適用：５０００人以下の会社も安全管理義務を負うのか

私の会社は従業員が５０００人未満です。扱う個人情報の件数が５０００件未満の場合には個人情報が適用されないと思います。そうすると当社では安全保護措置を実施しなくてもよいということでしょうか。

安全管理措置は必要です。個人情報保護法の旧5,000人以下の適用除外は2017年５月30日に撤廃され、現在は少人数の会社も個人情報データベース等を事業に用いれば、原則として個人情報取扱事業者です。同法23条により、個人データの安全管理措置を講じます。

個人番号については、さらに番号法12条の安全管理措置義務があります。個人情報保護法の旧適用除外を理由に、従業員の番号を無管理で扱ってよいということはありません。

例えば担当者・利用事務を限定し、番号が記録された書類を施錠保管し、データへのアクセスを制限し、不要となった情報を確実に削除します。事業者の規模・業務の実態・リスクに合わせ、PPCガイドラインの中小規模事業者に関する取扱いも参照して設計します。