結論から申し上げます。個人情報データベース等を事業の用に供している者は、個人情報取扱事業者にあたります（個人情報の保護に関する法律〈以下「個人情報保護法」〉16条2項）。会員名簿を表計算ソフトや名簿システムで検索できる形にしていれば、これに当たります。取り扱う人数による除外はありません。
法人格の種類による除外もありません。16条2項のただし書が除いているのは、国の機関・地方公共団体・独立行政法人等・地方独立行政法人です。一般社団法人・一般財団法人・NPO法人・公益法人は、いずれもこの除外に入りません。営利か非営利かも条文の分かれ目になっていません。
この記事では、対象になる範囲、利用目的の決め方と伝え方、安全管理措置、第三者提供、本人の求めへの対応、漏えいが起きたときの報告、そして法人特有の場面（社員名簿の閲覧、NPO法人の縦覧・情報公開）との関係までを整理します。
どこからが「個人情報取扱事業者」か
個人情報データベース等とは、個人情報を含む情報の集合物で、特定の個人情報を電子計算機を用いて検索できるように体系的に構成したもの、または政令で定めるところにより容易に検索できるように構成したものをいいます（個人情報保護法16条1項）。
表計算ソフトの会員名簿、名簿管理サービス、五十音順に並べて索引を付けた紙のファイルは、いずれもこの形に当たります。逆に、順不同のアンケート用紙を箱に入れてあるだけのものは、検索できる形になっていません。
その個人情報データベース等を事業の用に供している者が個人情報取扱事業者です（16条2項）。「事業」は営利事業に限りません。非営利の活動として会員を管理していても、反復継続して行っていれば事業に当たります。
かつては取り扱う個人情報の数が5,000人以下の事業者を除外する政令がありましたが、この除外は2017年の改正で廃止されています。いまは人数による線引きがありません。
利用目的を決めて、伝える（17条・18条・21条）
個人情報を取り扱うときは、利用目的をできる限り特定しなければなりません（17条1項）。「事業活動のため」といった書き方では特定として足りません。会員管理、会報の送付、イベントの案内、会費の請求といった具体的な内容にします。
特定した利用目的の達成に必要な範囲を超えて取り扱うには、あらかじめ本人の同意が必要です（18条1項）。利用目的を変更するときは、変更前と関連性を有すると合理的に認められる範囲を超えてはいけません（17条2項）。
取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知するか公表します（21条1項）。入会申込書のように、本人から直接書面で個人情報を取得する場合は、あらかじめ本人に利用目的を明示しなければなりません（21条2項）。
ウェブサイトに個人情報の取扱いについてのページを置いて利用目的を公表しておけば、21条1項の「あらかじめ公表している場合」に当たります。申込書には、そのページと同じ利用目的を書いておくと、21条2項の明示と揃います。
偽りその他不正の手段で個人情報を取得してはなりません（20条1項）。また、病歴や犯罪の経歴などの要配慮個人情報は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで取得できません（20条2項）。
安全管理措置と、正確性の確保（22条・23条）
取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければなりません（23条）。何をもって必要かつ適切とするかは、法人の規模や取り扱う情報の性質によって変わります。
小さな法人でもできる形にすると、名簿ファイルにアクセスできる役員・職員を決める、共有のクラウドに置く場合はアカウントを分けてパスワードを設定する、紙の名簿は施錠できる場所に保管する、持ち出しの手順を決める、といった内容になります。
利用目的の達成に必要な範囲内で、個人データを正確かつ最新の内容に保ち、利用する必要がなくなったときは遅滞なく消去するよう努めます（22条）。退会した会員の情報をいつまで持つのかを決めておくと、この努力義務に沿った運用になります。
第三者に渡すとき（27条）
あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりません（27条1項）。法令に基づく場合、人の生命・身体・財産の保護に必要で本人の同意を得ることが困難な場合などは例外です。
法人の場面では、会報の発送を外部業者に委託する、イベントの共催団体に参加者名簿を渡す、といった形が出てきます。委託に伴う提供と、第三者への提供は別の扱いです。委託先に渡す場合は27条5項1号により第三者提供に当たりませんが、委託先に対する必要かつ適切な監督が求められます（25条）。
共催団体と名簿を共有する場合は、共同利用の枠組み（27条5項3号）を使うか、本人の同意を取るかを決める必要があります。共同利用には、利用する項目・範囲・利用目的・管理責任者をあらかじめ本人に通知するか本人が容易に知り得る状態に置くことが求められます。
本人からの求めに応える（32条・33条・35条）
保有個人データについて、次の事項を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければなりません（32条1項）。法人の名称・住所・代表者の氏名、すべての保有個人データの利用目的、開示等の請求に応じる手続、苦情の申出先などです。
ウェブサイトに個人情報の取扱いについてのページを作り、ここに挙げた事項を書いておくのが、実務での一般的な対応です。連絡先を書いておかないと、苦情の申出先を示したことになりません。
本人は、保有個人データの開示を請求できます（33条1項）。請求を受けたときは、本人が請求した方法（その方法による開示が困難な場合は書面の交付）により、遅滞なく開示します（33条2項）。内容が事実でないときの訂正等（34条）、違反して取り扱われているときの利用停止等（35条）の請求もあります。
開示等の請求に応じる手続をあらかじめ決めておくと、実際に求めがあったときに慌てずに済みます。
漏えいが起きたときの報告（26条）
取り扱う個人データの漏えい、滅失、毀損その他の安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会に報告しなければなりません（26条1項）。
本人に対しても、当該事態が生じた旨を通知しなければなりません（26条2項）。本人への通知が困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではありません。
報告の対象や期限は委員会規則で定められています。名簿の入ったパソコンや書類を紛失した、送信先を誤ってほかの会員の情報が見える形でメールを送った、といった場面は、まず委員会の案内で報告の要否を確認してください。
| 場面 | 条文 | やること |
|---|---|---|
| 入会申込書で取得する | 21条2項 | あらかじめ利用目的を明示する |
| ウェブで利用目的を公表 | 21条1項 | 取得時の通知を省略できる |
| 名簿の保管 | 23条 | 必要かつ適切な安全管理措置 |
| 発送業務を外注 | 25条・27条5項1号 | 委託先の監督（第三者提供には当たらない） |
| 共催団体と名簿を共有 | 27条1項・5項3号 | 同意を取るか、共同利用の要件を満たす |
| 本人から開示の請求 | 33条 | 遅滞なく開示する |
| 名簿を紛失した | 26条 | 委員会への報告と本人への通知を検討 |
法人法・NPO法の名簿の定めとの関係
一般社団法人は社員名簿を作り、主たる事務所に備え置かなければなりません（一般法人法32条1項・2項）。社員は、法人の業務時間内はいつでも、請求の理由を明らかにして閲覧または謄写を請求できます（32条2項）。
ここで注意したいのは、法律が閲覧を認めている場面は、個人情報保護法27条1項の「法令に基づく場合」に当たることです。社員名簿の閲覧請求に応じることが、直ちに第三者提供の違反になるわけではありません。もっとも、法人法が定める拒絶事由に当たるかどうかの判断は別に必要です。
NPO法人では、設立の申請で社員のうち10人以上の氏名・住所等を記載した書面を提出し（NPO法10条1項3号）、その一部は縦覧の対象になります（10条2項。役員名簿については住所・居所に係る部分を除く）。毎事業年度の事業報告書等には、年間役員名簿と、社員のうち10人以上の者の名簿が含まれます（28条1項）。これらは所轄庁への提出と閲覧の仕組みの中に置かれています。
つまり、法人の名簿には「法律が公開や閲覧を予定している部分」と「法人が自分の管理のために持っている部分」が混ざっています。どの名簿がどちらなのかを分けておくと、個人情報保護法の対応がはっきりします。
- 会員名簿・寄付者名簿・申込名簿など、持っている個人データを洗い出したか
- 利用目的を具体的に特定して書き出したか（17条1項）
- ウェブサイトに個人情報の取扱いのページを置き、32条1項の事項を載せたか
- 入会申込書・寄付申込書に利用目的を明示したか（21条2項）
- 名簿にアクセスできる人を決め、保管とパスワードの取り決めをしたか（23条）
- 外部への委託と、共催団体への提供を区別して整理したか（25条・27条）
- 開示等の請求を受けたときの窓口と手順を決めたか（32条・33条）
- 漏えいが起きたときに誰が個人情報保護委員会に報告するかを決めたか（26条）
- 法律上の閲覧・縦覧の対象になる名簿と、内部管理の名簿を分けたか
よくある誤解を4つ
一つめは「小さな法人は個人情報保護法の対象外」という誤解です。5,000人以下を除外する政令は2017年の改正で廃止されました。いまは人数による除外がありません。
二つめは「非営利だから対象外」という誤解です。16条2項が除いているのは国の機関・地方公共団体・独立行政法人等・地方独立行政法人で、非営利法人は入っていません。
三つめは「利用目的はウェブに書いてあれば申込書には要らない」という誤解です。本人から直接書面で取得する場合は、あらかじめ明示することが求められます（21条2項）。
四つめは「社員名簿を見せたら第三者提供になる」という誤解です。法令に基づく場合は27条1項の例外に当たります。一般法人法32条2項の閲覧請求は、その法令にあたります。
法人の個人情報の取扱いについてよくある質問
A. なります。個人情報データベース等を事業の用に供していれば個人情報取扱事業者です（個人情報保護法16条2項）。取り扱う人数による除外は2017年の改正で廃止されました。
A. 対象外ではありません。16条2項が除いているのは国の機関・地方公共団体・独立行政法人等・地方独立行政法人で、一般社団法人・一般財団法人・NPO法人・公益法人は含まれていません。
A. 特定の個人情報を検索できるように体系的に構成していれば当たります（16条1項）。表計算ソフトの名簿や、索引を付けた紙のファイルが該当します。
A. 保有個人データについて、法人の名称・住所・代表者の氏名、すべての保有個人データの利用目的、開示等の請求に応じる手続、苦情の申出先などを本人の知り得る状態に置きます（32条1項）。
A. 本人から直接書面で個人情報を取得する場合にあたるため、あらかじめ本人に利用目的を明示します（21条2項）。
A. 利用目的の達成に必要な範囲内の委託に伴う提供は第三者提供に当たりません（27条5項1号）。ただし委託先に対する必要かつ適切な監督が求められます（25条）。
A. 個人の権利利益を害するおそれが大きい事態として規則で定めるものに当たるときは、個人情報保護委員会に報告し、本人にも通知します（26条1項・2項）。該当するかは委員会の案内で確認してください。
📖 参考にした公的機関の情報
