📊 事実
漏えい事案の発生状況と傾向
- ウェブサイト運営事業者に対し、平成30年6月28日に不正アクセスによる情報漏えいの注意喚起が行われ、令和元年7月12日に最終改訂されたソース9。
- 2014年以降、不正アクセスを原因とする漏えい等の件数及び割合が増加傾向にあるソース5。
- 2017年度から2022年度までの間、上場企業とその子会社における個人情報漏えい・紛失事故公表件数は増加傾向を示しているソース5。
- 2022年度の個人情報保護委員会への漏えい等事案報告件数は7,685件であり、前年比で増加しているソース5。
- 漏えい等した個人データに係る本人の数が1,000人以下の事案が全体の96.0%を占め、さらに1人の事案が全体の84.0%を占める小規模事案が多数であるソース2。
- 一方で、国民に広く普及した大量の個人情報を取り扱う事業者が外部からの不正アクセスを受けた大規模な事案も発生しているソース3 ソース8。
- 令和7年度第3四半期における漏えい等した人数別件数として、1,001人から10,000人の漏えい等報告が25件あったソース4。
漏えいの主な原因と手口
- サイバー攻撃の手口による個人データの漏えい事案が複数報告されており、特にアプリ解析からのサーバー攻撃が原因の一つとして特定されているソース1 ソース8。
- ウェブサイト運営事業者においては、既知の脆弱性対策の怠り、SQLインジェクション攻撃、リスト型攻撃による情報漏えい事案が挙げられるソース9。
- 脆弱性が放置された事例、グループ会社や海外拠点が狙われた事例も報告されているソース1。
- 事業者の元従業者が退職日に顧客の個人データを記録した紙媒体を持ち出し、退職後にストレージサービスを利用してダウンロードした事例があったソース4。
- 事業者が提供するサービスにシステム上の不備があり、第三者から個人データが閲覧可能となった事案や、従業員がサポート詐欺に遭い業務用PCが遠隔操作された事案も発生しているソース4。
- 事業者が委託元から取扱いの委託を受けた個人データをメールの誤送信により漏えいさせた事案や、本人の同意なく患者の口くう内写真をウェブサイト上で公開した事案も確認されているソース4。
個人情報保護委員会の対応と対策
- 個人情報保護委員会は、令和6年度第1四半期から「監視・監督権限の行使状況の概要」と「漏えい等報告の処理状況」を公表しているソース1。
- 個人情報保護法第26条第1項に基づき、漏えい等報告を受領した事案について調査を行い、指導等の権限行使を行っているソース3。
- 委員会は、大規模な情報漏えい事案を受けて、個人情報取扱事業者に対し、2026年10月7日に安全管理措置の強化を促す緊急の注意喚起を発表したソース3 ソース8 ソース10。
- 注意喚起では、個人データの暗号化や利用目的達成後の不要データの遅滞ない消去を求めているソース3 ソース8 ソース10。
- 過去の漏えい事案を九つのパターンに分類し、それぞれの対策を示しているソース8 ソース10。
- 令和8年9月16日の第369回個人情報保護委員会でガイドラインの見直しが決議され、技術的安全管理措置の内容も更新される予定であるソース3。
- 個人データ漏えい等が発生した場合、原則として本人への通知が必要とされており、サイバー対処能力強化法に基づくインシデント報告の基準との整合性確保が課題とされているソース2。
- 第370回個人情報保護委員会では、漏えい等報告や本人通知義務の緩和、委託契約における規定の整備が議論されたソース2。
- ウェブサイト運営事業者に対し、委託元には委託先の監督義務があることを強調し、セキュリティ対策の実施確認を促しているソース9。
- 委員会は、信頼性のある自由なデータ流通（DFFT）を推進し、国際戦略として越境移転環境の構築、国際協力関係の強化、国際動向の把握と情報発信を柱としているソース7。
- 国際戦略では、日EU間及び日英間の相互認証の枠組みの対象範囲を拡大する協議の早期妥結、国際的な企業認証制度に係る議論の主導、OECDプライバシーガイドラインへの反映を進めることを目指しているソース7。
💡 分析・洞察
- 不正アクセスを主因とする個人情報漏えい事案の継続的増加は、国内企業のサイバー防御体制の脆弱性を顕著に示しており、これは経済活動の安定性を阻害し、国民のデジタルインフラに対する信頼を損なう直接的な国益上のリスクである。特に、小規模事案の多発は、セキュリティ対策が一部の大企業に限定され、全体としての水準向上が遅れていることを示唆する。
- 個人情報保護委員会が注意喚起やガイドライン見直しを通じて安全管理措置の強化を促し、本人通知義務の緩和やサイバー対処能力強化法との整合性を議論しているのは、実効性のある法執行と事業者の過度な負担軽減を両立させながら、日本のデータセキュリティ水準を国際水準に引き上げ、国際的なデータ流通における信頼性を確保しようとする現実主義的なアプローチである。
- 国際的な高額制裁金の事例は、国内企業のセキュリティ対策が国際基準に満たない場合、海外市場での競争力低下や巨額の制裁金による国富の流出を招く具体的な脅威であり、日本の国際戦略であるDFFTの推進において、国内のデータ保護体制の強化が不可欠な前提条件となっている。
⚠️ 課題・リスク
- 個人情報漏えい事案の多発は、被害を受けた国民の詐欺や不正アクセス被害リスクを増大させ、これに対応するための公的機関および民間企業における治安維持コストの恒常的な増加を招き、結果として国民負担を増加させる。特に、従業員による情報持ち出しやサポート詐欺といった人的要因に起因する漏えいは、技術的対策だけでは限界があり、継続的な従業員教育と組織的なリスク管理体制の強化が喫緊の課題である。
- 個人情報保護委員会による注意喚起やガイドライン見直しは、事業者への具体的な対策実施を促す触媒にはなるものの、中小企業の限られた予算と人材では、高度化するサイバー攻撃への対応や法改正への適応が困難である。これにより、セキュリティ対策の遅れた事業者が狙われやすい標的となり、サプライチェーン全体のリスクを高め、日本の経済基盤の脆弱性を露呈させる可能性がある。
- 個人情報保護法の本人通知義務の基準緩和の検討は、小規模事案における国民への情報提供が遅延または削減されるリスクを内包し、これにより国民が自身の個人情報漏えいを把握する機会が失われ、自己防衛措置を取るのが遅れることで、更なる二次被害を招く可能性がある。また、サイバー対処能力強化法との整合性確保が遅れることは、情報漏えい事案への政府全体の迅速な対処能力を阻害し、事態の悪化を招きかねない。
主な情報源: 個人情報保護委員会 / 朝日新聞
コメント