個人データを扱うアプリが守るべき法律の基本——個人情報保護法の要点と開発チェックリスト

個人データを扱うアプリの開発者が最低限守るべきなのは、①利用目的を特定して示す ②安全に管理する ③本人の同意なく第三者に渡さない ④外国のサービスに預けるなら別の手当てをする ⑤漏れたら報告する、の5つです。個人情報保護法は「個人情報を扱う事業者」を広く対象にしており、法人か個人か、有料か無料かは要件ではありません。個人開発の無料アプリでもユーザーの記録を預かる時点で対象になります。この記事では、私たちがライフログアプリ Tsumu を運用する中で実際に設計判断が必要だった順に、要点を整理します。

本記事は個人開発者向けの一般的な解説であり、個別の法律相談ではありません。条文とガイドラインは改正されます。実際の判断はe-Gov の個人情報の保護に関する法律と個人情報保護委員会の最新ガイドラインで必ず原典を確認してください。

そもそも「個人情報」はどこから始まるか

個人情報とは、生存する個人に関する情報のうち、特定の個人を識別できるものを指します。氏名やメールアドレスだけの話ではありません。単体では誰か分からない情報でも、手元の他の情報と容易に照合すれば個人を特定できる状態なら個人情報になります。

「ユーザーIDはランダムな文字列だから個人情報ではない」という整理は、同じデータベースにメールアドレスがあって突き合わせられるなら成り立ちません。実務上は、認証情報と紐づくテーブルは全て個人データとして扱う方が判断がぶれず、結果的に安上がりです。

1. 利用目的は「できる限り特定」する

事業者は個人情報の利用目的をできる限り特定し、取得時に本人へ通知するか公表しなければなりません(法17条・21条)。そして特定した目的の外で使うには原則として本人の同意が要ります。

実装で効くのは目的の書き方です。「サービスの提供・改善のため」とだけ書いたポリシーは、書いた本人が後で困ります。後から「記録をAIに要約させる機能」を足したくなったとき、外部のAI APIへ記録を送ることが当初の目的の範囲内だと説明できるか、という問いが必ず来るからです。

私たちが Tsumu で採った方針は、AIに渡す処理を最初から利用目的に明記しておくことでした。後から目的を追加すると既存ユーザー全員への通知と同意取得が発生します。将来やる可能性のある処理を先に書いておく方が、実装より前に効く設計判断です。

2. 安全管理措置——「暗号化しています」では足りない

事業者には個人データの安全管理措置を講じる義務があり、従業者と委託先を監督する義務も伴います。ガイドラインは組織的・人的・物理的・技術的の4つの側面を挙げていて、技術的対策だけを厚くしても要件を満たしたことにはなりません。

個人開発で現実的に効くのは次の3点です。

1. アクセス制御をデータベース層で持つ: アプリ側のif文ではなく、行レベルセキュリティのようにDBが他人のデータを返さない構造にする。アプリのバグが即漏えいにならない層を1枚挟む意味があります
2. 管理用の鍵を分ける: 管理者権限のキーを本番アプリの実行環境に置きっぱなしにしない。個人開発は「全部入りの鍵」を1本で回しがちで、ここが弱点になります
3. 委託先を書き出す: ホスティング・DB・AI APIの一覧を作る。これが次章の越境移転の判断と、漏えい時の初動にそのまま効きます

3. 第三者提供と「委託」の線引き

個人データを第三者に提供するには原則として本人の同意が必要です(法27条)。ただし委託・事業承継・共同利用は第三者提供に当たらないとされています。外部のホスティングやDBの利用は通常この「委託」に整理され、だからこそ同意なしにクラウドを使えます。

注意すべきは、委託なら自由なのではなく委託先を監督する義務が生まれることです。無料枠で選んだサービスであっても、規約と体制を読んだ上で選んだと説明できる状態にしておく必要があります。

4. 見落とされやすい「外国にある第三者」

ここが個人開発で最も踏みやすい穴です。外国にある第三者へ個人データを提供する場合、委託であっても原則として本人の同意と、移転先の国や体制についての情報提供が必要になります(法28条)。「委託だから同意不要」という整理は、相手が外国にある場合そのままでは通りません。

個人開発のスタックはほぼ確実にこの論点に触れます。ホスティングもマネージドDBも生成AIのAPIも、多くは海外事業者だからです。打ち手はリージョンを国内に寄せられるものは寄せるか、ポリシーで移転先を具体的に示して同意を取るかの2つ。どちらにせよ、使っているサービスと所在地の一覧が手元にないと始まりません。第2章で委託先を書き出したのはこのためです。

5. 漏えいが起きたときに何をするか

一定の個人データの漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務とされています。重要なのは、報告が速報と確報の二段構えで、原因が分かっていなくても期限内に第一報を出す設計だという点です。「調査が終わってから報告しよう」は誤りになります。

だからこそ報告先と連絡テンプレートを平時に用意しておくことが、唯一の現実的な備えです。私たちはこれをリポジトリ内の手順書として持ち、法的な備えというより避難訓練として扱っています。

AIを組み込むなら、増える論点は1つ

生成AIを組み込んでも法律の枠組みが新しくなるわけではありません。外部のAI事業者に個人データを渡す委託と越境移転の話に整理し直せば、3章と4章がそのまま当てはまります。追加で確認すべきは、入力データが提供元のモデル学習に使われる設定になっていないかの一点です。API提供では学習に使わない設定が標準のことが多いものの、プランにより異なります。

AIに法律判断そのものを任せられるかについては、AIに法律相談はできるのかで扱いました。規約やポリシーの作成をAIに手伝わせる範囲と、人が確認すべき線引きについては利用規約・プライバシーポリシーをAIで作る記事が対応します。

よくある質問

Q. 無料の個人開発アプリでも個人情報保護法の対象ですか? 対象になります。個人情報を事業に用いる者が広く対象とされており、有料か無料か、法人か個人かは要件ではありません。ユーザーの記録を預かる時点で対象だと考えて設計するのが安全です。

Q. メールアドレスだけしか持っていない場合も個人データですか? メールアドレスは、それ自体から個人を識別できる場合や、他の情報と容易に照合して識別できる場合に個人情報として扱われます。認証に使っている以上は個人データとして扱う前提で設計するのが実務的です。

Q. プライバシーポリシーはテンプレートで足りますか? 出発点としては有用ですが、利用目的と外部提供先はサービスごとに固有です。特に外部サービスの一覧と所在地はテンプレートが埋めてくれない部分で、そこを書き直さないと実質的な意味を持ちません。

Q. 海外のホスティングを使っているだけでも同意が必要ですか? 外国にある第三者への提供に当たる場合、委託であっても本人の同意や所定の情報提供が必要になります。使用サービスとリージョンを確認の上、個人情報保護委員会のガイドラインに沿って判断してください。