個人情報保護とは？漏洩事例と罰則から学ぶAI時代の対策

改正法が定める「個人情報」の最新定義

個人情報保護法において「個人情報」とは、生きている個人に関する情報のうち、特定の個人を識別できるものを指します。氏名や生年月日、住所、顔写真はもちろん、他の情報と組み合わせることで個人を特定できるデータも含まれるのがポイントです。

さらに「個人データ」はデータベース化された個人情報、「保有個人データ」は開示や訂正に応じる権限を企業が持つデータを意味しており、それぞれ義務の範囲が異なります。自社が扱う情報がどの区分に該当するかを把握しておくことが、適切な管理への出発点になるでしょう。

要配慮個人情報に該当する具体的なデータ例

個人情報の中でも、とくに慎重な取り扱いが求められるのが要配慮個人情報です。これは差別や偏見につながるおそれがある情報を指し、取得時には原則として本人の同意が必要になります。

具体的には以下のようなデータが該当します。

人事・採用担当者は、応募者や従業員からこれらの情報を収集する場面が多いため、同意の取得方法と利用目的の明示を社内ルールとして整備しておきましょう。

匿名加工情報・仮名加工情報の明確な使い分け

データを活用しながら個人情報保護を両立させるために、法律は匿名加工情報と仮名加工情報という二つの仕組みを用意しています。匿名加工情報は特定の個人を復元できないよう加工したもので、本人の同意なく第三者提供が可能です。

一方、仮名加工情報は他の情報と照合しなければ個人を特定できない状態に加工したデータで、社内での分析利用に向いています。ただし、委託・事業承継・共同利用を除く第三者への提供は、本人の同意の有無にかかわらず禁止されています。外部へのデータ提供を想定する場合は、匿名加工情報を選択する必要があります。

生成AI利用における「プライバシーポリシー」の落とし穴

生成AIサービスに業務データを入力する際、見落としがちなのがサービス提供者の利用規約です。個人情報保護委員会も注意喚起を行っており、入力した情報がAIの学習データとして再利用されるケースがあると指摘しています。

社内で生成AIを導入する場合は、入力データの取り扱い範囲をサービスごとに確認し、顧客情報や従業員情報を安易に入力しないルールを策定してください。とくにクラウド型の生成AIでは、データの保存先が海外サーバーになる場合もあるため、越境データ移転の観点からも確認が欠かせません。

不正アクセス・設定ミスによる大規模漏洩の教訓

2024年に発生した漏洩事故189件のうち、「ウイルス感染・不正アクセス」が114件と全体の60.3%を占めました。最大の事例は東京ガスグループで、子会社の東京ガスエンジニアリングソリューションズ（TGES）への不正アクセスにより、業務委託元51事業者の416万人分の顧客情報が流出した可能性が公表されています。

TGESは全国のガス・水道事業者から管理業務を受託しており、そのうちの1社である京葉ガスも約81万人分の情報流出を公表しました。自社だけでなく委託先を含めたサプライチェーン全体のセキュリティが問われる時代になっていることを、この事例は如実に示しています。

内部不正による情報持ち出しと損害賠償の実態

漏洩原因として件数は少ないものの、一度起きると被害が大きいのが内部不正・情報の不適切な持ち出しです。2024年の調査では「不正持ち出し・盗難」は14件ながら、1件あたりの平均漏洩人数は22万4,782人分と最も多い結果でした。

損害賠償の判例を見ると、裁判所は被害者の精神的苦痛を重視する傾向にあります。一人あたりの慰謝料は数千円〜数万円程度でも、対象者が数百万人に及べば総額は数十億円規模になり得るため、企業にとっては経営を揺るがすリスクといえるでしょう。

法人への最大1億円の罰金刑｜改正法で強化された罰則

個人情報保護法に違反した場合、段階的に行政指導、改善命令、そして罰則が科されます。とくに知っておきたいのが、法人に対する最大1億円の罰金です。以下の表で主な違反行為と罰則を確認してください。

さらに、個人情報保護委員会は2026年1月に制度改正方針を公表し、課徴金制度の導入を明示しました。悪質な違法提供・不正取得など特定の違反行為に対し、違反行為によって得た財産的利益を基礎として課徴金を科す仕組みの整備が進んでいます（改正法案は2026年通常国会への提出が想定されており、施行時期は未確定）。課徴金制度が導入されれば、企業の経済的リスクは一層増大します。

勧告・公表が企業ブランドに与えるダメージ

罰金や損害賠償だけでなく、個人情報保護委員会による勧告や企業名の公表も大きなダメージになります。2024年には損害保険大手4社が金融庁から報告命令を受け、顧客情報の管理体制に問題があったことが公表されました。

一度「個人情報を守れない企業」というイメージがつくと、取引先からの信頼低下や採用活動への悪影響など、数字に表れにくい損失が長期間にわたって続きます。個人情報保護を単なるコストではなく、企業の信頼資産を守るための戦略的投資として捉える視点が、これからの企業経営には必要です。

利用目的の特定と通知・公表義務

個人情報を取得する際には、利用目的を具体的に決めて本人に知らせるか、ホームページなどで公表する必要があります。「サービス向上のため」のような曖昧な表現では不十分で、何のサービスにどう使うのかを明確にしなければなりません。

また、目的外の利用には本人の同意が必要です。たとえば「問い合わせ対応」として取得したメールアドレスを、新商品のキャンペーン告知に流用するのは目的外利用にあたります。部署ごとに利用目的を一覧化しておくと、現場での判断ミスを防ぎやすくなるでしょう。

第三者提供における「本人同意」取得の原則

個人データを外部の企業やサービスに渡す場合は、原則として本人の同意が必要です。提供した記録と提供を受けた記録の両方を残す義務もあります。

とくに外国の第三者に提供するケースでは、提供先が個人情報保護法と同等の水準で情報を管理しているかどうかの確認が求められます。海外のクラウドサービスやSaaSを利用する場合にも該当するため、IT部門と法務部門が連携して確認体制を整えてください。

共同利用・外部委託時の管理監督責任

グループ会社間での共同利用や、業務委託先への個人データの提供では、委託元の監督責任が問われます。契約書に安全管理措置を明記するだけでなく、定期的な監査やヒアリングで実態を確認することが重要です。

2024年の東京ガスグループの事例でも、委託先への不正アクセスにより 委託元の顧客情報が流出するという被害が発生しました。委託契約を結んで 終わりではなく、委託先のセキュリティ体制を継続的にチェックする 仕組みを構築することの重要性を、この事例は示しています。

保有個人データの開示・訂正・利用停止への対応

本人から「自分のデータを見せてほしい」「間違いを直してほしい」「使うのをやめてほしい」と請求があった場合、企業は速やかに対応する義務があります。改正法では利用停止を請求できるケースが拡大され、データを使う必要がなくなったときや重大な漏洩が発生したときにも請求可能になりました。

対応窓口や手続きの流れをホームページなどで公表し、本人が「いつでも請求できる状態」を維持しておくことが法律上のポイントです。

漏洩発生時の委員会報告と本人通知（発覚から3〜5日以内の速報）

個人データの漏洩が発生した場合、個人情報保護委員会への速報は発覚から3〜5日以内、確報は原則30日以内（不正目的が疑われる場合は60日以内）に行う必要があります。同時に、本人への通知も義務づけられています。

報告が遅れれば行政処分のリスクが高まるだけでなく、社会的な信用も失われます。万が一に備えて、報告のフローと担当者をあらかじめ決めておくことが実務上のカギになるでしょう。

組織的・人的対策｜体制構築と従業員への周知徹底

個人情報保護を実現するために、まず取り組むべきは責任者の明確化と社内ルールの整備です。「誰が」「どの情報を」「どのように管理するか」を明文化し、全従業員に周知してください。

人的対策としては、正社員だけでなく契約社員や派遣社員、外部委託先のスタッフも含めた教育が必要です。個人情報管理の4ステップ「現状把握→ルール構築→PDCAを回して定期的に見直す→従業員の意識向上」を回し続けることで、組織全体の対応力が高まっていきます。

物理的・技術的対策｜入退室管理とアクセス制御の導入

物理的対策では、個人情報を扱うエリアへの入退室管理や、書類の施錠保管が基本になります。USBなどの外部媒体にデータを移す場合は暗号化とパスワード設定を徹底し、用が済んだら速やかに削除するルールを設けましょう。

技術的対策としてはアクセス制御や二要素認証の導入が効果的です。加えて、DLP（Data Loss Prevention）と呼ばれるデータの持ち出しを監視・制御するツールを使えば、メール添付やクラウドへのアップロードによる意図しない流出を防げます。以下に代表的な技術的対策をまとめました。

• ユーザーIDごとのアクセス権限設定で閲覧範囲を最小化
• 二要素認証（パスワード＋SMS認証など）で不正ログインを防止
• DLPツールでメール添付・USB書き出し・クラウドアップロードを監視
• セキュリティソフトの導入とウイルス定義ファイルの自動更新

これらの技術的対策を組み合わせた多層防御が、外部攻撃と内部ミスの両方に対応するうえで有効です。

越境データ移転｜海外クラウドサービス利用時の注意点

海外のクラウドサービスを利用する場合、個人情報保護法の越境移転ルールへの対応が求められます。外国にある第三者に個人データを提供する際は、提供先が日本の法律と同等の保護水準を確保していることを確認しなければなりません。

欧州のGDPR（一般データ保護規則）をはじめ、各国で異なる規制が存在するため、グローバルに事業を展開する企業はIT部門・法務部門・人事部門が連携して対応方針を策定してください。2026年の法改正に向けた議論では、クラウドサービス等の委託先に対する 規律の強化も論点となっており、早めの対応方針の整備が求められます。

知識付与で終わらない「行動変容」を促す教育設計

個人情報保護の研修でありがちなのが、法律の条文を一方的に解説して終わるパターンです。しかし現場で本当に必要なのは、日常業務の中で正しい判断ができる力を身につけることではないでしょうか。

効果的な教育設計では、実際に起こりうるシナリオをもとにしたケーススタディや、当事者意識を持って考えるワークを組み込みます。知識のインプットだけでなく、「自分ならどう行動するか」を考えるプロセスがあることで、研修後の行動変容につながりやすくなります。

企業リスクを防ぐeラーニング「コンプライアンス・情報セキュリティ・ハラスメント対策パック」の導入メリット

全従業員への教育を効率的に進めたい場合、JMAM（日本能率協会マネジメントセンター）が提供するeラーニングが有効な選択肢です。コンプライアンス・情報セキュリティ・ハラスメントを含む幅広い領域をまとめて学べるため、個人情報保護を含む幅広いリスク対策を一度に展開できます。

eラーニング形式であれば、全国に拠点がある企業や、シフト勤務の従業員が多い職場でも受講タイミングを柔軟に設定可能です。受講状況の管理機能を使えば、未受講者へのリマインドも容易になり、教育の抜け漏れを防げるでしょう。

個人情報保護をはじめとするコンプライアンス教育を組織全体で底上げしたい方は、ぜひこちらをご覧ください。

企業リスクを防ぐ「コンプライアンス・情報セキュリティ・ハラスメント対策パック」サービス資料請求はこちら