かつての個人情報保護法では、5000人以下の個人情報を取り扱う事業者は対象外でしたが、2015年の法改正により、すべての事業者が義務者となりました。 事業者とは、「個人情報データベース等を事業の用に供している者」であり（法2条5項）、医院・クリニックなどの診療機関も含まれます。 つまり、医師1名といった小規模な診療機関であっても、個人情報保護法を遵守する義務を負うこととなります。