個人情報取扱事業者とは？こじんじょうほうとりあつかいじぎょうしゃ
個人情報取扱事業者とは、個人情報をデータベースなど検索できる形にまとめて事業に用いている者を指す、個人情報保護法上の義務主体。法人か個人か、営利か非営利かを問わず、取り扱う件数の多少にもよらない。利用目的の特定と通知、安全管理措置、本人からの開示・訂正請求への対応、第三者提供の制限といった義務を負う。
最終更新：2026-10-10
この語が出る過去問を解く →背景
個人情報の漏えいや名簿の売買が社会問題になったとき、規制の対象を大企業だけに絞ると、名簿を扱う小さな事業者が野放しになる。かといって個人の手帳や年賀状の住所録まで規制すれば私生活に踏み込みすぎる。この線をどこで引くかという問題に対し、「事業として、検索できる形で個人情報をまとめている者」という基準が置かれた。誰が義務を負うのかを先に決めないと、義務の中身を書けないためである。
具体例
全国に店舗を持つイオンのような小売業はもちろん、従業員が数人の会計事務所や、顧客の連絡先を表計算ソフトで管理している個人経営の美容室も個人情報取扱事業者にあたる。台帳が紙でも、五十音順に並べて目的の人を探せる状態なら対象に含まれる。
試験での引っ掛け
「取り扱う個人情報が5,000件以下なら対象外」という除外規定は2017年の法改正で廃止されており、いまは件数によらず対象になる。国の行政機関や地方公共団体は別の規定が適用され、個人情報取扱事業者には含まれない。個人が私生活で使う連絡先の管理も事業ではないため対象外である。
関連用語
出た過去問
出典：平成26年度 春期 ITパスポート試験 問10（IPA）
個人情報取扱事業者が個人情報を第三者に渡した事例のうち、個人情報保護法において、本人の同意が必要なものはどれか。
正解：フランチャイズ組織の本部から要請を受けたので、加盟店側が収集した顧客の個人情報を渡した。
要点：別法人である本部への顧客情報提供は本人同意が必要
個人情報保護法では、個人データを第三者へ提供する際は原則として本人の同意が必要で、法令に基づく場合や、人の生命・身体・財産の保護に必要で同意を得るのが困難な場合などが例外として定められている。捜査令状に基づく提供、児童虐待防止のための関係機関との共有、反社会的勢力に関する情報の共有は、一般にこうした例外に当たると整理される。一方、フランチャイズ本部への顧客情報の提供は加盟店とは別法人への提供であり、例外に当たらないため本人の同意が必要となる。
出典：平成27年度 秋期 ITパスポート試験 問24（IPA）
個人情報保護法では個人情報取扱事業者に対して安全管理措置を講じることを求めている。経済産業分野のガイドラインでは，安全管理措置は技術的安全管理措置，組織的安全管…
正解：安全管理に対する従業員の役割及び責任についての周知や教育の実施
要点：人的措置は教育と周知。規程は組織、施錠は物理
安全管理措置のうち人的措置は、従業員に対する教育・訓練や、秘密保持に関する周知徹底など、人を通じて安全を確保する取組みを指す。規程や体制の整備は組織的措置、アクセス制御は技術的措置、入退室管理や施錠は物理的措置に分類される。
出典：平成28年度 秋期 ITパスポート試験 問33（IPA）
個人情報保護法における，個人情報取扱事業者の義務はどれか。
正解：個人情報の安全管理が図られるよう，業務委託先を監督する。
要点：個人情報の取扱いを委託しても監督責任は残る
個人情報保護法は、個人情報取扱事業者に対して安全管理措置を義務づけており、取扱いを外部に委託する場合には委託先を必要かつ適切に監督することも求めている。行政への届出や第三者認証の取得は、一般に法律上の義務とはされていない。
出典：平成28年度 春期 ITパスポート試験 問25（IPA）
個人情報保護法で定める個人情報取扱事業者の義務が適用されないものはどれか。
正解：新聞社が報道で取り扱う個人情報の管理
要点：報道目的の個人情報取扱いは事業者の義務規定の適用除外
個人情報保護法は、報道機関が報道の用に供する目的で個人情報を扱う場合について、表現の自由や取材の自由に配慮し、個人情報取扱事業者の義務規定の適用を除外している。著述、学術研究、宗教活動、政治活動も同様の趣旨で扱われる。ガス会社の検針、証券会社の株式売買、鉄道会社の定期券販売はいずれも通常の事業活動であり、義務の対象となる。
出典：平成29年度 春期 ITパスポート試験 問1（IPA）
個人情報保護法で定める個人情報取扱事業者に該当するものはどれか。
正解：1万人を超える預金者の情報を管理している銀行
要点：個人情報取扱事業者は民間事業者。国・自治体・独法は対象外
個人情報保護法は、国の行政機関・地方公共団体・独立行政法人・国立大学法人など公的部門を「個人情報取扱事業者」の定義から除いており、これらは行政機関個人情報保護法など別の法体系で規律されていた。したがって民間企業である銀行だけが個人情報取扱事業者に当たる。なお同法は法人・個人事業主を問わず民間事業者を広く対象とし、取り扱う人数の多寡は該当性の決め手にならない（現在は件数要件そのものが撤廃されている）。
出典・参考
公式シラバスの1 企業と法務 ＞ 5. セキュリティ関連法規 ＞ (3) 個人情報保護法（個人情報の保護に関する法律）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。