個人情報の漏えいが起きたときの初動対応：最初の1時間・委員会への速報と確報・本人への通知
メールの誤送信、書類やPCの紛失、不正アクセスなどで個人情報が漏えいしたときに、総務がまずやることを時系列で整理します。被害の拡大防止と記録、報告が必要な4つの事態の判定、個人情報保護委員会への速報（おおむね3〜5日以内）と確報（30日以内、不正目的のおそれは60日以内）、本人への通知、マイナンバーを含む場合の注意点を解説します。
- 対象読者
- メール誤送信や書類の紛失など、個人情報の漏えいが起きたときの対応を任される総務・人事担当者
- 難易度
- 実務
- 所要時間
- 読了9分
- 最終確認日
この記事のポイント
- 発覚したら、まず被害の拡大を止め（送信先への削除依頼、アカウントの停止など）、社内の責任者に報告し、事実を時系列で記録する
- 要配慮個人情報・財産的被害のおそれ・不正の目的のおそれ・1,000人超のいずれかにあたる場合は、個人情報保護委員会への報告と本人への通知が義務。速報はおおむね3〜5日以内、確報は30日以内（不正目的のおそれがある場合は60日以内）
- マイナンバーを含む場合は番号法の報告対象（100人超など）も確認し、マイナンバー用の報告フォームを使う。報告対象にあたらなくても、再発防止策は必ず決める
メールの宛先を間違えた、従業員名簿を印刷した紙が見当たらない、PCを紛失した。個人情報の漏えいは、どの会社でも起こりえます。起きたときに慌てないためには、最初にやることと、報告が必要かどうかの判断基準を知っておくことが大切です。
この記事では、個人情報保護委員会のガイドライン（通則編）をもとに、漏えいが起きたときの初動を時系列で整理します。日ごろの管理の基本は「中小企業の個人情報・マイナンバー管理の基本」を参照してください。
「漏えい等」にあたるもの
ガイドラインでは、個人データの「漏えい」「滅失」「毀損」をあわせて「漏えい等」としています。
| 種類 | 意味 | 例 |
|---|---|---|
| 漏えい | 外部に流出すること | メールの誤送信、FAXの誤送信、不正アクセスによる流出 |
| 滅失 | 内容が失われること | 誤って廃棄した、バックアップのないデータを消した |
| 毀損 | 内容が変わる、使えなくなること | ランサムウェアで暗号化された |
「漏えいのおそれ」がある段階でも報告の対象になりえます。紛失した書類が見つかっていない、不正アクセスの範囲がまだ分からない、という段階で動き始めます。
ガイドラインが示す5つの措置
ガイドラインでは、漏えい等が発覚した場合に講ずべき措置として次の5つが挙げられています。
- 事業者内部における報告及び被害の拡大防止
- 事実関係の調査及び原因の究明
- 影響範囲の特定
- 再発防止策の検討及び実施
- 個人情報保護委員会への報告及び本人への通知
以下では、これを総務の実務の流れに落とし込みます。
最初の1時間：止める・報告する・記録する
被害の拡大を止める
| 事態 | 最初の対応の例 |
|---|---|
| メールの誤送信 | 誤送信先に連絡し、削除と削除したことの返信を依頼する。添付ファイルのパスワードを別送していないか確認する |
| 書類の紛失 | 立ち寄った場所・移動経路を確認し、施設や警察に届け出る |
| PC・スマートフォンの紛失 | 遠隔ロック・データ消去、アカウントのパスワード変更とセッションの無効化 |
| 不正アクセス・ウイルス感染 | 端末をネットワークから切り離す（電源は切らずに情報システム担当・保守業者の指示を待つ） |
| 共有設定のミス | 共有リンクの無効化、閲覧権限の修正、閲覧履歴の確認 |
社内に報告する
発見した人は、ためらわずに上長と個人情報の責任者（総務など）に報告します。「怒られるから」と報告が遅れるのが、いちばん被害を広げます。日ごろから「すぐ報告した人を責めない」と伝えておくことが大切です。
記録を始める
最初から時系列で記録を残します。後の報告書は、この記録から作ります。
| 記録する項目 | 例 |
|---|---|
| 発覚した日時・発見者・きっかけ | 10月9日10時、本人からの問い合わせで発覚 |
| 漏えい等が起きた日時 | 10月8日17時に送信 |
| 対象の個人データの項目 | 氏名、住所、給与額 |
| 対象の人数 | 32人 |
| 取った対応と時刻 | 10時30分 誤送信先に削除依頼、11時 削除済みの返信 |
| 原因 | 宛先の自動補完で別の会社の担当者を選んだ |
1〜3日目：調査し、報告が必要か判断する
報告と本人通知が義務になる4つの事態
次のいずれかにあたる場合（漏えい等が発生したおそれがある場合を含む）は、個人情報保護委員会への報告と本人への通知が義務です。
| 事態 | 例 |
|---|---|
| ① 要配慮個人情報が含まれる | 健康診断の結果、病歴、障害の有無 |
| ② 不正に利用されると財産的被害が生じるおそれがある | クレジットカード番号、ネットバンキングのID・パスワード |
| ③ 不正の目的をもって行われたおそれがある | 不正アクセス、従業員による持ち出し、盗難 |
| ④ 本人の数が1,000人を超える | 顧客リストの誤送信 |
①は、高度な暗号化などで保護されている場合は除かれます。人事・総務の業務では、健康診断の結果やストレスチェック・休職の記録など要配慮個人情報を扱うことが多く、1人分でも報告対象になる点に注意します。
マイナンバーを含む場合
マイナンバー（特定個人情報）を含む場合は、番号法の報告対象も確認します。個人情報保護委員会のよくある質問では、本人の数が100人を超える場合や、不正の目的で行われたおそれがある場合、電子的に不特定多数の人が閲覧できる状態になった場合などが挙げられています。マイナンバーを含む（または含むか分からない）場合は、マイナンバー用の報告フォームを使います。
委託先で起きた場合
給与計算や健康診断の委託先で漏えいが起きた場合、委託先から委託元（自社）に通知があれば、報告は原則として委託元が行います。委託契約で、事故時の連絡期限と連絡先を決めておくことが大切です。
委員会への報告：速報と確報
| 報告 | 期限 | 内容 |
|---|---|---|
| 速報 | 事態を知った後、速やかに（おおむね3〜5日以内） | その時点で分かっている範囲で報告する |
| 確報 | 事態を知った日から30日以内（③の不正目的のおそれがある場合は60日以内） | 報告事項をすべて報告する |
報告は、個人情報保護委員会のWebサイトの報告フォームから行います。業種によっては、委員会ではなく所管の省庁に報告する場合もあるため、Webサイトの案内で確認します。
報告する事項
規則では、報告事項として次の項目が定められています。速報の段階で分からない項目は、確報で報告します。
- 概要
- 漏えい等が発生し、又は発生したおそれがある個人データの項目
- 漏えい等に係る本人の数
- 原因
- 二次被害又はそのおそれの有無とその内容
- 本人への対応の実施状況
- 公表の実施状況
- 再発防止のための措置
- その他参考となる事項
最初の1時間から付けている記録が、そのまま報告の材料になります。
本人への通知
報告対象にあたる場合は、本人への通知も必要です。ガイドラインでは、事態の状況に応じて速やかに通知するとされています。
| 通知する内容 | 例 |
|---|---|
| 概要 | いつ・何が起きたか |
| 対象の個人データの項目 | 氏名・住所・健康診断の結果 |
| 原因 | 宛先の誤り |
| 二次被害のおそれと内容 | 不審な連絡があった場合の対応 |
| その他参考となる事項 | 問い合わせ窓口 |
本人の連絡先が分からないなど、通知が困難な場合は、事案の公表や問い合わせ窓口の設置といった代替措置をとることが認められています。
従業員への通知は、謝罪とあわせて、会社が取った対応と今後の対策を伝えます。メールやチャットで送る場合は、宛先を一人ずつにする（一斉送信で他の人のアドレスが見えないようにする）などの配慮も必要です。
報告対象にあたらない場合
4つの事態のどれにもあたらない場合（例：要配慮個人情報を含まない数名分の氏名・メールアドレスの誤送信で、削除を確認できた）は、委員会への報告義務はありません。それでも、次の対応は行います。
- 社内の記録を残す（日時・対象・対応・原因）
- 本人へのおわびと説明を検討する
- 再発防止策を決め、周知する
再発防止策の例
| 原因 | 再発防止策の例 |
|---|---|
| メールの宛先の誤り | 社外宛ての送信前確認、送信の一時保留機能、個人情報は共有リンクで権限を付けて送る |
| 書類の持ち出し・紛失 | 個人情報を含む書類の持ち出しを原則禁止、持ち出し記録 |
| PCの紛失 | ディスクの暗号化、遠隔ロック、多要素認証（パスワード・多要素認証の社内ルール） |
| 共有設定のミス | 共有フォルダの権限の定期点検、「リンクを知っている全員」の禁止 |
| 誤廃棄 | 保存期間と廃棄手順の明確化（オフィスの物理セキュリティ） |
再発防止策は、規程や手順書を更新し、研修や朝礼で周知するところまで行います。
平時に準備しておくこと
- 事故が起きたときの連絡先の一覧（社内の責任者、情報システム担当・保守業者、委託先、顧問弁護士）
- 個人情報の取扱台帳（どこに、何の個人情報が、何人分あるか）。影響範囲の特定が早くなります（個人情報取扱台帳）
- 報告フォームの場所と、速報・確報の期限を書いた1枚の手順書
- 委託先との契約での事故時の連絡ルール
情報セキュリティ全体の最低限の対策は「情シス兼任総務の情報セキュリティ最低限チェック」でも解説しています。
まとめ
- 発覚したら、被害の拡大を止め、責任者に報告し、時系列の記録を始める
- 要配慮個人情報・財産的被害のおそれ・不正目的のおそれ・1,000人超のいずれかにあたれば、委員会への報告と本人への通知が義務。「おそれ」の段階でも対象になりうる
- 速報はおおむね3〜5日以内、確報は30日以内（不正目的のおそれがある場合は60日以内）。報告は委員会のWebサイトのフォームから行う
- マイナンバーを含む場合は番号法の報告対象（100人超など）も確認し、マイナンバー用のフォームを使う
- 報告対象でなくても、記録と再発防止策は必ず残す