正解：ア
各選択肢の解説
ア名簿を事業に使っているので、規模や営利かどうかにかかわらず個人情報取扱事業者に当たる。
正解。個人情報データベース等を事業の用に供している者は、件数・規模・営利性を問わず個人情報取扱事業者です。 国や地方公共団体等を除き、NPO法人や自治会も対象になります。
イ扱う個人情報が5,000人分以下なので、個人情報取扱事業者には当たらない。
誤り。5,000人以下の小規模事業者を対象から外す規定は、平成27年改正で撤廃されています（2017年施行）。 古い解説の記憶が残りやすい点です。 いまは1件でも個人情報データベース等を事業に使えば対象になります。
ウ営利を目的としない法人なので、個人情報取扱事業者には当たらない。
誤り。「事業」は営利かどうかを問わず、一定の目的で反復継続して行う活動を指します。 会社だけが対象と思い込みやすいのですが、NPO法人の会報送付も事業に当たります。 除かれるのは国の機関や地方公共団体などで、法人の種類ではありません。
エ個人情報保護委員会に届け出て登録された事業者だけが、個人情報取扱事業者に当たる。
誤り。個人情報取扱事業者に届出や登録の制度はなく、要件に当たれば自動的に義務がかかります。 委員会への届出が要るのは、オプトアウトによる第三者提供を行う場合などの手続です。 Pマークのような任意の認証とも別物です。
理解を深めるために
名簿を「事業に使っているか」で決まる
個人情報保護法の義務の多くは、個人情報取扱事業者にかかります。 これは、個人情報データベース等を事業の用に供している者のことで、会社の大きさや件数、営利かどうかでは決まりません。 職員数名の団体が会報の送付先リストを持っているだけでも、利用目的の特定や安全管理措置などの義務を負います。
なぜそうなっているのか
- 対象は「個人情報データベース等を事業の用に供している者」。国の機関、地方公共団体、独立行政法人等などは除かれる（公的部門は同じ法律の別の章で規律される）
- 「事業」は営利・非営利を問わず、一定の目的で反復継続して行う活動。NPO法人、自治会、同窓会なども含まれる
- かつては扱う個人情報が5,000人分以下の事業者を除外していたが、平成27年改正で撤廃された
- 届出や登録の制度はない。要件に当たれば、その時点で義務がかかる
相談を受けた担当者としては「小さい団体だから関係ない」という思い込みを外し、 名簿の保管方法や会報送付の委託先の管理など、安全管理措置の点検を勧めるのが筋です。
混同しやすいものとの違い
| 考え方 | 判断の軸として | 正誤 |
|---|---|---|
| データベース等を事業に使っているか | 現行法の要件 | 正しい |
| 5,000人分以下なら除外 | 改正前の規定 | 撤廃済み |
| 営利法人だけが対象 | 営利性 | 問わない |
| 委員会への届出・登録で決まる | 手続の有無 | 届出制度はない |
試験では、改正前の5,000人要件や「非営利だから対象外」を正解らしく見せる誤答が置かれます。 規模ではなく、データベース等を事業に使っているかの一点で判断しましょう。