理解する順番
おすすめ：基礎30分 → 事例集60分 → 法令マップ20分 → テスト20分。テスト結果はこの端末のブラウザ内にのみ保存されます。
相談を受けたら、まず法令マップで「どの法令が重なっているか」を確認してから個別の要件に入ると、取りこぼしが減ります。
まずは、まんがで
条文の前に、現場で実際に何が起きるかを4話で見てください。事業部門は悪気なく危ないことを言います。悪いのは人ではなく、確認の順番を知らないこと——という前提で読むと、この教材全体の狙いが伝わります。
4話の要点（まんがを読まなくても、ここだけで通じます）
「解析ツールを入れたい。個人情報は取らないから大丈夫だよね？」——この相談は個人情報保護法だけの話ではありません。端末の情報を外部へ送るなら電気通信事業法の外部送信規律にも当たりえます。 ひとつの相談に、複数の法令が同時にかかります。「個情法はクリアした」で止まると取りこぼします。
「展示会でもらった名刺、全員にメール送っていいですよね？」——本人から受け取ったことと、何に使うと伝えたかは別の話です。広告宣伝メールなら特定電子メール法も重なります。 取得したときの説明が、その後にできることを決めます。
「バグ再現のため本番DBをまるごと開発環境にコピーします」——実際に必要なのは数件だったりします。 「それ、何件要りますか」と聞くのが最も効く一言です。そのうえで、必要な分だけをマスキングして渡します。
「自分で調べてから報告しようと思って……」——これが初動を最も遅らせます。疑いの段階で社内窓口へ。 隠さない。消さない。記録を残す。そして再発防止では、原因を人に求めず仕組み・権限・UI・レビューを直します。
法律を読んだことがない人のための勉強法
法学部を出ていなくても、実務で使えるところまでは十分に行けます。つまずくのは能力の問題ではなく、読み方を教わっていないからです。ここでは、条文を前から読んで挫折しないための順序と型を示します。
まず、3つの誤解を外す
法律は辞書であって教科書ではありません。通読される前提で書かれていないので、1条から読むと必ず途中で止まります。
条文には結論しか書いていません。なぜそうなのか、具体的に何をすればよいのかは書かれていないため、条文だけ読むと「で、結局どうすれば？」で終わります。
実務で必要なのは暗記ではありません。覚えていないことをその場で調べて根拠を示せるほうが、うろ覚えで即答するより価値があります。
読み方の型：5つ
「事業者は」「本人は」「委員会は」——主語を取り違えると、意味が正反対になります。相談を受けたら、その義務は自社に課されたものかをまず見ます。
ここが最も実務に効きます。同じ法律の中でも、語尾によって守らなければならない度合いが違います。
| 語尾 | 意味 | 個人情報保護法の例 | 実務での扱い |
|---|---|---|---|
〜しなければならない | 義務 | 利用目的をできる限り特定しなければならない（法第17条） | 守らなければ違法となり得る。例外の有無を確認する |
〜してはならない | 禁止 | 不適正な利用をしてはならない（法第19条） | 同上。やらない |
〜するよう努めなければならない | 努力義務 | 利用する必要がなくなった個人データを遅滞なく消去するよう努めなければならない（法第22条） | 直ちに違法にはならないが、やらない理由を説明できる状態にしておく |
〜することができる | 権限・任意 | 本人は開示を請求することができる（法第33条） | 相手の権利。行使されたら応じる側の義務が発生する |
この違いを知らないと、努力義務を「絶対にやらなければならない」と伝えて現場を止めたり、逆に義務を「推奨」と誤って伝えたりします。語尾だけは必ず確認してください。
法律はほぼ「原則こう。ただしこの場合は別」という形をしています。先に原則を押さえ、例外は後から足す。例外から読むと全体像が歪みます。
個人情報／個人データ／保有個人データ／要配慮個人情報／個人関連情報。この5つの区別がつかないと、以降の条文が全部あいまいになります。逆に言えば、ここさえ押さえれば読める範囲が一気に広がります（CHAPTER 1）。
抽象的に読むと定着しません。「うちのサービスでいうとどれか」を毎回考える。自社に該当しない条文は、いま読まなくてよいと割り切ります。
5ステップの学習手順
CHAPTER 1 の5用語。ここだけは覚えます。
どこで取得し、誰が使い、どこに保存し、誰に渡し、いつ消すか。これを書くと、条文が自社の話として読めるようになります。同時に、答えられない箇所＝リスクの所在が見えます。個人情報保護委員会がデータマッピング・ツールキットを公開しており、使い方の解説動画もあります（動画・研修）。
CHAPTER 3 事例集から自社に近いものを3つ選び、先に自分で答えてから解説を読みます。読むだけより圧倒的に残ります。
本文は読まなくて構いません。どこに何が書いてあるかの地図を頭に入れるのが目的です。これで「調べれば分かる」状態になります。
ここまで来れば、条文は確認のために引く道具になります。情報ソースの e-Gov法令検索を使います。
調べ方の使い分け
| 知りたいこと | 見るもの | 備考 |
|---|---|---|
| 条文そのもの | e-Gov法令検索 | 改正の反映日を必ず確認する |
| 趣旨・具体例・判断基準 | 個人情報保護委員会のガイドライン | まずここ。条文より先に読む |
| 「うちの場合どうなの」 | 個人情報保護委員会のFAQ | 事業者からの実際の疑問に回答している |
| 事故対応の手順 | 漏えい等の対応とお役立ち資料 | 平時に読んでおく |
| それでも分からない | 法務・個人情報保護管理者・外部専門家 | つなぐのは能力不足ではなく正しい判断 |
やらなくてよいこと
- 改正の経緯を追う — いま有効な版だけ読めば足ります
- 判例を読む — 実務の初期段階では不要です
- 全条文を通読する — 自社に関係のない条文は読まなくてよい
- 資格を先に取る — 取るなとは言いませんが、Step 2 を先にやったほうが実務は動きます
最初に押さえる基礎
生きている個人についての情報で、氏名などにより本人を識別できるもの。他の情報と簡単に照合して本人を識別できるものも含みます。
検索できるように整理された「個人情報データベース等」を構成する個人情報。第三者提供、安全管理、漏えい対応などの中心となる概念です。
会社が開示・訂正・利用停止などを行う権限を持つ個人データ。本人から請求を受ける場面で重要です。
人種、信条、病歴、犯罪被害など、差別や不利益につながりやすく、特に慎重な取扱いが必要な情報です。
Cookie、閲覧履歴、位置情報など、生存する個人に関する情報ではあるものの、提供元では個人情報に当たらない情報。提供先で個人データとして取得されることが想定される場合には特別な規律があります。
30秒で言うと
個人情報保護法は、情報を使うことを全面禁止する法律ではありません。
目的を明らかにし、必要な範囲で、安全に使い、本人の権利を守るためのルールです。
相談時の第一声
「何の情報を、誰から、何の目的で取得し、誰が使い、どこに保存し、誰に渡し、いつ消しますか？」
情報のライフサイクルで考える
利用目的を特定する。取得方法が適正か確認する。要配慮個人情報なら取得根拠を確認する。
利用目的を通知・公表する。本人から書面で直接取得する場合は、原則として事前に明示する。
目的の範囲内で利用し、安全管理措置、アクセス制御、教育、ログ、委託先監督を行う。
第三者提供か、委託か、共同利用かを区別する。外国にある第三者への提供も確認する。
開示・訂正・利用停止等の請求窓口と手順を整備する。
不要になったデータを適切に消去する。漏えい等が発生した場合は初動、調査、報告・通知要否を判断する。
役割分担の目安
事業部門が説明すること
セキュリティ担当が確認すること
法務・個人情報保護管理者につなぐこと
相談受付テンプレート
チェック状態はこの端末にのみ保存されます。
SaaS事業会社の問い合わせ事例集
漏えい等が疑われたとき
- 事実を止める：公開停止、権限停止、誤送信の回収依頼など。ただし証拠を消さない。
- すぐ報告する：上司、CSIRT、法務、個人情報保護管理者など社内ルールの窓口へ。
- 範囲を調べる：対象者、項目、件数、期間、閲覧・取得の可能性、暗号化状況。
- 二次被害を防ぐ：パスワード変更、トークン失効、顧客対応、監視強化。
- 報告・通知要否を判断：個人情報保護委員会への報告と本人通知が必要な類型か、法務等と判断。
- 再発防止：原因を人だけに求めず、仕組み、権限、UI、教育、レビューを改善。
初動で集める情報
「自分で判断してから報告」ではなく、疑いの段階で早くエスカレーションします。
個人情報保護法だけでは足りない
相談対応で事故が起きるのは、たいてい「個人情報保護法はクリアしたので大丈夫」と判断したときです。ひとつの行為に複数の法令が同時にかかり、しかもそれぞれ要求することが違います。まずどの法令が重なっているかを見てから、個別の要件に入ってください。
ひとつの行為に、いくつの法令がかかるか
※ 表は横にスクロールできます。◯＝通常かかる／△＝事情によりかかる／−＝通常は対象外
| よくある相談 | 個人情報 保護法 | 電気通信 事業法 | 不正競争 防止法 | 不正アクセス 禁止法 | 特定電子 メール法 | 契約 (DPA/SLA) |
|---|---|---|---|---|---|---|
| サイト・アプリに解析／広告タグを入れる | △ | ◯ | − | − | − | △ |
| 名刺・問い合わせ情報へ営業メールを送る | ◯ | − | − | − | ◯ | − |
| 退職者による顧客リスト持ち出しの疑い | ◯ | − | ◯ | △ | − | △ |
| 自社サービスへの不正ログインを検知 | ◯ | − | − | ◯ | − | ◯ |
| 脆弱性診断・ペネトレーションテストを行う | △ | − | − | ◯ | − | ◯ |
| 顧客データを海外リージョンに置く | ◯ | − | − | − | − | ◯ |
| 委託先へ顧客データを渡す | ◯ | − | △ | − | − | ◯ |
この表は「思い出すため」のものです。◯△の判断は事実関係で変わるので、該当しそうなものは下の各法令カードと一次情報で確認してください。
法令ごとの要点
個別テーマの詳細
法令マップで全体像をつかんだあと、SaaS事業者に特に効く2つを掘り下げたページを用意しています。どちらも「概要／自社は対象か／調べ方／業務での活用／事例集／一人でできるようになる手順」で構成しています。
電気通信事業法
個人情報保護法より先に効いてくることがある法律です。「うちは通信会社じゃないから関係ない」でまるごと見落とされます。
総務省の参入マニュアルに沿った4段階の判定フローと、サービス類型ごとの判断結果（オンラインストレージ／SNS／チャット／マッチング／CDN 等）を収録。
要点：SaaSにメッセージ機能を付けた時点で登録または届出が必要になります。主たる機能でなく一部でも該当します。
ISO/IEC 27000シリーズ
27001・27017・27018・27701 の関係を先に押さえます。関係が分かっていないと顧客チェックシートにも社内説明にも答えられません。
規格と認証の違い、日本での認証制度（ISMS-AC）、取得順序と適用範囲の決め方、認証を取っても法令遵守の証明にはならないという重要な区別を収録。
顧客セキュリティチェックシート対応
B2B SaaS のセキュリティ担当が最も時間を取られる仕事です。個人情報保護法まわりの頻出設問15問について、相手が何を知りたいのか・答える前に何を確認するのか・どう書くのかを別ページにまとめています。
提出後に契約書へ引用されたり、監査で「回答どおりか」を確認されたりします。できていないことを「対応済み」と書かない。後で最も高くつきます。
収録している設問：保護方針の公表／管理者の設置／自社の立場（委託先か第三者か）／保存場所（国内・国外）／再委託／従業者教育／アクセス権限／ログ／漏えい時の通知期限／契約終了時の返却・削除／保存期間／第三者提供／認証取得状況／開示等請求への対応／監査受入れ
動画で学ぶ・社内研修に使う
公的機関（個人情報保護委員会・IPA）が公開している解説動画を、再生しなくても中身が分かる形でまとめた別ページを用意しています。各動画に「この動画で分かること」と「実務でこう使う」を付けてあります。
相談してもらえる状態を作る
確認の順番と根拠の示し方
投資判断と事故時の役割
「研修をやれと言われたが何を見せればいいか分からない」を解消するため、誰に・何分で・何を伝えるかを組んだメニュー付きです。収録は公的機関の一次情報だけに限っています（根拠を問われたときにそのまま示せるようにするため）。
理解度テスト
主要な情報ソース
教材内では、各事例・各設問に 規範レベル のラベルを付けています。「法律で決まっていること」と「推奨にすぎないこと」「自社で決めるべきこと」を混同しないための目印です。最終確認は必ず最新版の一次情報を利用してください。
ラベルは学習の便宜のための整理であり、個別案件の法的評価そのものではありません。
- e-Gov法令検索：個人情報の保護に関する法律
- 個人情報保護委員会：法令・ガイドライン等
- 個人情報保護法ガイドライン（通則編・令和8年4月一部改正）
- 個人情報保護委員会：漏えい等の対応とお役立ち資料
- 個人情報保護委員会：生成AIサービスの利用に関する注意喚起
- 個人情報保護委員会：FAQ索引
その他の法令・制度（CHAPTER 5 関連）
- e-Gov法令検索（条文の一次情報。改正の反映日を必ず確認する）
- 総務省：外部送信規律（法令・ガイドライン・パンフレット）
- 総務省：外部送信規律FAQ（自社が対象役務に当たるかの判断に使う）
- 総務省：特定電子メールの送信の適正化等に関する法律
- 警察庁：不正アクセス禁止法など関係法令
- 個人情報保護委員会：法令・ガイドライン（番号法の特定個人情報ガイドラインを含む）
- IPA：情報セキュリティ（対策の実装面の参考）
- 経済産業省：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
教材更新日：2026年8月5日。個人情報保護法ガイドライン（通則編）は令和8年4月1日時点の条番号を示す版を参照しています。CHAPTER 5 の各法令は条番号・要件・期限が改正で変わるため、判断の前に必ず上記の一次情報で最新版を確認してください。