中小規模事業者の安全管理措置に関する実態調査
分 析 結 果令和４年６月２７日
個人情報保護委員会

（はじめに）
個人情報保護法は、従前は、取り扱う個人情報の数が 5,000 人分以下の事業者には適用されていなかったが、平成 29 年５月 30 日からは、すべての事業者に適用されている。また、個人の権利利益の保護、技術革新の成果による保護と利活用の強化等の点から、令和４年４月１日より新たなルールが適用されている。
こうした中、個人情報保護委員会は、広報・啓発活動として、事業者への講師派遣や多面的な情報発信、ハンドブック等のホームページ掲載などの広報・啓発活動に努めている。令和３年度においては、漏えい等の報告義務化についての周知資料を約３万社の中小規模事業者に直接送付するほか、令和２年改正法のポイントや個人情報保護法の基本的内容をまとめた「民間事業者向け個人情報保護法ハンドブック」、中小規模事業者向けのハンドブック「はじめての個人情報保護法 ～シンプルレッスン～ 」、令和２年改正法の概要を幅広い国民に周知する「令和２年改正個人情報保護法概要リーフレット」等を作成し、個人情報保護委員会のホームページに掲載している。
今般、個人情報保護委員会では、中小規模事業者の個人情報に関する意識向上及び適正な取扱いの推進に向けて、当委員会における検討および業務運営の参考とするため、従業員の数が 100 人以下の中小規模事業者を対象としたアンケート調査を実施し、①個人情報の保有状況、②個人情報保護に関する取組
み、③改正法と漏えい等への対応、④不正アクセス、⑤EC サイトの運営状況、⑥個人情報保護委員会への要望について、分析結果を取りまとめた。

（調査の概要）（１）調査方法
委託業者（株式会社東京商工リサーチ）による郵送アンケート調査。
（２）調査事項
個人情報の保有状況、EC サイトの運営、安全管理措置、漏えい対応、業務委託、改正法対応など。
（３）調査対象
国内に本社を置く従業員 100 人以下の事業者３万先（無作為抽出）。
（４）回収率等
令和４年２月４日から３月７日までに 5,232 件を回収（回収率 17％）。
（※）回答企業の前年度売上金額の内訳「１億円以下」58％ 「１億円超５億円以下」26％ 「５億円超」10％（無回答６%）（５）回答事業者の属する業種
全体
100％

建設業等
10％

製造業
11％

情報通信
１％

運輸
２％

卸売・小売
17％

（5,231 社）
７％（515 社）
宿泊・飲食
10％（547 社）
教育
４％（52 社）
医療・福祉
10％（83 社）
その他
24％（910 社）無回答
５％（353 社）（536 社）（211 社）（516 社）（1,261 社）（247 社）

不動産・物品賃貸（※）図表中の構成比率は、四捨五入の関係で、必ずしも 100％にならない場合がある（以下同じ）。

1１．個人情報の保有状況
・ 中小規模事業者（従業員 100 人以下）を対象としているが、顧客情報１万人超の事業者も一部（４％）存在する。
・ 保有する個人情報の内容をみると、基本４情報（氏名、生年月日、性別、住所）は６～９割、電話番号は９割と、高い比率で保有されている。メールアドレス、銀行口座情報は４割、マイナンバー、健康状態（健康診断情報を含む）は３割の比率で保有されている。

（１）顧客情報100 人以下
51％

100 人超～１千人以下

１千人超～１万人以下

１万人超～100 万人以下

31％

12％

４％

100 万人超０％（2,682 社）（1,609 社）（606 社）（218 社）

９社（２）従業員情報
５人以下
43％

５人超～50 人以下
45％

50 人超～100 人以下
７％

100 人超～４％（2,262 社）（2,332 社）（354 社）（185 社）（３）保有する個人情報の内容（複数回答可）
氏名

生年月日

性別

住所

電話番号

クレジット
カード情報

銀行口座
情報

メール
アドレス

ﾊﾟｽﾜｰﾄﾞ

91％

62％

68％

85％

88％

３％

38％

41％

３％

(5,231 社)(4,773 社)(3,238 社)(3,556 社)(4,443 社)(4,620 社)(151 社)(1,963 社)(2,140 社)(161 社)

ﾊﾟｽﾎﾟｰﾄ
番号

ﾏｲﾅﾝﾊﾞｰ
番号

免許証
番号

販売履歴

HP 等の閲覧履歴

健康状態
（健診含）

病歴

顔画像

その他

無回答

３％

33％

15％

17％

１％

28％

９％

12％

１％

５％

(144 社)(1,701 社)(805 社)(910 社)(62 社)(1,445 社)(479 社)(603 社)(47 社)(255 社)全体

2２．個人情報保護に関する取組み
・ 個人情報の取扱いに関する課題について、中小規模事業者の４割が、そもそも「何をしてよいかわからない」としており、また、「個人情報保護法の理解不足」を課題とする事業者も４割にのぼった。一部（２割）の事業者が「電子化による管理の難易度の上昇」を課題として挙げているが、こうした環境変化にもかかわらず、限られた経営リソースの下で、十分な体制整備ができていない状況がうかがわれる。
・ 個人情報保護に関する担当者を設置していない事業者が、過半を占めている。
・ 個人情報の管理にあたり参考にしているものとして、「法令・ガイドライン」（６割）のほか、「弁護士、税理士、コンサルティング業者に相談」が３割、「商工会議所、認定団体等の民間事業者主催説明会」と「親会社・グループ企業からの通達等」がそれぞれ１割。
・ 「弁護士、税理士、コンサルティング業者に相談」と回答した事業者の具体的な相談先として、税理士が最も多く（８割）、次いで社会保険労務士の比率も高く（４割）、何れも弁護士の比率（２割）を上回っている。因みに、以前に実施した大企業に対する調査結果（「個人データの取扱いに関する責任者等についての実態調査 報告書」（令和３年３月実施））では、外部有識者との連携先として、弁護士を挙げる先が最も多く（２割超）、税理士、社会保険労務士とも僅少（２％、７％）にとどまっている。中小規模事業者にとって税務や社会保険などで密接な関係性を有する税理士および社会保険労務士に対して、専門分野に限らず、個人情報の管理等についても相談が寄せられていることがうかがわれる。
・ なお、個人情報保護委員会では、令和３年度において、税理士及び社会保険労務士に対し、日本税理士会連合会及び全国社会保険労務士会連合会を通じて、クライアントである事業者への漏えい等報告制度の周知依頼を行っており、今後も、こうした連携を図っていくことが有効と考えられる。
・ 安全管理措置に要したコストは、年間で「10 万円以下」とする事業者が６割、「10 万円超～100 万円以下」が２割超であり、「100 万円超～」は僅少（３％）にとどまっている。経営リソースに限りのある中小規模事業者においては、個人情報保護委員会からも有益な情報提供を行うことなどにより個人情報の保護への取組みを支援していくことが必要と考えられる。

（１）個人情報の取扱いに関する課題（複数回答可）
全 体(5,231 社)

何をしてよいか分からない

個人情報保護法等（ガイドライン含）の理解不足

社内規程の不足

従業者教育

情報ｾｷｭﾘﾃｨ対策

個人情報保護のための資金不足

個人情報保護のための人材不足

電子化による管理の難易度
上昇

その他

無回答

36％

36％

21％

26％

26％

13.％

13％

22％

３％

８％

（1,892 社)(1,895 社)（1,095 社)(1,344 社)(1,355 社）（680 社）（699 社）(1,126 社）（134 社）（424 社）（２）個人情報保護に関する担当者の有無
全体

いる

いない

無回答

100％
（5,231 社）

41％（2,133 社）

55％（2,858 社）

５％（240 社）3

（３）個人情報の管理にあたり参考にしているもの（複数回答可）

全体(5,231 社)

法律・ｶﾞｲﾄﾞﾗｲﾝ

個人情報保護委員会
ﾎｰﾑﾍﾟｰｼﾞ
掲載資料

個人情報保護委員会
等行政機関
主催説明会

商工会議所、認定団体等
民間事業者
主催説明会

書籍等

弁護士、税理士、ｺﾝｻﾙ業者に相談

親会社・グループ
企業からの通達等

その他

無回答55％

８％

３％

14％

12％

26％

11％

５％

９％

(2,871 社)(408 社)(138 社)(716 社)（627 社)(1,347 社)(583 社)(260 社)(454 社)（４）「弁護士、税理士、コンサルティング業者に相談」と回答した事業者の具体的な相談先（複数回答可）
全 体(1,347社)

弁護士

税理士

社会保険労務士

行政書士

コンサル業者

法人会

商工会・
商工会議所

認定団体

行政機関

その他

無回答

22％

75％

40％

10％

９％

１％

８％

１％

３％

１％

２％

(290 社)（1,012社)(543 社)（132 社)(121 社)（23 社）（105 社）（14 社）（37 社）（10 社）（26 社）（５）安全管理措置に要したコスト（年間）
全 体

10 万円以下

10 万円超～100 万円以下100 万円超～
1,000 万円以下

1,000 万円超～
5,000 万円以下

5,000 万円超

無回答

100％

63％

23％

３％

０％

０％

11％

(5,231 社)(3,307 社)(1,217 社)（139 社)

(６社)

（２社)

(560 社)4

３．改正法と漏えい等への対応

・ 改正個人情報保護法について、予定を含めて対応すると回答した中小規模事業者は３割に満たず、「改正したことや改正内容を知らない」事業者が４割、「改正内容は把握しているが何をしてよいかわからない」事業者が１割であり、多くの事業者が改正法に対応できていないことがうかがわれる。
・ 改正法により漏えい等報告が義務化されたことについて、「知らなかった」とする事業者が多くを占めており（75％）、「知っている」と回答した事業者は２割にとどまった。
・ 漏えい等発生時の規程・マニュアルの整備状況について、作成済とする事業者は１割程度にとどまり、「作成する予定であるが１年以内の予定はない」事業者が４割、「今後も作成する予定はない」事業者が４割を占めている。

（１）改正個人情報保護法への対応状況
全体

対応済み

施行までに対応予定

100％（5,231 社）

２％（124 社）13％（674 社）

１年以内に対応予定

対応の予定
はない

改正したことや改正内容を知らない

改正内容は把握しているが何をしてよいかわからない

無回答

12％
（651 社）17％（880 社）37％（1,952 社）

11％（563 社）７％（387 社）（２）個人情報の漏えい等報告の義務化についての認知状況
全体

知っている

知らなかった

無回答

100％（5,231 社）

22％（1,124 社）

75％（3,927 社）

３％（180 社）（３）個人情報の漏えい等が生じた場合の規程・マニュアルの整備状況

全 体規程・マニュアル
等を作成している

今はないが、これから作成する予定（１年以内）

100％（5,231 社）

13％（685 社）９％（464 社）

5

今はないが、これから作成する予定（１年以内の予定はない）

今もなく、今後も作成する予定はない

無回答

37％
（1,915 社）

37％（1,937 社）

４％（230 社）

４．不正アクセス・ 不正アクセスを受けたことがある中小規模事業者は、一部（３％）ではあるが、被害状況としては「システム等の停止」が多く、次いで「データの改ざん」、「クレジットカード情報漏えい」が挙がっている。
・ 不正アクセスの原因として、「システムの脆弱性に起因するもの」のほか、「フィッシングメール」、「セキュリティソフトを導入していなかった」、「パスワードの設定不備」などが挙がっている。これらは、何れも情報セキュリティの基本的な対策（システム機器の OS やソフトを最新の状態にすること、ウイルス対策ソフトの導入、ウイルス定義ファイルを最新の状態にすること、従業員に対する教育・注意喚起など）により回避できたものとみられる。
・ また、不正アクセスの被害を受けたにもかかわらず原因不明としている割合が３割と多く、中小規模事業者における情報セキュリティに関する分析・調査のノウハウが十分でないことがうかがわれる。

（１）不正アクセスを受けた経験の有無
全体

受けたことがある受けたことが無い

無回答

100％（5,231 社）

３％（162 社）92％（4,805 社）

５％（264 社）（２）不正アクセスを受けた事業者の被害状況（複数回答可）
全体（162 社）

顧客・取引先情報の漏えい

クレジットカード情報等の決済情報の漏えいシステム等の停止

データの改ざん

その他

無回答

４％
（７社）

９％
（15 社）

33％（53 社）

12％（20 社）

24％（38 社）

19％（31 社）（３）不正アクセスの原因（複数回答可）
全体（162 社）

ｾｷｭﾘﾃｨｿﾌﾄを導入していなかったシステムの脆弱性

パスワードの設定不備

ﾌｨｯｼﾝｸﾞﾒｰﾙ

その他

原因不明

無回答

11％
（17 社）

28％（46 社）

６％
（９社）

25％
（41 社）

６％（10 社）

32％
（51 社）

４％（６社）

6

５．ＥＣサイト等の運営状況
・ ＥＣサイトを運営している中小規模事業者の割合は１割。このうち、ＥＣサイトの開発方法について、「外部事業者に委託（オープンソースの EC ｻｲﾄ構築用プログラムなどでの構築を含む）」している事業者が半数程度を占めており、保守・運用についても、外部事業者に委託している事業が半数程度（そのうち大半が開発を行った事業者と同じ外部事業者を使用）を占めている。
・ インシデント発生時の対応として、「何かあれば連絡があると思っているので、特にルール等は決めていない」とする事業者が４割と最も多く、自社と委託先との間で、セキュリティ対策に関する責任範囲を理解しておらず、認識合わせ・合意をしていないＥＣサイト運営事業者が、大半であるとみられる。

（１）ＥＣサイトの運営状況
全体運営している運営していない

無回答

100％（5,231 社）

９％（470 社）89％（4,665 社）

２％（96 社）（２）ＥＣサイトを運営している事業者のサイト等の開発方法（複数回答可）

全体（470 社）

自社開発（独自でｱﾌﾟﾘを開発）

自社開発（ｵｰﾌﾟﾝｿｰｽの EC ｻｲﾄ構
築用ﾌﾟﾛｸﾞﾗﾑを利用して構築）

外部委託による構築（ｵｰﾌﾟﾝｿｰｽの EC ｻ
ｲﾄ構築用ﾌﾟﾛｸﾞﾗﾑなどでの構築を含む）

EC 構築向け
ｸﾗｳﾄﾞ型ｻｰﾋﾞｽの利用による構築

ｼｮｯﾋﾟﾝｸﾞﾓｰ
ﾙ型のｻｰﾋﾞｽ利用

その他

無回答

10％
（45 社）

９％（44 社）

50％（233 社）

21％（100 社）22％（101 社）

２％（11 社）

１％（４社）（３）ＥＣサイトの保守・運用の形態
全 体

自社開発を行った
外部事業者

開発を行った事業者とは別の外部事業者

保守・運用等は特に行っていない

無回答

100％
（470 社）36％（167 社）

47％（223 社）

２％
（８社）

10％
（47 社）

５％（25 社）（４）インシデント発生時の対応（複数回答可）
全体（231 社）

漏えい等事案
発生時のﾙｰﾙを決めている

不正ｱｸｾｽ等緊急時には委託先の判断でシステムを止める基準を決めている

詳細は決めていな
いものの、休日も含めた緊急時の連絡体制は整えている

何かあれば連絡があると思っているので､特にﾙｰﾙ等は決めていない

その他

無回答

10％
（23 社）

14％（33 社）

29％（66 社）

43％（100 社）

１％
（２社）

10％
（23 社）

7６．個人情報保護委員会への要望等

・ 個人情報保護委員会は、広報・啓発活動として、事業者への講師派遣や多面的な情報発信、ハンドブック等のホームページ掲載などの広報・啓発活動に努めている。
・ この点、個人情報保護委員会のホームページを閲覧したことがあるとする事業者は１割未満にとどまっている。一方で、中小規模事業者側からは、個人情報保護委員会への要望として、資料の充実（分かりやすいパンフレット、具体的でわかりやすい対策やマニュアルなど）、説明会・研修会の実施などが挙がっている。
・ こうした中小規模事業者の期待に応えていくために、上述の個人情報保護委員会からホームページなどにより提供している中小規模事業者の個人情報保護に関する理解に資する資料を、しっかりと周知していくとともに、さらなる資料の有用性の向上（改正法の内容を遅滞なく反映するほか、より分かりやすい解説にするなど）を図っていくことが肝要。

（１）個人情報保護委員会のホームページの閲覧状況
全体閲覧したことがある

閲覧したことはない

無回答

100％
（5,231 社）

８％（391 社）

88％（4,586 社）

５％（254 社）（２）「閲覧したことがある」と回答した事業者の閲覧内容（複数回答可）
全体(391 社)

委員会
開催状況

報道発表
資料

法令・ｶﾞｲﾄﾞﾗｲﾝ

令和２年
改正法
について漏えい等
対応

ﾋﾔﾘﾊｯﾄ
ｺｰﾅｰ

その他

無回答

８％

17％

73％

29％

33％

32％

２％

１％

(32 社)(66 社)(285 社)(112 社)（130 社)(125 社)

（６社)

(４社)

（３）個人情報保護委員会への要望等（複数回答可）
全 体(5,231 社)

資料の充実

説明会の実施研修会の実施

講師の派遣

その他

無回答

18％

10％

７％

１％

４％

71％

(921 社)(545 社)（344 社)(59 社)（195 社)(3,735 社)

8

項目
資料の充実

内容（抜粋）・ 分かりやすいパンフレット・ DM や WEB による情報提供
・ 具体的でわかりやすい対策やマニュアル
・ 改正個人情報保護法に関する情報
・ 業種・分野に合わせた資料
・ 具体的な事例の紹介
・ ひな型やチェックリストの提供

説明会の実施・ オンラインでの説明会・ネット動画
・ 改正点について・ 商工会議所での説明会の実施

研修会の実施・ オンラインでの研修会の実施
・ 無料研修動画の配信
・ 法改正について研修会への講師派遣

・ WEB セミナーの実施
・ 同業者で行う研修会等に合わせた派遣・ 法改正時の改正内容説明のための派遣

その他

・ 中小会社でも必ずしなくてはならない事へのセミナー、指導、チェッ
クシートの配布 等

9７．まとめ ～ 中小規模事業者の個人情報保護に対する支援 ～・ 中小規模事業者においては、個人情報保護への取組みについて、電子化による個人情報管理の難易度の上昇といった環境変化にもかかわらず、そもそも「何をしてよいかわからない」とする事業者が多く存在し、限られた経営リソースの下で、十分な体制整備ができていない状況が、今般の実態調査から明確に示されている。このため、経営者自身あるいは担当者に対して、個人情報保護法に関する基本的な知識についての啓発活動を継続していくとともに、外部の相談先を確保できるような環境整備を進めていくことが必要と考えられる。
・ 前者の啓発活動については、個人情報保護委員会が作成・公表している簡便で分かりやすい説明資料のさらなる充実とともに、その存在自体を周知広報していくことが求められる。周知広報について、具体的には、当該資料を単にホームページ上で掲載しているだけではなく、認定個人情報保護団体制度の浸透を図るほか、日本商工会議所、全国商工会連合会など多数の中小規模事業者が加入している団体との連携を密にとって、全国の多数の中小規模事業者に向けて、個人情報保護制度の浸透に向けた取り組みを継続していくことが考えられる。
・ 後者の相談先の確保については、主に弁護士を相談先とするとみられる大企業とは異なり、中小規模事業者にとって、普段より接点の多い税理士、社会保険労務士などがこれまでもその役割を担ってきたことが、今般の実態調査から明確になっている。個人情報保護委員会においては、こうした士業の協会（日本税理士会連合会、全国社会保険労務士会連合会など）との連携を継続・発展させて、中小規模事業者への個人情報保護制度（漏えい等報告の義務化など）に関する周知広報について協力を要請していくことなどが肝要と考えられる。

以10上