個人情報の保護に関する法律 第40条（個人情報取扱事業者による苦情の処理）

事業者に、個人情報の取扱いに関する苦情を適切かつ迅速に処理し、そのための体制を整備する努力義務を課す規定です。1 項が処理義務、2 項が体制整備義務を定めます。

本条単体に罰則はありません。ただし放置された苦情を個人情報保護委員会に申し出れば、報告徴収・勧告・命令へ進み、命令違反は刑事罰の対象になり得ます。

委員会の相談窓口（PPC ウェブサイトや電話）に、事業者名・苦情内容・経緯・証拠を添えて申し出ます。まず事業者と認定団体に苦情を出した記録があると有利です。

利用停止請求（35 条）に応じない対応は苦情の対象です。同意撤回や停止を求めても続くなら、40 条の苦情として認定団体や委員会に持ち込めます。

事業者の「保有個人データに関する公表事項」（32 条）で正式な苦情申出先を確認できます。多くはプライバシーポリシー内に記載されています。

委員会の認定を受け、対象事業者の苦情処理や個人情報保護の推進を担う民間団体です（53 条）。事業者が対象なら、消費者はこの団体に苦情を申し出られます。

40 条の苦情処理自体に法定の期限や時効はありません。ただしログやメールは時間とともに消えるため、早期の証拠化が実質的な期限になります。

40 条 2 項は規模を問わず体制整備の努力義務を課します。専任部署までは不要で、窓口の明示と対応手順があれば足ります（ガイドライン通則編）。

個人情報の取扱いに関する苦情は40条という法定の枠組みに乗り、対応を怠れば個人情報保護委員会の監督（報告徴収や命令）の対象になりうる点で、通常のクレームと違う。業界裏話ヒント：苦情メールに「個人情報保護法40条に基づく苦情として」と一文添えるだけで、担当者は法務部に上げざるを得なくなり、対応の格が変わる。「クレーム」と書くと、そのままカスタマー対応で処理されて終わる

40条単体では罰則はない。だが無視された苦情を個人情報保護委員会に申し出て、委員会が勧告や命令（148条）を出し、それに違反すれば刑事罰へ発展しうる（最新の改正状況をご確認ください）。業界裏話ヒント：委員会は個別の苦情そのものを裁くのではなく、体制不備を疑う端緒として使う。たった一件の苦情が、立入検査の入口になることがある

40条2項は規模を問わず体制整備の努力義務を課すが、専任部署までは不要で、窓口の明示と対応手順があれば足りる（ガイドライン通則編）。業界裏話ヒント：体制の有無は、いざ漏えいや紛争が起きたとき、委員会が「適切な措置を講じていたか」を判断する材料になる。紙一枚の対応フローの有無が、後の命令や公表を分けることがある