個⼈情報の取扱いに関する事故を起こさないために【⽇常業務の中で注意すべきこと】
2022年7⽉15⽇
⼀般財団法⼈⽇本情報経済社会推進協会
プライバシーマーク推進センター

本資料について
 本資料は、事業者の皆様が従業者に対して⾏う個⼈情報保護教育に利⽤していただくことを⽬的に作成した参考資料です。
 JIPDECプライバシーマーク推進センターに提出された個⼈情報の取扱いに関する事故報告書から、事故の発⽣状況や原因、再発防⽌策などを整理し、まとめたものです。
 個⼈情報の取扱いに関する事故を起こさないために、⾃社における個⼈情報取扱い業務の実態に合わせ、具体的な運⽤ルール等を追記するなど適宜変更してご利⽤いただき、ルール等の周知徹底に努めていただければ幸いです。

Copyright © 2022 JIPDEC All rights reserved.

2

⽬次
はじめに

⽇常業務の中で注意すべきこと
事例のご紹介事故の発⽣状況と原因

まとめ

⾃社のルールを確認しましょう緊急事態への対応を確認しましょう参考情報防⽌策例のご紹介
参考資料

Copyright © 2022 JIPDEC All rights reserved.

3

はじめに

Copyright © 2022 JIPDEC All rights reserved.

4こんなことありませんか︖ケース１
新サービスを始めるにあたり⼈⼿が⾜とにかくたくさんの案内…かりない。アルバイトを募集しよう。

以前商品を買ってくれた⼈にメールを送ろうとにかくたくさんの⼈に案内するように︕●×△社…︖アルバイト募集…︖

⼼当たりないな

なぜ送られてきたの︖

送ってはいけなかったの︖

Copyright © 2022 JIPDEC All rights reserved.

5

こんなことありませんか︖ケース２
取引先のD⽥さんから、営業のBさん宛に⼤変だ︕直接連絡してもらっちゃおう電話がありました。
では電話番号をお伝えします。
090-XXXXXXXX・・・

Bさんと⾄急連絡をとりたいんだけど︕

D⽥さんから、私⽤の携帯電話に連絡︖どうして︖
この番号は業務⽤ではないのに。

どうして教えてしまったの︖
良かれと思ったのに・・・

Copyright © 2022 JIPDEC All rights reserved.

6

どこが問題だったのでしょうか︖
 ケース１の場合とにかくたくさんの⼈に案内しなくては︕
以前商品を買ってくれた⼈にメールを送ってみよう。

商品を購⼊していただいた際に取得したお客様の個⼈情報の利⽤⽬的は︖
個⼈情報を利⽤する際の社内ルールは︖

取得した際にお伝えした利⽤⽬的から外れた取扱い。
個⼈情報を利⽤する際は、社内のルールや取扱⼿順を確認することが必要。

Copyright © 2022 JIPDEC All rights reserved.

7

どこが問題だったのでしょうか︖
 ケース２の場合急ぎの連絡ですね。
では連絡先をお伝えします。090-XXXX-XXXX

急いでいるからと、勝⼿な判断をしていませんか︖
本⼈の了解を得ていますか︖
従業者の個⼈情報の取扱いルールは︖

個⼈情報の取扱いに関する認識不⾜。
社内のルールや対応⼿順を確認することが必要。
Copyright © 2022 JIPDEC All rights reserved.

8相⼿が意図しない利⽤による影響は・・・
 連絡を受けた相⼿の思い・・・ 個⼈情報が知られて、悪⽤されたらどうしよう。
 使って欲しくなかったのに。信⽤できない。

 利⽤してしまった本⼈は・・・
 社内ルール違反での処罰も。

 ⾃社は・・・

 漏えい等をした相⼿への謝罪

 社会的信⽤の回復への労⼒（SNSへの拡散、顧客離れ）
 問合せ対応への労⼒

クレームへの発展 情報漏えいに対する損害賠償等

信⽤の失墜

経済的損失
Copyright © 2022 JIPDEC All rights reserved.

事業継続へのダメージ
9

個⼈情報の取扱いに関する事故を起こさないために
 本⼈が意図しない⽬的で個⼈情報が利⽤され（⽬的外利⽤）、その結果、個⼈情報が漏えいしてしまったという事故は、プ
ライバシーマーク付与事業者の報告の中でも増加傾向にあります。
 こうした事故は、⽇常業務での何気ない⾏動や⾔動、ミスが原因の場合が多くあります。
業務上で取り扱う個⼈情報※は、利⽤の⽬的・利⽤できる範囲を定めた上で取得しています。
※従業者情報、取引先情報、顧客情報など

お客様からの信頼を失わないためにも、事故の原因を知り、防⽌策を考えることで事故やトラブルを防ぎましょう。
Copyright © 2022 JIPDEC All rights reserved.

10

⽇常業務の中で注意すべきこと

Copyright © 2022 JIPDEC All rights reserved.

11

事例のご紹介Copyright © 2022 JIPDEC All rights reserved.

12本⼈の意図しない利⽤の例
事例1．サービスの解約や個⼈情報の利⽤停⽌を申し出た⼈に新しいサービスの連絡をしてしまった。
事例2．メルマガを配信する際に、配信を希望していない⼈に送信してしまった。
事例3．A社・B社兼務で業務を⾏う社員が、A社社員として名刺交換した相⼿に、B社のDMを配信してしまった。
事例4．本物の契約情報データを、本⼈に無断で社内研修に使⽤してしまった。
事例5．著名⼈が契約したことをSNSに掲載してしまった。

Copyright © 2022 JIPDEC All rights reserved.

13

⼝頭による漏えいの例
事例6．業務上保管している連絡先を、本⼈の同意なしに業務に関係ない第三者に伝えてしまった。
事例7．採⽤予定者Aの⼊社前に、上司が業務上必要のないAの個⼈情報をあれこれと他の社員に伝えてしまった。
事例8．⾃宅に電話した際に、本⼈不在であったため、家族に代⾦未払いの状況などを伝えてしまった。
事例9．契約者の家族と名乗る⼈物からの問合せに対して、契約者の契約内容などを教えてしまった。
事例10．会員Aからの問合せに対し、同姓同名の会員Bの情報を伝えてしまった。

Copyright © 2022 JIPDEC All rights reserved.

14事故の発⽣状況と原因

Copyright © 2022 JIPDEC All rights reserved.

15本⼈が意図しない利⽤の場合
スライド13

管理の不⼿際によるもの• 利⽤停⽌の申出を受けていた担当者が、処理をし忘れていた。
• 送信停⽌リストのデータを反映しないまま、メールマガジンを配信した。

事例１• 会員DBの最新情報を確認せずに、⼿持ちの連絡先リストを利⽤し、すでに退会した会員に連絡してしまった。
• メールマガジン配信対象者の抽出⽅法を誤って、希望していない⼈に配信してし

事例２

まった。
• A社で顧客管理システムを導⼊した際に、グループ会社であるB社の名刺情報もシステムに取り込んでしまった。

事例３

認識不⾜
• 著名⼈の個⼈情報も守られるべきもの、という意識が⽋如していた。
• 個⼈情報は、通知・公表している利⽤⽬的の達成に必要な範囲内で使⽤する、との認識が不⾜していた。

事例４
事例５

個⼈情報を慎重に取り扱うという意識の⽋如、認識不⾜。
Copyright © 2022 JIPDEC All rights reserved.

16⼝頭での漏えいの場合
スライド14

思い込み・認識不⾜• トラブル解決のため、連絡をとりたいとの第三者からの問合せに対し、本⼈の同意なしに⽒名、連絡先を教えた。

事例6• 転職者Aの⼊社前に、Aが早く職場になじめるようにとの思いから、上司がAの履歴書情報を他の社員に伝えてしまった。
• ⽀払い督促の電話をした際に契約者A宛の架電の際、本⼈不在のため応

事例7
事例8

対した⽗親に代⾦未払いの事実を伝えてしまった。

本⼈確認が不⼗分• 会員Bから「ユーザIDとパスワードを忘れた」との電話問合せが⼊った際に、誤って同姓同名の会員AのユーザIDとパスワードを教えた。（会

事例9
事例10

員Bは会員Aの情報にアクセスしてしまった）

本⼈確認が不⼗分、⾃⼰判断による誤った対応。
Copyright © 2022 JIPDEC All rights reserved.

17

（参考）個⼈情報保護委員会「ヒヤリハット事例集」
 「個⼈情報保護法

ヒヤリハット事例集」より

 https://www.ppc.go.jp/files/pdf/pd_hiyari01.pdf

第三者提供の事例• 学習塾で、⽣徒同⼠のトラブルが発⽣し、⽣徒Ａが⽣徒Bにケガをさせてしまった。
⽣徒Ａの保護者は⽣徒Bとその保護者に謝罪するため、⽣徒Bの連絡先を教えてほし
いと学習塾に尋ねてきた。学習塾では⽣徒名簿に記載されている⽣徒Bとその保護者の⽒名、住所、電話番号を教えてしまいそうになった。

⽬的外利⽤の事例• ⼩売店を営んでおり、⼈⼿不⾜のためアルバイトを募集していたが、なかなか⼈が集まらなかった。そのため、店のポイントプログラムに登録している顧客をアルバ
イトに勧誘しようと思い、事前にその顧客の同意を得ることなく、登録された電話番号に電話をかけそうになった。
Copyright © 2022 JIPDEC All rights reserved.

18

気をつけましょう、こんな時こんなこと

Copyright © 2022 JIPDEC All rights reserved.

19

気をつけましょう、こんな時こんなこと
 ⼤量のデータ処理を⾏う時

 新規システム導⼊時のデータ移⾏やデータの統合
 顧客情報の名寄せ、退会情報の反映

 例外対応、とっさの判断が必要な時
 相⼿の巧みな話術、脅し、泣き落とし

 本⼈の不在、家族を名乗る⼈物からの問合せ
 顧客に著名⼈や知⼈がいる 思い込みや無意識の⾏動

 同姓同名（職場内、顧客）、同⼀・類似名字、同⼀・類似社名
 復唱・メモ時の間違い、思い込み

どの漢字︖
アルファベット︖

Copyright © 2022 JIPDEC All rights reserved.

20事故を発⽣させないためにはどうしたらよいですか︖
 皆さんで考えましょう

Copyright © 2022 JIPDEC All rights reserved.

21

個⼈情報を取り扱うその前に、もう⼀度その取扱いはその取扱いはルール通りですか︖

利⽤⽬的の範囲内ですか︖

利⽤について⾃⼰判断で同意を得ていますか︖

使っていませんか︖

Copyright © 2022 JIPDEC All rights reserved.

22まとめ︓個⼈情報の取扱いに関する事故を起こさないために

Copyright © 2022 JIPDEC All rights reserved.

23

ルールを定め、理解し守ることが⼤切です
事故を起こさない

事故が発⽣した場合の影響（未然防⽌）を最⼩限に抑える

事故を起こさないための早期発⾒、緊急時対応の体制・対策のルール化

ルール化や対策の実施

従業者は従業者は定められたルールを早期発⾒、緊急時対応の理解し、守るルール化や対策の実施

Copyright © 2022 JIPDEC All rights reserved.

24⾃社のルール・運⽤を確認しましょう

Copyright © 2022 JIPDEC All rights reserved.

25

緊急事態への対応を確認しましょう

Copyright © 2022 JIPDEC All rights reserved.

26

参考情報

Copyright © 2022 JIPDEC All rights reserved.

27

防⽌策例のご紹介
 ⼿順やルールの⾒直し・再確認

 想定される状況を洗い出し、以下の項⽬に、現在の⼿順やルールで対応できるか確認する。

 本⼈同意の取得、本⼈確認、連絡先確認、本⼈以外からの問合せ（第三者、本⼈家族）、本⼈不在時の対応、不審な問合せ者への対応

 判断に迷う場合に、上⻑への報告・相談等ができる⼿順としておく。

 注意喚起・教育

 「⼊社時」「定期的」「事故発⽣時」等、状況に合わせた教育機会を設ける。
 ⾃⾝の問題として受け⽌められるような事例を⽤いる。

事故やトラブルを防ぐには、「正しい認識」と「慎重な対応」が不可⽋。
Copyright © 2022 JIPDEC All rights reserved.

28

参考資料
 プライバシーマーク制度サイト

 参考情報 ＞ 個⼈情報の取扱いにおける事故報告集計結果

https://privacymark.jp/system/reference/index.html
 制度案内 > 個⼈情報の取扱いに関する事故の報告について
https://privacymark.jp/system/accident/index.html

 個⼈情報保護委員会

 個⼈情報保護法等 ＞ FAQ

https://www.ppc.go.jp/personalinfo/contact/ 漏えい等の対応とお役⽴ち資料
https://www.ppc.go.jp/personalinfo/legal/leakAction/
 個⼈情報ヒヤリハットコーナー（事例や動画の公開）
https://www.ppc.go.jp/personalinfo/hiyarihatto/

Copyright © 2022 JIPDEC All rights reserved.

29