IN THIS ARTICLE

この記事でわかること

  • 報告が必要になる4つの場面と、期限の目安を知る。
  • 「持たない」「鍵を絞る」の順で、手元の対策を決める。
  • もしものときの連絡先を、先にメモにしておく。

9月から10月にかけて、不正アクセスによる情報漏えいの公表が相次ぎ、10月上旬には個人情報保護委員会やIPAなど国の機関が、続けて事業者向けの注意喚起を出しました。[1] その後も公表は続き、委員会は安全管理のガイドラインの見直しを前倒しすると決めています。ニュースに名前が並ぶのは大きな会社が中心です。それでも、ホームページの問い合わせフォームは、名前やメールアドレスを毎日受け取る名簿の入口です。会社の規模に関係なく押さえておきたいことを、守る順番に沿って整理します。

01 / 05

漏えいは、大きな会社だけの話か

個人情報保護委員会の令和7年度年次報告によると、民間事業者からの漏えい等事案は1万7,139件でした。過去最多だった前年度の1万9,056件から約1割減ったものの、高い水準が続いています。 [2] 原因は不正アクセスだけでなく、書類の誤交付やメールの誤送信といった日常の作業にも広がっています。 [3]

漏えいしたときの報告の義務は、会社の規模ではなく、個人情報を事業に使っているかどうかで決まります。従業員が数名の会社でも、次に挙げる場面に当てはまれば、委員会への報告と本人への通知が必要です。

02 / 05

1件でも報告が必要になる、4つの場面

報告が必要になるのは、次の4つのいずれかに当たる場合です。上の3つは件数に関係なく対象になり、漏えいが確定していなくても「おそれ」の段階で対象になります。 [4]

場面ホームページで起こりうる例
要配慮個人情報（病歴など、特に配慮が必要な情報）の漏えい健康相談や介護サービスの申込フォームの内容
財産的被害が生じるおそれ決済機能があるサービスのIDとパスワード、クレジットカード番号
不正の目的によるおそれ不正アクセスで、フォームの送信内容が抜き取られた
本人の数が1,000人を超える何年分もたまった問い合わせ履歴や会員名簿の流出

期限の目安は、速報が事態を知ってからおおむね3〜5日以内、確報が30日以内（不正の目的によるものは60日以内）です。 [4] なお、2026年7月に改正個人情報保護法が公布され、2028年7月までに施行される予定です。漏えいが起きたときの対応についても見直しが含まれているため、施行に向けた委員会の案内は追っておきたいところです。 [5]

03 / 05

いちばん効く対策は「持たない」こと

個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。委員会は10月7日の注意喚起でこの規定を改めて取り上げ、消去が徹底されずに漏えいが深刻化した事例もあると指摘しました。 [7] 盗まれる前に手放しておいた情報は、盗まれようがありません。

ホームページの場合、フォームの送信内容は一か所だけに残るとは限りません。

  • フォームの通知メール（受信箱と、転送先のスマホ）
  • フォームのプラグインが管理画面に保存する送信履歴
  • 集計のために書き出したCSVファイル
  • 共有ドライブやチャットに貼り付けた控え

数年前のキャンペーン応募や、終わったイベントの申込履歴も、漏えいすれば本人の数に数えられます。何を、どこに、いつまで残すかを決め、期限を過ぎたものを消す担当者を決めるだけで、守る範囲は小さくなります。

1件の問い合わせが、どこに残るかを示した図です。 フォームから送信された1件は、管理画面の送信履歴、受信箱の通知メール、転送先のスマホ、集計用のCSVファイル、共有ドライブやチャットの控えの5か所に写り、守る範囲も5か所に広がります。 保存する場所を1か所に決め、期限を過ぎた4か所の控えを消すと、守る範囲は1か所に縮みます。

保存する場所を1か所に決め、期限を過ぎた控えを消した場合の例です。

04 / 05

入口の鍵を、少なく、強く

10月7日の注意喚起では、安全管理のガイドラインの見直し内容が先取りで示されました。[7] 委員会は10月28日、相次ぐ漏えいを受けてこの見直しを前倒しすることを決め、翌29日から改正案への意見を募集しています（11月27日まで）。案では、同じIDとパスワードの使い回しを原則として避けること、多要素認証（パスワードに加えて別の確認を組み合わせる仕組み）、管理者権限のアカウントを必要最小限に絞ること、ログを一定期間保管して定期的に分析することなどが、手法の例として加わっています。新しい義務を設けるものではないとされていますが、安全管理の目安は一段上がることになります。[8] IPAも、作った覚えのないアカウントや、無効にしたはずのアカウントが残っていないかの点検を呼びかけています。[1]

小さな事業者に置き換えると、点検する場所は限られます。WordPressの管理者アカウントは何人分あるか。退職した人や、もう依頼していない制作会社のアカウントが残っていないか。サーバーの管理画面、ドメインの管理画面、フォームの通知を受けるメールに、二段階認証（パスワードに加えてスマホの確認コードなどを求める仕組み）を設定しているか。鍵の本数を減らし、残した鍵を強くすることで、入口になりうる場所そのものが減ります。

05 / 05

「もしも」の連絡先は、平時にメモする

漏えいの疑いが出たとき、まず慌てて探すことになるのは連絡先です。報告の期限は事業者が事態を知った時点から数えるため、誰に連絡し、誰が判断するのかを探している間にも時間は進みます。保管場所の棚卸しと一緒に、次のメモを作っておくと、確認と初動が一枚で済みます。

コピーして使えるひな形
【個人情報の保管メモ】
フォームの種類と、受け取る項目：
通知メールの宛先（転送先も）：
送信履歴の保存場所：
保存する期間と、削除する担当者：
管理画面にログインできる人：
二段階認証の設定状況：

【もしものときの連絡先】
社内で判断する人：
サイトの保守担当：
サーバー会社の窓口：
個人情報保護委員会への報告方法：

完璧な仕組みを一度に整える必要はありません。持たない、鍵を絞る、連絡先を決める。この順番で手を付ければ、ホームページの日々の運用と同じ流れの中で、少しずつ備えを厚くしていけます。

企画・編集：株式会社アクセシオ

参考情報

情報確認日：2026年11月2日。公開資料の説明と、アクセシオによる実践の提案を区別しています。法令の解釈が必要な個別の判断は、専門家や委員会の窓口にご確認ください。

関連するサービスを見る記事一覧へ戻る