客先のシステムにログインして顧客データを扱う常駐・リモートの仕事も、このケースに入り得ます。

フリーランスが個人情報を扱う2つの場面

自分の事業で集める情報

利用目的をできる限り特定し（第17条）、取得したら目的を本人に通知または公表します（第21条）。特定した目的の範囲を超えて使うには、原則として本人の同意が必要です（第18条）。たとえば、ある案件で知り合った担当者の連絡先を、本人に断りなく別の営業目的のメール配信に使うことは注意が必要です。

個人データを第三者に渡すには、法令に基づく場合などの例外を除いて、あらかじめ本人の同意が必要です（第27条）。ガイドラインでは、業務の委託に伴って渡す場合は第三者提供にあたらないとされています。自分が再委託先に作業を出すときは、委託元として相手を監督する義務（第25条）を負う側になります。再委託そのものの注意点は再委託の記事で解説しています。

客先から委託を受けて扱う個人データ

委託先も個人情報取扱事業者として、預かった個人データの漏えい・滅失・毀損を防ぐ安全管理措置（第23条）を講じなければなりません。委託元からは、契約で安全管理の内容や再委託の可否、作業後のデータ消去などを求められるのが一般的です。契約書の読み方は業務で個人情報を扱うときの契約の記事にまとめています。

安全管理措置で最低限そろえておきたいこと

ガイドラインは、安全管理措置を組織的・人的・物理的・技術的な措置などに分けて示しています。一人で働くフリーランスに置き換えると、次のような点になります。

1. 取扱いのルールを決める：どのデータを、どこに保存し、いつ消すかを決める。法律でも、利用する必要がなくなった個人データは遅滞なく消去するよう努めることとされています（第22条）
2. 見られない・なくさない：画面ののぞき見や、端末・書類の紛失・盗難を防ぐ。持ち出すときは個人データだと分からないようにする
3. 端末を守る：個人データを扱う端末を決め、不正アクセスやマルウェアを防ぐ仕組みを入れる
4. 外国のサービスに注意する：個人データを外国で保管するクラウドを使う場合は、その国の制度を把握したうえで措置を講じる

端末やネットワークの具体的な対策は自宅で働くときの情報セキュリティ対策で解説しています。

漏えいが起きたときの流れ

報告が必要になる4つの事態

個人データの漏えい等（そのおそれを含む）のうち、次のいずれかにあたる場合、個人情報取扱事業者は個人情報保護委員会への報告と本人への通知が必要です（第26条）。

個人情報保護委員会は、速報を発覚から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています。

委託先は委託元への通知が出発点

法律では、委託を受けて個人データを扱う事業者が、規則に従って委託元に漏えい等を通知したときは、委員会への報告義務を負わないとしています。本人への通知も、委託元に通知した委託先は負いません。客先の個人データで事故が起きたら、まず委託元に速やかに伝えることが基本です。契約で報告の期限や連絡先が決められていることも多いため、参画時に確認しておきましょう。

損害が出た場合の負担は契約の損害賠償条項で決まります。上限の考え方は損害賠償の条項の記事をご覧ください。

2026年の改正で委託先のルールが変わる

2026年7月10日に個人情報保護法等の改正法が成立し、7月17日に公布されました。施行は原則として公布から2年を超えない範囲内で、政令や規則の整備が進められています（2026年10月時点）。個人情報保護委員会事務局の資料では、委託先に関わる見直しとして次の点が示されています。

• 委託を受けた事業者に、委託を受けた業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない義務を明文で課す
• 委託先が自ら取扱いの方法を決めないケース（委託元の指示どおりにデータを入力するだけの場合など）で、委託契約で取扱いの方法の全部などを合意したときは、委託先の個人情報取扱事業者としての義務を原則として免除する。ただし、目的外の取扱いの禁止と安全管理の義務は残る
• 本人の権利利益の保護に欠けるおそれが少ない漏えい等では、本人への通知義務を緩和する

具体的な範囲は委員会規則などで定める予定です。施行日や細かな要件は、今後の個人情報保護委員会の公表でご確認ください。

個別の取扱いが法律に合っているか判断に迷うときは、弁護士や個人情報保護委員会の相談窓口にご相談ください。

よくある質問

名刺を数十枚持っているだけでも個人情報取扱事業者ですか？

ガイドラインでは、他人が容易に検索できない独自の分け方で名刺入れに入れているだけなら、個人情報データベース等にあたらない例とされています。一方、名刺の情報を業務用パソコンの表計算ソフトなどに入力・整理している場合や、メールソフトのアドレス帳に氏名とアドレスを登録している場合はあたる例です。事業に使っていれば、人数の多少にかかわらず個人情報取扱事業者になります。

客先のシステムで顧客データを見るだけの仕事でも、自分に義務はありますか？

個人情報保護委員会のQ&Aでは、委託元のデータベースをそのまま使う受託者も個人情報取扱事業者にあたるとしています。安全管理措置の義務を負うほか、委託契約で定められた取扱いのルールを守る必要があります。

漏えいに気づいたら、自分で個人情報保護委員会に報告するのですか？

委託を受けて扱っている個人データなら、まず委託元に速やかに伝えます。法律では、委託先が規則に従って委託元に通知したときは、委員会への報告と本人への通知の義務を負わないとしています。自分の事業で集めた個人データの漏えいなら、報告対象の事態にあたるかを確かめ、自ら報告や本人通知を行います。