5,000件以上の個人情報データベースを事業として取り扱う事業者を、個人情報取扱事業者と呼ぶ。
※5,000件という数字は、顧客名簿数と従業員名簿数の合算値である。
対象となる情報は、個人情報データベースが検索可能な状態になっているもので、利用目的の特定、制限、適切な取得、取得に際する利用目的の通知、公表、安全管理、第三者への提供の制限などの義務を果たさなければならない。
個人情報取扱事業者の義務としては、以下のようなことが定められている。
・利用目的の特定、利用の制限、利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない
・個人情報を安全に管理すること
・個人データの漏洩、滅失または棄損の防止、その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない