個人情報の保護に関する法律 第23条（安全管理措置）

個人データの漏えい・滅失・毀損を防ぐため事業者が講じるべき措置です。個人情報保護法 23 条が根拠で、委員会ガイドラインが組織的・人的・物理的・技術的の 4 類型に具体化しています。

23 条違反だけで直ちに刑事罰はありません。委員会が是正命令（148 条）を出し、それを無視した場合に初めて罰則（178 条）の対象となります。民事賠償は別途生じ得ます。

組織的・人的・物理的・技術的の 4 類型です。体制整備、従業員教育、施錠・入退室管理、アクセス制御や暗号化を指し、いずれかの不備が漏えい時の過失の物差しになります。

一定要件に当たる漏えい等は、速報が事態把握後おおむね 3〜5 日以内、確報が原則 30 日以内です（26 条、施行規則）。最新の改正状況の確認が必要です。

責任者の設置、規程整備、取扱状況の点検・監査など、組織としての管理体制に関する措置です。退職者のアクセス権削除漏れはこの類型の典型的な不備です。

アクセス制御、アクセス権者の識別・認証、不正アクセス対策、通信・保存データの暗号化などです。セキュリティソフト導入はその一部にすぎません。

個人情報のうち、データベース等で検索できるよう体系的に整理されたものが個人データです。23 条の安全管理義務は個人データを対象とします。

必要です。自宅環境での端末管理、通信の暗号化、画面のぞき見防止など、テレワーク特有のリスクに応じた物理的・技術的措置が求められます。

裁判例では、単純な氏名・住所の漏えいで一人あたり数千円から1万円程度、クレジットカード番号や医療情報など機微な情報だと数万円になることもあります。不正利用などの実害があれば別途賠償です（民法709条、710条）。業界裏話ヒント：一件あたりは少額でも、大規模漏えいでは集団訴訟で会社の負担は莫大になる。だから会社は訴訟前に500円分のギフト券などのお詫び金を配って早期収束を狙う。受け取ると和解扱いになり後の請求権を失う場合があるので、実害があるなら安易に受け取らない。

関係あります。2017年の改正で、扱う件数による除外（旧5000件要件）は撤廃され、1件でも事業で個人情報を扱えば個人情報取扱事業者として23条の安全管理義務を負います。業界裏話ヒント：多くの零細事業者が自分は対象外と誤解している。顧客名簿をエクセルで管理しているだけでも対象だ。委員会は中小規模事業者向けに規模に応じた緩やかな措置例をガイドラインで別途示しているので、まずそれを読めば最低限のラインが分かる。

委託元には委託先を監督する義務（25条）があり、委託先の選定・契約・監督が不十分なら委託元自身の安全管理措置違反（23条）にもなるからです。業界裏話ヒント：クラウドや外注に預けただけでも、契約書に安全管理条項を入れ定期的に監査していないと監督義務違反を問われる。逆に、契約と監査の記録をきちんと残していれば、委託先の一方的な過失として自社の責任を切り離せる。この記録の有無が運命を分ける。