ASPIC、中小規模事業者向け「ASPICプライバシー認証サービス」を12月1日より開始

一般社団法人日本クラウド産業協会（ASPIC）は、中小規模事業者が個人情報保護法をきちんと守り、その運用を続けられるようにするための新しい認証制度「ASPICプライバシー認証サービス」を2026年12月1日から始めます。

このサービスは、個人情報保護の専門担当者を置きにくい事業者でも取り組みやすいよう、オンラインでの審査や、必要な証拠の確認、そして認定指導員による取得のサポートを組み合わせたものです。申請の受け付け開始日や制度の詳しい内容は、決まり次第ASPICの公式サイトで発表される予定です。

個人情報保護の現状と課題

個人情報保護法は、事業の規模や種類に関係なく、個人情報を使うすべての事業者に適用されます。日本の中小企業は国内の企業の大部分を占めており、社会全体で個人情報保護をしっかり行うためには、この多くの中小規模事業者の取り組みを支える仕組みが必要です。

個人情報保護委員会が2026年3月に発表した調査によると、従業員100人以下の事業者では、個人情報保護の担当者がいない、ルールやマニュアルが整っていない、定期的な見直しや教育が行われていないといった基本的な運用が不足していることが明らかになりました。

また、多くの事業者が「何をしていいかわからない」「法律やガイドラインを理解できる人がいない」という課題を抱えています。このため、事業者が具体的に何をどこまで行えばよいのかを理解し、実行できているかを確認する仕組みが求められています。

情報漏えいのリスクと外部サービス利用の注意点

個人情報保護委員会の2025年度の報告では、民間事業者からの情報漏えいなどの報告件数は1万7,139件と依然として高い水準です。情報漏えいが起きると、対応に大きな負担がかかり、取引先や顧客からの信頼も失われるため、最低限の予防策を広く普及させることが大切です。

中小規模事業者でも、クラウドサービスや生成AI（人工知能）といった外部サービスを使って個人情報を扱うことが一般的になっています。しかし、前述の調査では、個人情報を外部に委託している事業者で、契約後の委託先の監督が不十分であったり、再委託の状況を把握していなかったりするなどの問題が指摘されています。

これらの問題は、社内のルールを定めるだけでは解決できません。委託先の選び方、契約内容、再委託の確認、定期的なチェック、そして事故が起きたときの連絡手順などを、実際の証拠に基づいて確認することが重要です。

2026年改正個人情報保護法への対応

2026年7月に成立・公布された改正個人情報保護法は、デジタル化やAIの利用が進む社会に合わせて、新たなルールを追加します。主な変更点としては、委託先のデータ利用に関するルールが明確化されることや、16歳未満の本人に関する手続き、顔の特徴データや電話番号、メールアドレスなどの不適切な利用への対応が求められることなどが挙げられます。

ASPICは、改正法の施行までに、中小規模事業者が自社の個人データや外部への提供、委託・再委託、Cookie（クッキー）などの外部送信、生成AIへの入力といった状況を整理できるよう、実務的な支援と確認の仕組みを早期に整える必要があると考えています。