個人情報取扱事業者に該当しない弊社も、適用対象ですか？

改正法が全面施行された場合、
適用除外規定（政令によって５千人以下の個人情報を取り扱う事業者について法の適用を
除外）が廃止されることになるため、現在、個人情報取扱事業者に該当しない
中小企業であっても、個人情報データベース等を事業の用に供している場合には、
個人情報保護法の適用対象となります。


個人情報取扱事業者となった場合には、
(1)利用目的の特定と適正な取得（改正法第15条、第17条、第18条）、
(2)利用目的による制限（改正法第16条）、
(3)安全管理措置（改正法第20条）、
(4)第三者提供の制限（改正法第23条）、
(5)本人からの開示請求への対応（改正法第28条）等の
規定が適用されることになります。

改正法が全面施行される前に、取引先や従業員等の個人情報等を
適切に取り扱っている場合には、改正法が全面施行され、
個人情報取扱事業者として個人情報保護法上の義務を負うことになった
場合であっても、従来に比べて大きな負担となるものではありません。

ただし、事業者の規模及び取り扱う個人データの数量によって、
例えば、個人データの安全管理措置の内容はおのずと異なると考えられます。
このため、特に小規模の事業者の事業活動が円滑に行われるように
配慮した上で、安全管理措置等について中小企業における
特例的な対応を検討することが予定されています。


以上。ご参考ください。

出典：個人情報保護委員会ウェブサイト
https://www.ppc.go.jp/personal/faq/jigyosha/