本当に500人を超えていても個人情報保護法の対象にならないのでしょうか?