個人情報の漏えい対策｜中小企業・個人事業主が最低限やることと報告義務

個人情報の漏えい対策は、IPAの「情報セキュリティ6か条」（OS・ソフトの更新、パスワードの強化、バックアップなど）を決めて続けることが最低限のラインです。漏えいが起きて一定の条件に当てはまると、個人情報保護委員会への報告と本人への通知が法律上の義務になります。

悩見有造

うちは従業員5人の小さな会社です。お客さんの名簿くらいしか持っていませんが、個人情報の漏えい対策って何をすればいいんですか？

編集長

小さな会社や個人事業主も個人情報保護法の対象で、やることは「基本の対策を決めて続ける」と「漏えいしたときの報告の流れを知っておく」の2つです。国の資料で、最低限のところを確認していきましょう。

中小企業・個人事業主も個人情報保護法の対象

編集長

「うちは小さいから関係ない」と思われがちですが、今は人数に関係なく対象です。まず前提を確認します。

取り扱う人数が少なくても対象

政府広報オンラインによると、2015年の法改正（2017年5月全面施行）で、取り扱う個人情報が5,000人分以下の小規模事業者も対象になりました。個人情報保護法は、個人情報を取り扱うすべての事業者や組織が守る共通のルールとされています。

顧客名簿や会員リスト、問い合わせフォームで受け付けたメールアドレスも、個人を識別できれば個人情報です。個人事業主でも、お客さんの名前や連絡先を名簿にしていれば対象です。

「個人データ」と「漏えい等」の意味

五十音順の名簿のように、検索できるよう整理した個人情報の集まりを「個人情報データベース等」と呼び、その中に含まれる一人ひとりの情報を「個人データ」と呼びます。報告の義務は、この個人データの漏えい等に対してかかります。

第三者に見られる前にすべて回収できた場合は、漏えいに当たらないとされています。ランサムウェアでデータが暗号化されて戻せなくなった場合も、「漏えい等」の対象になります。

法律で決まっている「安全管理」の義務

個人情報保護法の第23条は、個人データの漏えい・滅失・毀損を防ぐために必要かつ適切な措置を講じることを求めています。第24条で従業者の監督、第25条で業務を委託した先の監督も義務としています。

政府広報オンラインは、具体的な例として、紙なら鍵のかかるキャビネットに保管する、パソコンならファイルにパスワードを設定する、セキュリティ対策ソフトを入れる、などを挙げています。大がかりな設備がなくても、できるところから決めて続けることが求められています。

漏えいしたら報告が必要なのはどんなとき？

編集長

漏えいがあったらどんな場合も報告、ではありません。報告と本人への通知が義務になるのは、規則で決まった4つの場合です。

報告と本人通知が義務になる4つの場合

個人情報保護法の施行規則第7条は、個人情報保護委員会への報告が必要になる4つの事態を定めています。どれも、実際に起きた場合だけでなく「発生したおそれがある」場合も含まれます。

出典：個人情報の保護に関する法律施行規則 第7条、政府広報オンライン。1～3は、1件でも当てはまれば報告と通知の対象です。

2022年4月から「努力義務」ではなく「義務」に

報告と本人への通知は、以前は努力義務でしたが、2020年の法改正で、2022年（令和4年）4月から義務になりました。漏えいを本人が早く知り、事業者に利用停止や消去を求めやすくするための改正です。

施行規則第7条には、高度な暗号化などで個人の権利利益を守る措置をとった個人データを除く旨の定めもあります。自社のケースが当てはまるか迷ったら、個人情報保護委員会の相談窓口で確認するのが確実です。

不正アクセスは人数に関係なく対象

Webサイトやサーバーへの不正アクセスで個人データが漏えいした、またはそのおそれがある場合は、3の「不正の目的」の事態として1件でも報告の対象になります。問い合わせフォームの送信内容やネットショップの顧客データも、個人データに当たります。

Webサイトの脆弱性を放置すると、ここに当てはまる入口を残すことになります。サイトのPHPやWordPressを最新に保つことは、個人情報の安全管理の一部です。

報告の期限と、本人への通知

編集長

報告には期限があります。施行規則の条文で、何をいつまでに出すかを確認しておきましょう。

委員会への報告は「速やかに」と「30日以内」の2段階

施行規則第8条は、4つの事態を知ったら速やかに、その時点で分かっている事項を報告するとしています。そのうえで、事態を知った日から30日以内（3の不正の目的の事態は60日以内）に、9つの事項を報告します。

報告は、原則として個人情報保護委員会のオンラインのシステム（電子情報処理組織）で行います。業界によっては、委員会から権限を委任された事業所管大臣に報告する場合もあると規則に定められています。

本人への通知は「状況に応じて速やかに」

個人情報保護法の第26条第2項は、報告が必要な事態が起きたときの本人への通知を定めています。施行規則第10条では、状況に応じて速やかに、概要・項目・原因・二次被害の有無などを、本人の権利利益を守るのに必要な範囲で通知するとしています。

連絡先が分からないなど本人への通知が難しい場合は、本人の権利利益を守るための代わりの措置をとることが条文に定められています。本人に届かないからといって、何もしなくてよいわけではありません。

業務を受託している場合は委託元へ通知

他の事業者から個人データの取り扱いを任されている場合は、漏えい等を知ったら速やかに委託元へ通知します。委託元へ通知すれば、受託した側は委員会への報告と本人への通知を委託元に任せられる仕組みです（法第26条第1項ただし書・規則第9条）。

制作会社やデザイン事務所など、顧客企業のデータを預かる立場の個人事業主は、この流れも知っておきます。契約書に、漏えい時の連絡先と連絡の期限を書いておくと迷いません。

困ったときの相談先

政府広報オンラインは、個人情報保護委員会の「個人情報保護法相談ダイヤル」を案内しています。電話番号は03-6457-9849、受付は平日の9時30分～17時30分です（2026年11月7日時点・最新は公式でご確認ください）。

委員会のウェブサイトには、よくある質問のページや、24時間使える「PPC質問チャット」もあります。報告が必要かどうか迷った段階で相談すると、期限に間に合わせやすくなります。

最低限やる漏えい対策（IPAの情報セキュリティ6か条）

編集長

ここからは予防の話です。IPAの「中小企業の情報セキュリティ対策ガイドライン」にある6か条が、最低限の目安になります。

IPAの「情報セキュリティ6か条」

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月27日に第4.0版になり、「バックアップを取ろう！」が加わって、これまでの5か条が6か条になりました。ガイドラインは、個人事業主や小規模事業者を含む中小企業を想定しています。

出典：IPA「SECURITY ACTION」一つ星の宣言ページ。6つとも、今日から取り組みを決められる内容です。

「5分でできる！情報セキュリティ自社診断」で弱いところを知る

ガイドラインの付録3は、自社の対策の状況を短時間で確かめられる「5分でできる！情報セキュリティ自社診断」。2026年9月30日には解説編も公開され、Excel版の診断ツールもあります。

診断で点が低かった項目から手を付ければ、何から始めるか迷いません。パスワードの使い回しが残っているなら、まずそこから見直します。

パスワードの見直し方はパスワードの使い回しをやめる方法｜管理アプリの選び方と多要素認証、バックアップの取り方はWordPressのバックアップの取り方｜サーバーの自動バックアップとプラグインで説明しています。

漏えいが起きたときの手引きも先に読んでおく

ガイドラインの付録8は、「中小企業のためのセキュリティインシデント対応の手引き」です。PDFで8ページの資料なので、何も起きていないうちに一度目を通しておけます。

付録には、情報セキュリティ基本方針のサンプルや資産管理台帳のサンプルも入っています。どの個人データをどこに置いているかを台帳にしておくと、漏えい時の「項目」や「本人の数」をすぐに答えられます。

ホームページ・メール・委託先でやること

編集長

小さな会社や個人事業主の漏えいの入口になりやすいのが、ホームページ・メール・外注先です。それぞれで決めておくことをまとめました。

ホームページのPHPやWordPressを最新にする

6か条の1つ目「OSやソフトウェアは常に最新の状態にしよう！」は、ホームページを動かしているPHPやWordPressにも当てはまります。問い合わせフォームや予約フォームで個人情報を受け付けているサイトは、とくに優先度が高い場所です。

2026年10月には、PHP本体の重大な脆弱性（PHP2Shell）が公表され、修正版への更新が呼びかけられました。何が起きて、何をすればよいかはPHP2Shellとは？影響を受けるサイトと今やる対策をやさしく解説で、PHP 8.2のサポート終了への対応はPHP 8.2は2026年12月31日でサポート終了｜WordPressで今やる3つのことでまとめています。

メールの一斉送信はBCCか配信サービスで

政府広報オンラインは、メールマガジンをBCCでなくCCに入れて1,000人超に送ってしまうことを、報告が必要な事態の例に挙げています。宛先を見せてはいけない一斉送信は、BCCで送るか、メール配信サービスを使うと手作業のミスを減らせます。

偽の「漏えいのお知らせ」メールを使った詐欺もあるので、受け取る側の注意も必要です。偽メールの見分け方は、情報漏えいのお知らせが届いたら｜偽メールの見分け方と流出後にやることで説明しています。

ホームページの保守を任せている委託先を確認する

個人情報保護法の第25条は、個人データの取り扱いを委託するときに、委託先を必要かつ適切に監督することを求めています。ホームページの制作会社や保守会社に、問い合わせフォームのデータの扱いを任せている場合も当てはまります。

委託先には、サーバーやPHPの更新を誰がいつやっているか、漏えい時にどう連絡するかを確かめておきます。保守契約で確かめる項目は、ホームページ保守で制作会社に確認すること｜PHP・WordPressの更新は誰がやる？にまとめています。

SECURITY ACTIONで取り組みを宣言する

編集長

最後に、対策を「やっています」と外に示せる、IPAの無料の制度を紹介します。

一つ星と二つ星の違い

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。IPAが対策の状況を認定するものではなく、取り組みの段階に応じて「一つ星」「二つ星」のロゴマークを無料で使えます。

出典：IPA「SECURITY ACTIONとは？」（2026年11月7日確認）。すでに6か条と同じ程度の対策ができていれば、二つ星から宣言してもよいとされています。

申し込みは2026年4月から新しい管理システムに

IPAは、2026年4月1日に申し込みから管理までを一新した「SECURITY ACTION管理システム」を公開したと案内しています。宣言の方法は、IPAの「自己宣言の申込方法」のページで確認できます。

宣言すると、6か条を「決めて続ける」きっかけにもなります。一つ星の6か条を社内で確認するところから始めると、無理なく進められます。