名刺管理のアプリを探しているとき、見落とされがちなことがあります。名刺を集めて検索できる形にした時点で、法律上は「個人情報データベース等」を持っていることになる、という点です。
怖がらせたいわけではありません。やることは多くありません。条文で確かめて、必要なものだけ並べました。
個人情報保護法16条1項は、「個人情報データベース等」を、個人情報を含む情報の集合物であって「特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの」などと定めています。同条2項は、それを事業の用に供している者を「個人情報取扱事業者」としています。
つまり、名刺を撮ってアプリに入れ、名前や会社名で引けるようにした時点で、これに当たります。人数の下限はありません。1人の会社でも同じです。
| 義務 | 条文 |
|---|---|
| 利用目的をできる限り特定する | 17条1項 |
| 取得したら、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知するか公表する | 21条1項。ただし「取得の状況からみて利用目的が明らかであると認められる場合」は適用されません（同条4項4号） |
| 漏えい・滅失・毀損の防止その他、安全管理のために必要かつ適切な措置を講じる | 23条 |
| 本人の同意なく個人データを第三者に提供しない | 27条1項 |
| 個人の権利利益を害するおそれが大きい漏えい等が起きたら、個人情報保護委員会に報告し、本人にも通知する | 26条1項・2項 |
実務で引っかかりやすいのは27条です。集めた名刺の情報を、そのまま別の会社に渡したり、営業リストとして共有したりすることは第三者提供に当たります。
23条は「必要かつ適切な措置」とだけ書いていて、具体的な製品を指定していません。高いシステムを入れれば満たされるわけでも、無料のアプリだから満たされないわけでもありません。端末に画面ロックがかかっているか、退職した人の端末からデータが消えているか、といった日々の扱いのほうが実態に効きます。
ブラウザだけで使えます。インストールは要りません。
★名刺のデータは、お客様の端末のブラウザ内（LocalStorage／IndexedDB）に保存されます。この保存領域は暗号化されていません。同じ端末・同じブラウザを使える方は、開発者ツール等から内容を閲覧できます。共有端末では使わず、端末に画面ロックを設定してください。端末の紛失・初期化・ブラウザデータの消去により、データは復元できません。23条の安全管理措置は、名刺を集めている事業者ご自身の義務です。
名刺の画像を読み取るときは、AI機能として BizPack 50 のサーバーを経由して Google の Gemini API に送信されます。送信されるのは、その操作で選んだ画像だけです。
枚数の下限はありません。個人情報保護法16条は、特定の個人情報を検索できるように体系的に構成した集合物を事業の用に供していれば個人情報取扱事業者としており、人数要件を置いていません。
21条1項は、あらかじめ利用目的を公表している場合を除き、速やかに通知または公表することを求めています。また同条4項4号は「取得の状況からみて利用目的が明らかであると認められる場合」を適用除外としています。自社サイトに利用目的を載せておくのが、いちばん手間がかかりません。
27条1項により、あらかじめ本人の同意を得ないで個人データを第三者に提供することはできません。営業リストとして共有することも、これに当たります。
26条は、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会に報告し、本人にも通知しなければならないと定めています。
ブラウザ内の保存領域は暗号化されていません。同じ端末・同じブラウザを使える方は内容を閲覧できます。共有端末では使わず、端末に画面ロックを設定してください。安全管理措置は、名刺を集めている事業者ご自身の義務です。