一人親方が単発の仕事を継続に変えるとき｜連絡先を五十音順に並べた日から、名簿には義務が付きます

去年の秋に一度だけ入った現場の元請け。担当者の名刺は財布に入ったままで、名前は思い出せる。連絡先はスマホのどこかにある。あの1件を2件目につなげたいのに、電話をかける口実が見つからない——この状態を抜けようとして、多くの人が最初にやるのが「連絡先の整理」です。

結論からお伝えすると、その整理のやり方ひとつで、あなたは個人情報保護法の「個人情報取扱事業者」になります。名刺入れに入れたままなら該当しません。表計算ソフトに打ち込んだ時点で該当します。線はそこにあります。そして2026年7月17日、この法律の改正法が公布されました。

名簿を持った日から効く3つ。持ち方で対象が決まること、置き場所とロック、使わなくなったら消すこと

名刺入れのままなら、まだ名簿ではない

個人情報保護法16条1項は「個人情報データベース等」を定義しています。紙でも該当します。施行令4条2項が、紙の場合の条件をこう書いています。

個人情報を一定の規則に従って整理していること
目次、索引その他検索を容易にするためのものを持っていること

個人情報保護委員会のガイドライン（通則編・平成28年11月／令和8年6月一部改正）は、該当する例と該当しない例を並べています。

該当する：従業者が、名刺の情報を業務用パソコンの表計算ソフト等を用いて入力・整理している場合（事例3）
該当する：登録カードを氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合（事例4）
該当しない：自己の名刺入れを他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法で分類した状態である場合（事例1）

つまり「自分にしか分からない順番で束ねてある」うちは対象外で、五十音順に並べてインデックスを付けた瞬間に対象になる。エクセルに打ち込むのも同じです。継続を取りにいく人ほど、早い段階でここを越えます。

越えた日から付いてくる3つ

16条2項の「個人情報取扱事業者」に、件数の下限はありません。5,000件以下は対象外という扱いは2017年5月30日に終わっています。1件から対象です。そのうえで効いてくるのは次の3つです。

23条（安全管理措置）：漏えい・滅失・毀損の防止に必要かつ適切な措置を講じる。ノートパソコンや現場車の中のタブレットも含みます
25条（委託先の監督）：名簿の扱いを人に頼んだら、その人を監督する義務が自分に残ります
22条（データ内容の正確性の確保等）：利用する必要がなくなったときは遅滞なく消去するよう努める。努力義務ですが、条文は「貯め続けろ」とは書いていません

もうひとつ。名刺交換で受け取った連絡先に、あとで冊子やメールを送ってよいのか。ガイドラインは21条4項4号（取得の状況からみて利用目的が明らかな場合）の事例2で、「一般の慣行として名刺を交換する場合で、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合」を挙げています。利用目的の通知や公表がなくても、この範囲なら回ります。ただし電子メールには別の法律（特定電子メール法）の網がかかります。そちらは一人親方の営業フォローは何日おきかに分けて書きました。

連絡先をそのまま渡す場合と委託として出す場合の比較。第三者提供と、委託先の監督義務の違い

「あの人を紹介するよ」と連絡先を渡すのは違反になるのか？

名簿になっている連絡先を、本人の同意なく他人に渡すのは、27条1項の第三者提供にあたります。原則はあらかじめ本人の同意です。現場でよくある「腕のいい電気屋を探している」と言われて携帯番号を伝える場面は、ここに入ります。

ただし27条5項が、第三者に当たらない3つを挙げています。1号が委託に伴う提供です。自分が受けた仕事の一部を応援に出すために、必要な範囲で渡すのは委託の側に整理できます。そのかわり25条の監督義務が自分に残ります。抜け道ではなく、義務の置き場所が変わるだけです。

いちばん安全なのは、その場で番号を言わずに「先方に、あなたの番号を伝えてよいか聞きます」と返すことです。手間は1通のメッセージ分で済みます。

1,000人未満でも、報告が要る場合がある

ここが実務でいちばん誤解されています。漏えい時の報告義務（法26条1項）の対象は、施行規則7条の4つです。

要配慮個人情報が含まれる個人データの漏えい等
不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
不正の目的をもって行われたおそれがある行為による漏えい等
本人の数が千人を超える漏えい等

人数の条件が付いているのは4号だけです。3号にはありません。そしてガイドラインは3号の報告を要する事例に「個人データが記載又は記録された書類・媒体等が盗難された場合」（事例3）を挙げています。現場車から名簿の入ったノートパソコンを盗まれたら、20件でも報告対象です。車上荒らしの備えは工具の盗難を防ぐに書きましたが、積んでいるのは工具だけではありません。

報告は規則8条1項で「速やかに」（速報）、2項で知った日から30日以内（3号の事態は60日以内）に確報。あわせて法26条2項で本人への通知も必要です。

2026年7月17日に公布された改正で、ここが動く

「個人情報の保護に関する法律等の一部を改正する法律」は令和8年7月10日に成立し、7月17日に公布されました。施行は原則として公布の日から起算して2年を超えない範囲内で政令で定める日です。今日から効くものではありませんが、方向は出ています。

課徴金の導入（148条の3〜148条の17）。対象は「経済的誘因のある、大量の個人情報の取扱いによる悪質な違反行為」と書かれています。名簿を持っただけの一人親方が入る枠ではありません
漏えい時の本人通知義務の緩和（26条2項）。権利利益の保護に欠けるおそれが少ない場合が対象
個人情報ではないが、特定の個人に対する働きかけが可能となる情報の不適正利用・不正取得の禁止（31条の2）
罰則の引き上げと、詐欺行為等により個人情報を不正に取得する行為への罰則の新設（178条〜180条）

政令・委員会規則・ガイドラインはこれから作られます。数字や細目は動くので、施行が近づいたら委員会の公表を見直してください。