個人情報が漏えいしたら何をすべきか？中小企業が見落としがちな「報告義務」の実務

1. 「うちは大丈夫」では済まされない、個人情報漏えいのリスク

顧客名簿の入ったUSBメモリの紛失、従業員の誤送信によるメールの誤送付、外部からの不正アクセスによる情報流出――。個人情報の漏えい事故は、大企業だけの問題ではありません。むしろ、情報管理の体制が十分に整っていない中小企業ほど、ひとたび事故が起きたときの対応の遅れが深刻な結果を招きやすいという実態があります。

「うちは個人情報を大量に扱っているわけではないから関係ない」と考えている経営者の方も少なくありませんが、顧客の氏名・連絡先を記載したExcelファイルや、従業員の給与情報、取引先担当者の名刺情報なども、すべて個人情報保護法の対象です。従業員が数名の会社であっても、個人情報を取り扱っている以上、法律上の義務からは逃れられません。

さらに近年は、標的型メールによるランサムウェア被害や、クラウドサービスの設定不備によるアクセス制御の漏れなど、中小企業を狙ったサイバー攻撃も増加しています。取引先の大企業から「サプライチェーンの弱点」として狙われるケースも報告されており、自社の規模の小ささが、かえって攻撃者にとって侵入しやすい入り口と見なされることもあります。「事故が起きてから考える」のではなく、「事故は起こり得るもの」という前提で体制を整えておくことが、経営者に求められる基本姿勢だといえます。

2. 2022年法改正で義務化された「報告・通知」の実務

努力義務から法的義務へ

2022年4月に施行された改正個人情報保護法により、一定の要件に該当する漏えい等が発生した場合、事業者は個人情報保護委員会への報告と、本人への通知を行うことが法的義務とされました。従来は努力義務にとどまっていましたが、現在は違反した場合に勧告・命令、さらには命令違反に対する罰則の対象となり得る、重い義務に格上げされています。

報告が必要となる主なケース

すべての漏えいが報告対象になるわけではありませんが、実務上、中小企業でも起こりやすい以下のようなケースは報告義務の対象となる可能性が高く、注意が必要です。

• クレジットカード番号など、決済に利用できる情報が含まれる漏えい
• 不正アクセスなど、外部からの攻撃を原因とする漏えい
• 個人データの漏えいにより、財産的被害が生じるおそれがある場合
• 1000人を超える個人データが漏えいした場合

特に注意すべきなのは、「漏えいの疑いがある」段階、つまり漏えいしたと断定できなくても、そのおそれがある時点で報告義務の検討が始まるという点です。「確証が持てるまで様子を見よう」という対応は、初動の遅れとして後々問題視されるおそれがあります。

報告のタイムライン

個人情報保護委員会への報告は、速報と確報の二段階で行うことが求められています。事態を知ってから概ね3〜5日以内に速報を行い、その後30日以内（不正アクセス等の場合は60日以内）に、原因や再発防止策を含めた確報を提出する必要があります。本人への通知についても、状況に応じて速やかに行うことが求められます。事故が発生してから慌てて対応方法を調べるようでは、この期限に間に合わない可能性が高く、平時からの準備が不可欠です。

実務上悩ましいのは、社内で漏えいの疑いを把握してから、経営層に報告が上がるまでの社内タイムラグです。現場担当者が「自分のミスだから」と抱え込んでしまい、報告が数日、時には数週間遅れるケースも珍しくありません。しかし、報告義務の起算点は経営者が知った時点ではなく、事業者として「知り得た」時点から進行するため、社内での情報共有が遅れること自体が、対応全体の遅延に直結します。日頃から「疑わしい事象はすぐに報告してよい」という心理的なハードルの低さを社内に浸透させておくことが、初動対応のスピードを左右します。

3. 委託先管理の落とし穴——「任せているから安心」の危うさ

中小企業では、顧客管理システムやメール配信、給与計算などの業務を外部のクラウドサービスや委託先に任せているケースが一般的です。しかし、個人情報保護法上、委託先で漏えいが発生した場合であっても、委託元である自社の監督責任が問われます。「委託先が起こした事故だから自社には責任がない」という理屈は通用しません。

委託先管理の実務でよくある落とし穴として、以下のような点が挙げられます。

• 委託契約書に、委託先が漏えい事故を起こした際の自社への報告期限・報告内容が明記されていない
• 再委託の可否や再委託先への義務の引き継ぎについて、契約上のルールが曖昧なままになっている
• 委託先のセキュリティ体制について、契約締結時に一度確認しただけで、その後の定期チェックを行っていない

委託先で事故が起きてから自社が報告義務を果たすまでの時間は限られています。委託契約の中に、事故発生時の速やかな報告義務を明記しておくこと、そして年に一度程度、委託先のセキュリティ体制を確認する機会を設けておくことが、いざというときの初動を大きく左右します。

また、クラウド型の顧客管理システム（CRM）や名刺管理サービス、給与計算SaaSなどを利用している場合、サービス提供事業者が海外にサーバーを置いていることもあります。この場合、個人情報保護法上の「外国にある第三者への提供」に該当し、通常の委託とは異なる規制（本人同意の取得や、提供先の体制整備状況の確認等）が適用される可能性があります。契約時に「どこにデータが保管されるのか」「越境移転に該当するか」を確認せずに契約してしまい、後から対応に追われる企業も少なくありません。

4. 退職した従業員の個人情報、いつまで保管していますか

在職中の従業員情報だけでなく、退職者の個人情報の取扱いも見落とされがちなポイントです。給与情報や人事評価、マイナンバー関連書類などは、法令上一定期間の保存が義務付けられているものもありますが、それを超えて「なんとなく」保管し続けているケースが少なくありません。

個人情報保護法上、利用目的の達成に必要な範囲を超えて個人データを保有し続けることは、適切な管理とは言えません。保有期間が長くなるほど、漏えいが発生した際の対象データも増え、リスクは大きくなります。退職者情報についても、法定保存期間を確認したうえで、期間経過後は原則として消去するという社内ルールを整備しておくことが望ましいでしょう。

加えて、退職者本人から「自分の個人データを開示・削除してほしい」という開示等請求を受けるケースも増えています。個人情報保護法は本人からの開示・訂正・利用停止等の請求に対応する体制を事業者に求めており、請求を受けてから場当たり的に対応するのではなく、あらかじめ「どの部署が窓口となり、どのような手順で対応するか」を定めておく必要があります。特に退職時のトラブルが背景にある場合、開示請求が感情的な対立の延長線上で行われることもあり、対応を誤ると新たな紛争の火種になりかねません。

5. 中小企業が今日からできる社内対策

大掛かりなシステム投資をしなくても、以下のような取り組みは比較的短期間で着手できます。

• 個人情報の取扱いに関する社内規程を整備し、誰がどのデータにアクセスできるかを明確にする
• 漏えい等が発生した場合の社内報告フロー（発見者→責任者→経営層）をあらかじめ定めておく
• 委託契約書を点検し、事故発生時の報告義務・セキュリティ水準に関する条項を盛り込む
• 従業員の個人情報を含め、保有期間を定期的に見直し、不要なデータは適切に廃棄する
• 年に一度程度、個人情報の取扱い状況について簡易な社内点検を行う
• 本人からの開示・削除等の請求を受け付ける窓口と対応手順をあらかじめ定めておく

特に重要なのは、事故が発生してから初めて対応を検討するのではなく、平時のうちに社内フローと委託契約を点検しておくことです。報告期限は事故発覚から数日単位で進んでいくため、事前準備の有無がそのまま対応の質を左右します。また、実際に事故が発生した場合を想定した簡単なシミュレーション（誰が第一報を受け、誰が委員会への報告文書を作成し、誰が対外的な説明を担うか）を年に一度でも行っておくと、いざというときの混乱を大きく減らすことができます。中小企業では専任の情報セキュリティ担当者を置けないことも多いですが、経営者自身が「最終責任者は自分である」という自覚を持ち、最低限のフローを整備しておくことが何より重要です。

6. まとめ——「知らなかった」では済まされない時代に

個人情報保護法における報告・通知義務は、努力義務から法的義務へと格上げされ、対応を怠った場合には行政指導や命令、罰則の対象となり得る重要な経営課題となっています。委託先管理や退職者情報の取扱いなど、見落とされやすいポイントを含めて、自社の体制を今一度点検してみることをお勧めします。

個人情報保護に関する体制整備は、一度整えれば終わりというものではなく、事業内容の変化や新しいクラウドサービスの導入、取引先の増減に応じて、継続的に見直していく必要がある取り組みです。「うちの会社の規模なら大丈夫」という思い込みを一度脇に置き、現状の社内体制と委託契約の内容を客観的に点検することが、経営リスクを未然に防ぐ第一歩となります。

自社の個人情報管理体制に不安がある方、委託契約書の内容を見直したい方は、ぜひLeONE法律事務所へお気軽にお問い合わせください。初回相談は無料です。

社内規程の整備や委託契約書のチェックなど、継続的なサポートをご希望の方は企業法務サービスの詳細はこちらからご確認いただけます。