基本編_個⼈情報の取扱いに関する事故を起こさないために個⼈情報の取扱いに関する事故を起こさないために【⽇常業務の中で注意すべきこと】
2022年7⽉15⽇
⼀般財団法⼈⽇本情報経済社会推進協会
プライバシーマーク推進センター

1

基本編_個⼈情報の取扱いに関する事故を起こさないために本資料について 本資料は、事業者の皆様が従業者に対して⾏う個⼈情報保護教育に利⽤していただくことを⽬的に作成した参考資料です。
 JIPDECプライバシーマーク推進センターに提出された個⼈情報の取扱いに関する事故報告書から、事故の発⽣状況や原因、再発防⽌策などを整理し、まとめたものです。
 個⼈情報の取扱いに関する事故を起こさないために、⾃社における個⼈情報取扱い業務の実態に合わせ、具体的な運⽤ルール等を追記するなど適宜変更してご利⽤いただき、ルール等の周知徹底に努めていただければ幸いです。

Copyright © 2022 JIPDEC All rights reserved.

22

基本編_個⼈情報の取扱いに関する事故を起こさないために⽬次
はじめに⽇常業務の中で注意すべきこと
事例のご紹介事故の発⽣状況と原因

まとめ

⾃社のルールを確認しましょう緊急事態への対応を確認しましょう参考情報

防⽌策例のご紹介参考資料

Copyright © 2022 JIPDEC All rights reserved.

3

3

基本編_個⼈情報の取扱いに関する事故を起こさないためにはじめに

Copyright © 2022 JIPDEC All rights reserved.

●⾃社の業態等に合わせて事例を変更するなど、⼯夫してご利⽤下さい。

4

基本編_個⼈情報の取扱いに関する事故を起こさないためにこんなことありませんか︖ケース１
新サービスを始めるにあたり⼈⼿が⾜とにかくたくさんの案内…かりない。アルバイトを募集しよう。

以前商品を買ってくれた
⼈にメールを送ろうとにかくたくさんの⼈に案内するように︕●×△社…︖アルバイト募集…︖

⼼当たりないな

なぜ送られてきたの︖

送ってはいけなかったの︖

Copyright © 2022 JIPDEC All rights reserved.

5【ケース１】
株式会社●×△社では、通常のオンラインショッピングサイトのほかに、新サービスを始めることになりました。
⼈⼿が⾜りないのでアルバイトを募集するため、Aさんは、上司から、とにかくたくさんの⼈に案内するよう指⽰を受けました。
（Aさん）とにかくたくさんの案内、か・・・。そうだ、以前商品を買ってくれた⼈にメールを送ってみよう。
ところが、メールを受け取ったC本さんから「⼼当たりのないメールが送られてきたんだけど」と問合せの電話がかかってきました。
なぜ送られてきたのか、C本さんは不審に思っています。
⇒（Aさん）送ってはいけなかったの︖何が問題だったの︖

5

基本編_個⼈情報の取扱いに関する事故を起こさないためにこんなことありませんか︖ケース２
取引先のD⽥さんから、営業のBさん宛に⼤変だ︕直接連絡してもらっちゃおう電話がありました。
では電話番号をお伝えします。
090-XXXXXXXX・・・

Bさんと⾄急連絡をとりたいんだけど︕

D⽥さんから、私⽤の携帯電話に連絡︖どうして︖
この番号は業務⽤ではないのに。

どうして教えてしまったの︖
良かれと思った
のに・・・

Copyright © 2022 JIPDEC All rights reserved.

6【ケース１】
電話などでの応対を考えます。
（取引先のD⽥さん）急いで営業担当のBさんと連絡が取りたいんだけど︕（Aさん）急ぎの連絡︕︖⼤変だ︕Bさんは外出しているから、D⽥さんに直接Bさんに連絡してもらおう。Bさんの携帯電話の番号は・・・。
Bさんは、私⽤の携帯電話に、取引先のD⽥さんから電話がかかってきたことにびっくり。
どうしてこの番号を知っているの︖⇒（Aさん）急ぎだと思ったから、良かれと思って教えたのに。どこが問題だったの︖

6

基本編_個⼈情報の取扱いに関する事故を起こさないためにどこが問題だったのでしょうか︖
 ケース１の場合とにかくたくさんの⼈に案内しなくては︕
以前商品を買ってくれた⼈にメールを送ってみよう。

商品を購⼊していただいた際に取得したお客様の個⼈情報の利⽤⽬的は︖
個⼈情報を利⽤する際の社内ルールは︖

取得した際にお伝えした利⽤⽬的から外れた取扱い。
個⼈情報を利⽤する際は、社内のルールや取扱⼿順を確認することが必要。

Copyright © 2022 JIPDEC All rights reserved.

7

この２つのケース、どこが問題だったのでしょうか。
【ケース１の場合】
株式会社●×△社では、個⼈情報を取り扱う際の社内ルールが決められています。
当社のルールでは、商品購⼊者へのメール配信は、「商品購⼊の⼿続きに関すること」のみに限定しています。
⇒取得した個⼈情報は、定めた利⽤⽬的の範囲内で利⽤します。
利⽤⽬的は、主に個⼈情報保護⽅針やプライバシーポリシー等で定めています。

7

基本編_個⼈情報の取扱いに関する事故を起こさないためにどこが問題だったのでしょうか︖
 ケース２の場合急ぎの連絡ですね。
では連絡先をお伝えします。090-XXXX-XXXX

急いでいるからと、勝⼿な判断をしていませんか︖
本⼈の了解を得ていますか︖
従業者の個⼈情報の取扱いルールは︖

個⼈情報の取扱いに関する認識不⾜。
社内のルールや対応⼿順を確認することが必要。
Copyright © 2022 JIPDEC All rights reserved.

8

この２つのケース、どこが問題だったのでしょうか。
【ケース２の場合】
株式会社●×△社では、個⼈情報を取り扱う際の社内ルールが決められています。
当社のルールでは、外部からの問合せがあった場合には、即答せずに本⼈に確認もしくは本⼈から連絡させることになっていました。
また、社⽤の電話番号ではない、個⼈の携帯電話の番号を本⼈の同意なしに伝えることも禁⽌しています。
⇒本⼈以外の第三者に個⼈情報を教える場合には、事前に本⼈の同意を得ることが必要です。

8

基本編_個⼈情報の取扱いに関する事故を起こさないために相⼿が意図しない利⽤による影響は・・・
 連絡を受けた相⼿の思い・・・ 個⼈情報が知られて、悪⽤されたらどうしよう。
 使って欲しくなかったのに。信⽤できない。

 利⽤してしまった本⼈は・・・
 社内ルール違反での処罰も。

 ⾃社は・・・

 漏えい等をした相⼿への謝罪

 社会的信⽤の回復への労⼒（SNSへの拡散、顧客離れ）
 問合せ対応への労⼒

クレームへの発展 情報漏えいに対する損害賠償等

信⽤の失墜

経済的損失
Copyright © 2022 JIPDEC All rights reserved.

事業継続へのダメージ
9●本⼈が意図しない⽬的で利⽤された場合の事故の関係者（⾃社も含む）への影響は。
（例）• 社会的信⽤の回復への労⼒（SNSへの拡散、顧客離れ）• ⽬的外利⽤をした相⼿へのお詫び（損害賠償等）• 問い合わせ窓⼝の設置
⾃社で定めたルールを守らなかった、ルールについての認識や理解が⽋如していたことによって、本⼈の意図に反する利⽤が起こってしまい、その結果、思いのほか⼤きな影響を及ぼすことがあります。

9

基本編_個⼈情報の取扱いに関する事故を起こさないために個⼈情報の取扱いに関する事故を起こさないために
 本⼈が意図しない⽬的で個⼈情報が利⽤され（⽬的外利⽤）、その結果、個⼈情報が漏えいしてしまったという事故は、プライバシーマーク付与事業者の報告の中でも増加傾向にあります。
 こうした事故は、⽇常業務での何気ない⾏動や⾔動、ミスが原因の場合が多くあります。
業務上で取り扱う個⼈情報※は、利⽤の⽬的・利⽤できる範囲を定めた上で取得しています。
※従業者情報、取引先情報、顧客情報などお客様からの信頼を失わないためにも、事故の原因を知り、防⽌策を考えることで事故やトラブルを防ぎましょう。
Copyright © 2022 JIPDEC All rights reserved.

10●プライバシーマーク付与事業者による個⼈情報の取扱いに関する事故の原因では、本⼈が意図しない⽬的で個⼈情報が利⽤される、その結果漏えいしてしまう、という事故は毎年増加傾向にあります。
業務上で取り扱う個⼈情報は、利⽤の⽬的や利⽤できる範囲を定めた上で取得しています。
取引先情報、顧客情報のほか、従業者情報も⼤事な個⼈情報です。
このような事故は、⽇常業務での何気ない⾏動や⾔動、ミスが原因の場合が多くあります。
お客様からの信頼を失わないために、誰でも起こしうる事故として、事故の原因を知り、事故に対する意識を⾼めましょう。
★参考（JIPDEC公表資料）「参考資料」スライドにもまとめています。
プライバシーマーク制度＞制度案内＞参考情報「個⼈情報の取扱いにおける事故報告集計結果」「消費者相談受付対応概要」
https://privacymark.jp/system/reference/index.html

10基本編_個⼈情報の取扱いに関する事故を起こさないために⽇常業務の中で注意すべきこと

Copyright © 2022 JIPDEC All rights reserved.

11●ここから、今回のテーマ「⽇常業務の中で注意すべきこと」について、以下の観点から事故の原因と防⽌策について考えていきます。
• 本⼈が意図しない利⽤（⽬的外利⽤）• ⼝頭などの漏えい基本編_個⼈情報の取扱いに関する事故を起こさないために事例のご紹介

Copyright © 2022 JIPDEC All rights reserved.

●まず、どのような事例があるかを確認します。

12

基本編_個⼈情報の取扱いに関する事故を起こさないために本⼈の意図しない利⽤の例
事例1．サービスの解約や個⼈情報の利⽤停⽌を申し出た⼈に新しいサービスの連絡をしてしまった。
事例2．メルマガを配信する際に、配信を希望していない⼈に送信してしまった。
事例3．A社・B社兼務で業務を⾏う社員が、A社社員として名刺交換した相⼿に、B社のDMを配信してしまった。
事例4．本物の契約情報データを、本⼈に無断で社内研修に使⽤してしまった。
事例5．著名⼈が契約したことをSNSに掲載してしまった。

Copyright © 2022 JIPDEC All rights reserved.

13●どのような事例があるかを確認します。

13

基本編_個⼈情報の取扱いに関する事故を起こさないために⼝頭による漏えいの例
事例6．業務上保管している連絡先を、本⼈の同意なしに業務に関係ない第三者に伝えてしまった。
事例7．採⽤予定者Aの⼊社前に、上司が業務上必要のないAの個⼈情報をあれこれと他の社員に伝えてしまった。
事例8．⾃宅に電話した際に、本⼈不在であったため、家族に代⾦未払いの状況などを伝えてしまった。
事例9．契約者の家族と名乗る⼈物からの問合せに対して、契約者の契約内容などを教えてしまった。
事例10．会員Aからの問合せに対し、同姓同名の会員Bの情報を伝えてしまった。

Copyright © 2022 JIPDEC All rights reserved.

14●どのような事例があるかを確認します。

14

基本編_個⼈情報の取扱いに関する事故を起こさないために事故の発⽣状況と原因

Copyright © 2022 JIPDEC All rights reserved.

●事故が発⽣する状況と原因について確認します。

15

基本編_個⼈情報の取扱いに関する事故を起こさないために本⼈が意図しない利⽤の場合
スライド13

管理の不⼿際によるもの• 利⽤停⽌の申出を受けていた担当者が、処理をし忘れていた。
• 送信停⽌リストのデータを反映しないまま、メールマガジンを配信した。

事例１• 会員DBの最新情報を確認せずに、⼿持ちの連絡先リストを利⽤し、すでに退会した会員に連絡してしまった。
• メールマガジン配信対象者の抽出⽅法を誤って、希望していない⼈に配信してし

事例２

まった。
• A社で顧客管理システムを導⼊した際に、グループ会社であるB社の名刺情報もシステムに取り込んでしまった。

事例３

認識不⾜
• 著名⼈の個⼈情報も守られるべきもの、という意識が⽋如していた。
• 個⼈情報は、通知・公表している利⽤⽬的の達成に必要な範囲内で使⽤する、との認識が不⾜していた。

事例４
事例５

個⼈情報を慎重に取り扱うという意識の⽋如、認識不⾜。
Copyright © 2022 JIPDEC All rights reserved.

16●事故が発⽣する状況と原因として多いのは、次のものがあります。
（スライド13の事例も併せてご覧ください）【本⼈が意図しない利⽤の場合】
管理の不⼿際により、本⼈の意思表⽰に反した利⽤をしてしまったり、対象を取り違えてしまうケースが⾒られます。
個⼈情報を慎重に取り扱うという意識が⽋如していたり、そもそもの認識不⾜の場合も。

16

基本編_個⼈情報の取扱いに関する事故を起こさないために⼝頭での漏えいの場合
スライド14

思い込み・認識不⾜• トラブル解決のため、連絡をとりたいとの第三者からの問合せに対し、本⼈の同意なしに⽒名、連絡先を教えた。

事例6• 転職者Aの⼊社前に、Aが早く職場になじめるようにとの思いから、上司がAの履歴書情報を他の社員に伝えてしまった。
• ⽀払い督促の電話をした際に契約者A宛の架電の際、本⼈不在のため応

事例7
事例8

対した⽗親に代⾦未払いの事実を伝えてしまった。

本⼈確認が不⼗分• 会員Bから「ユーザIDとパスワードを忘れた」との電話問合せが⼊った際に、誤って同姓同名の会員AのユーザIDとパスワードを教えた。（会

事例9
事例10

員Bは会員Aの情報にアクセスしてしまった）

本⼈確認が不⼗分、⾃⼰判断による誤った対応。
Copyright © 2022 JIPDEC All rights reserved.

17●事故が発⽣する状況と原因として多いのは、次のものがあります。
（スライド14の事例も併せてご覧ください）【⼝頭での漏えいの場合】思い込みや認識不⾜によるもの、本⼈確認が不⼗分の場合や、⾃⼰判断で誤った対応してしまうケースが⾒られます。
良かれと思っての対応が、思わぬトラブルにつながることも。

17

基本編_個⼈情報の取扱いに関する事故を起こさないために（参考）個⼈情報保護委員会「ヒヤリハット事例集」
 「個⼈情報保護法

ヒヤリハット事例集」より

 https://www.ppc.go.jp/files/pdf/pd_hiyari01.pdf

第三者提供の事例• 学習塾で、⽣徒同⼠のトラブルが発⽣し、⽣徒Ａが⽣徒Bにケガをさせてしまった。
⽣徒Ａの保護者は⽣徒Bとその保護者に謝罪するため、⽣徒Bの連絡先を教えてほしいと学習塾に尋ねてきた。学習塾では⽣徒名簿に記載されている⽣徒Bとその保護者の⽒名、住所、電話番号を教えてしまいそうになった。

⽬的外利⽤の事例• ⼩売店を営んでおり、⼈⼿不⾜のためアルバイトを募集していたが、なかなか⼈が集まらなかった。そのため、店のポイントプログラムに登録している顧客をアルバイトに勧誘しようと思い、事前にその顧客の同意を得ることなく、登録された電話番号に電話をかけそうになった。
Copyright © 2022 JIPDEC All rights reserved.

18●個⼈情報保護委員会• 個⼈情報保護法 個⼈情報ヒヤリハットコーナー
https://www.ppc.go.jp/personalinfo/hiyarihatto/• 個⼈情報の研修資料・ヒヤリハットコーナー
https://www.ppc.go.jp/personalinfo/hiyarihatto/18基本編_個⼈情報の取扱いに関する事故を起こさないために気をつけましょう、こんな時こんなこと

Copyright © 2022 JIPDEC All rights reserved.

19基本編_個⼈情報の取扱いに関する事故を起こさないために気をつけましょう、こんな時こんなこと
 ⼤量のデータ処理を⾏う時

 新規システム導⼊時のデータ移⾏やデータの統合
 顧客情報の名寄せ、退会情報の反映

 例外対応、とっさの判断が必要な時
 相⼿の巧みな話術、脅し、泣き落とし

 本⼈の不在、家族を名乗る⼈物からの問合せ
 顧客に著名⼈や知⼈がいる 思い込みや無意識の⾏動

 同姓同名（職場内、顧客）、同⼀・類似名字、同⼀・類似社名
 復唱・メモ時の間違い、思い込み

どの漢字︖
アルファベット︖

Copyright © 2022 JIPDEC All rights reserved.

20●気をつけるべき場⾯を確認します。
• ⼤量のデータ処理を⾏なう時⇒新規システムへのデータ移⾏時やデータの統合時の、「個⼈情報の利⽤範囲」に注意• 例外対応、とっさの判断が必要な時⇒冷静さを⽋いたり、私情をはさんだり、勝⼿な⾃⼰判断に注意• 思い込みや無意識の⾏動⇒漢字やアルファベットなど、思い込みで別の⽂字を当てはめてしまうケースも。

20

基本編_個⼈情報の取扱いに関する事故を起こさないために事故を発⽣させないためにはどうしたらよいですか︖
 皆さんで考えましょう

Copyright © 2022 JIPDEC All rights reserved.

21●ディスカッション等で⾃⾝の業務に当てはめて、事例などを挙げ、対応策を考えます。
題材例︓
⾃社の事故事例やヒヤリハット事例など

21

基本編_個⼈情報の取扱いに関する事故を起こさないために個⼈情報を取り扱うその前に、もう⼀度その取扱いはその取扱いはルール通りですか︖

利⽤⽬的の範囲内ですか︖

利⽤について⾃⼰判断で同意を得ていますか︖使っていませんか︖

Copyright © 2022 JIPDEC All rights reserved.

22●個⼈情報を取り扱うその前にルールに従って運⽤しているか、なぜそのルールがあるのかを、もう⼀度確認しましょう。

22

基本編_個⼈情報の取扱いに関する事故を起こさないためにまとめ︓個⼈情報の取扱いに関する事故を起こさないために

Copyright © 2022 JIPDEC All rights reserved.

23●⾃社における規程やルールなどを追記してご利⽤ください。

23

基本編_個⼈情報の取扱いに関する事故を起こさないためにルールを定め、理解し守ることが⼤切です
事故を起こさない

事故が発⽣した場合の影響（未然防⽌）を最⼩限に抑える

事故を起こさないための早期発⾒、緊急時対応の体制・対策のルール化

ルール化や対策の実施

従業者は従業者は定められたルールを早期発⾒、緊急時対応の理解し、守るルール化や対策の実施

Copyright © 2022 JIPDEC All rights reserved.

24●事業者は、個⼈情報の取扱いに関するルールを定め運⽤することで、事故というリスクに備えます。
事故を起こさないために、また万が⼀発⽣した場合の影響を最⼩限に抑えるためにまずは、・事故を起こさないための体制、仕組みを作る
・起きた場合の影響を最⼩限に抑えるためのルールを作成、対策を実施する⇒そして「従業者全員」が、そのルールがなぜあるのかを理解して、ルールを守り、運⽤していくことが第⼀です。
★従業者⾃⾝の気づきを促し、ルールの改善へつなげることも教育の⼤事な⽬的です。

24

基本編_個⼈情報の取扱いに関する事故を起こさないために⾃社のルール・運⽤を確認しましょう

Copyright © 2022 JIPDEC All rights reserved.

25

使⽤例︓
⾃社の個⼈情報保護に関する規程やルールなどを記載します。
またそのルールに基づきどう運⽤されているかを確認します。
個⼈情報の持ち出しルールや⼿順、セキュリティ対策など

25

基本編_個⼈情報の取扱いに関する事故を起こさないために緊急事態への対応を確認しましょう

Copyright © 2022 JIPDEC All rights reserved.

使⽤例︓
⾃社における緊急事態への対応フローなどを記載します。
・事故が発⽣・発覚した場合の対応⼿順、連絡先（連絡網）は︖
・苦情相談窓⼝は︖

26

基本編_個⼈情報の取扱いに関する事故を起こさないために参考情報

Copyright © 2022 JIPDEC All rights reserved.

27●ここでご紹介する事故防⽌策は、さまざまな業種・業態・規模の事業者の皆さまから提出された事故報告書を整理してまとめたものです。
それら『全てを採⽤』することが、必ずしも最良とは⾔えません。
あくまでも⼀例ですので、『⾃社の業務・業態・規模に合ったもの』を、⾃社の個⼈情報取扱い状況に合せて、参考にしていただければと思います。

27

基本編_個⼈情報の取扱いに関する事故を起こさないために防⽌策例のご紹介
 ⼿順やルールの⾒直し・再確認

 想定される状況を洗い出し、以下の項⽬に、現在の⼿順やルールで対応できるか確認する。

 本⼈同意の取得、本⼈確認、連絡先確認、本⼈以外からの問合せ（第三者、本⼈家族）、本⼈不在時の対応、不審な問合せ者への対応

 判断に迷う場合に、上⻑への報告・相談等ができる⼿順としておく。

 注意喚起・教育

 「⼊社時」「定期的」「事故発⽣時」等、状況に合わせた教育機会を設ける。
 ⾃⾝の問題として受け⽌められるような事例を⽤いる。

事故やトラブルを防ぐには、「正しい認識」と「慎重な対応」が不可⽋。
Copyright © 2022 JIPDEC All rights reserved.

28●防⽌策例は、あくまでも⼀例です。⾃社にあった⽅法を検討していただく際の参考としてください。

28

基本編_個⼈情報の取扱いに関する事故を起こさないために参考資料
 プライバシーマーク制度サイト

 参考情報 ＞ 個⼈情報の取扱いにおける事故報告集計結果

https://privacymark.jp/system/reference/index.html
 制度案内 > 個⼈情報の取扱いに関する事故の報告について
https://privacymark.jp/system/accident/index.html

 個⼈情報保護委員会

 個⼈情報保護法等 ＞ FAQ

https://www.ppc.go.jp/personalinfo/contact/ 漏えい等の対応とお役⽴ち資料
https://www.ppc.go.jp/personalinfo/legal/leakAction/
 個⼈情報ヒヤリハットコーナー（事例や動画の公開）
https://www.ppc.go.jp/personalinfo/hiyarihatto/Copyright © 2022 JIPDEC All rights reserved.

29