個人情報の取り扱い周知の要点（持ち出し・誤送信・不審なアクセスの3場面）

社内の担当者が、従業員に取り扱いの注意を周知するときの材料です。委員会が公表した事例のうち、持ち出し・誤送信・不審なアクセスの3場面について、資料が書いていることだけを並べ、起きたときの連絡先を書き込む枠を付けました。

1. このページの使い方

社内の担当者が、従業員に配る周知文を作るときの材料です。委員会が公表した事例のうち、持ち出し・誤送信・不審なアクセスの3場面で、資料に書かれていることだけを並べました。法的な解釈は書いていません。各場面の下の枠に、自社の連絡先を書き込んで使います。印刷しても表が崩れないよう、表は3列以内にしています。

2. 場面1: 持ち出し

持ち出しに関して資料が書いていること

資料が書いていること	出典
民間事業者の事例: 担当者が個人データを個人のクラウドに保管していた。個人データの取扱いの規律が整備されておらず、保管場所のルールがなかった。指導事項は「個人データの取扱いに係る規律の整備」	委員会の指導事例の一覧の4節
行政機関等の事例: 元職員による持ち出し。データベースファイルへのアクセス状況の監査・点検が実施されていなかった。指導事項は「監査及び点検の実施」	同の5節
2027年1月17日から、従業者または退職者による個人情報データベース等の不正な提供・盗用の罰則が改正される。損害を加える目的も対象に加わる	2027年1月施行の罰則

社内の周知に使う一文（案）: 個人データは、会社が決めた保管場所以外（私物のメモリ、個人のクラウド、私用メール）に置かない。

場面1で、起きたら連絡する先（社内担当者が記入）

項目	連絡先	備考
持ち出しに気づいたとき
保管場所を確認したいとき

場面1: 周知後に確かめる点

周知したあとに確かめる点	資料が書いていること	確認結果（記入）
個人データを置いてよい保管場所が、文書で決まっているか	ガイドライン別添10-2は、取得・利用・保存などの段階ごとに取扱方法と責任者を定めることが考えられるとしている。上の指導事例は、保管場所のルールがなかった例
データベース等へのアクセス権を持つ人の一覧と、アクセス状況の記録があるか	ガイドライン別添10-3は、アクセス権を有する者の明確化と、ログイン実績・アクセスログ等の記録の整備を例に挙げている。上の行政機関等の事例は、アクセス状況の点検が行われていなかった例
書類・媒体を持ち運んだ記録が残っているか	ガイドライン別添10-3は、書類・媒体等の持ち運び等の状況の記録を例に挙げている

3. 場面2: 誤送信

誤送信に関して資料が書いていること

資料が書いていること	出典
行政機関等の事例: 情報公開で開示する文書のマスキング処理の確認が不十分で、パソコン上の操作で隠した部分が読める状態だった。指導事項は「誤送付等の防止」	委員会の指導事例の一覧の5節
令和7年度、委員会が直接受け付けた漏えい等の報告13,345件のうち、誤交付が約48%、誤送付が約26%（本サイトの計算）	漏えい等報告の件数と内訳
本人が1名の誤交付・誤送付は、確報を一定期間ごとに取りまとめて行う案が示されている（決定ではない）	漏えい等報告・通知

社内の周知に使う一文（案）: 宛先、添付ファイル、隠したはずの部分を、送る前にもう一度確認する。送ってしまったら、自分で判断せず、すぐ下の連絡先に伝える。

場面2で、起きたら連絡する先（社内担当者が記入）

項目	連絡先	備考
誤って送ったとき
相手への連絡を判断する人

場面2: 周知後に確かめる点

周知したあとに確かめる点	資料が書いていること	確認結果（記入）
送信前に宛先や添付を確認する手順が決まっているか	手順の中身はガイドラインに例示がなく、自社で決める。ガイドライン3-5-1-2は、個人データを含むメールを第三者に誤送信した場合を「漏えい」の事例に挙げている
メール等の送信の設定（宛先確認、添付の扱い）が、決めた手順と合っているか	設定の具体的な方法は、確認した資料に書かれていない。使っているサービスの設定画面や提供元の説明で確かめる
誤って送ったときの連絡先が、従業員に届いているか	上の連絡先の枠が記入され、周知文に載っているかを確かめる。報告の要否の判断は規則と資料で確かめる

4. 場面3: 不審なアクセス

不審なアクセスに関して資料が書いていること

資料が書いていること	出典
令和8年4月から6月の民間事業者への指導98件のうち、外部からの不正アクセス等の防止の不備が21件で最多。原因として、脆弱性の放置、推測されやすいID・パスワード、設定ミスが挙げられている	委員会の指導事例の一覧の2・3節
侵入に使われたVPNのアカウントが、残されたテスト用のものだった事例がある	同の4節
2026-08-19の委員会の資料は、同じ、または似たパスワードを別のサービスで使い回していないかの確認と変更を、事業者が従業者に周知徹底するよう求めている	メールシステムの漏えい事例の4節

社内の周知に使う一文（案）: 見覚えのないログイン通知や不審な動きに気づいたら、パスワードを変える前に、下の連絡先へ知らせる。パスワードは他のサービスと使い回さない。

場面3で、起きたら連絡する先（社内担当者が記入）

項目	連絡先	備考
不審なアクセスに気づいたとき
調査を依頼する外部の窓口

場面3: 周知後に確かめる点

周知したあとに確かめる点	資料が書いていること	確認結果（記入）
担当者と、扱うデータの範囲にアクセスが限られているか（アクセス権限）	ガイドライン（通則編）の安全管理措置を本人の知り得る状態に置く内容の事例に、アクセス制御を実施して担当者と取り扱う個人情報データベース等の範囲を限定する例がある
使われていないアカウント（退職者、テスト用）が残っていないか	上の指導事例に、侵入に使われたVPNのアカウントが残されたテスト用のものだった例がある
パスワードの使い回しの確認と変更が、従業員に周知されたか	2026-08-19の委員会の資料が、事業者が従業者に周知徹底するよう求めている

不正アクセスが起きたときの調査の着眼点はフォレンジック調査の着眼点にまとめています。

よくある質問

この周知文の案は、そのまま社内に配ってよいですか。

一文の案は、資料に書かれた事実を従業員向けの言葉にした例です。自社の規程と連絡先に合わせて直してください。法的な助言ではありません。

事故が起きたら、委員会へ必ず報告する必要がありますか。

このサイトは個別の判断をしません。報告の対象になる事態の定めと、緩和の見直しは漏えい等報告・通知のページにまとめています。判断は顧問弁護士または委員会にご確認ください。

印刷して使えますか。

ブラウザの印刷機能で、連絡先の枠を含めて印刷できます。表は3列以内で、スマホの画面でも読めるようにしています。

出典

• S-58個人情報保護委員会「令和8年度第1四半期における監視・監督権限の行使状況の概要」（2026-09-02。事例はこのサイトの指導事例の一覧ページ経由）（確認日 2026-10-07）
• S-55個人情報保護委員会 報道発表資料（2026-08-19）（確認日 2026-10-06）
• S-48個人情報保護委員会 令和7年度年次報告（確認日 2026-10-04）
• S-127個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 3-5-1-2・別添10-2・10-3（確認日 2026-10-19）

2026-10-14に3つの資料を見直し、指導98件、使い回しの確認を周知するよう求める記述、漏えい等の直接報告13,345件が資料のとおりであることを確かめました。