建設会社で個人情報が漏えいした際の報告・通知と初動対応の実務

「サイバー事故で施主や作業員の個人情報が漏れたら、会社は誰に、いつまでに報告する必要があるのでしょうか？」

建設会社では、施主の氏名や住所、従業員の情報、協力会社の作業員名簿など、多くの個人情報を日常業務で取り扱っています。

こうした情報が不正アクセスやメール誤送信によって外部へ流出した場合、原因調査だけでなく、個人情報保護委員会への報告や本人への通知が必要になることがあります。

ただし、個人情報に関する事故が発生したからといって、すべてのケースで同じ報告義務が生じるわけではありません。対象となる情報の種類や事故の状況、漏えい等の規模によって判断が異なります。

さらに、元請会社や協力会社から預かった情報であれば、契約上の連絡義務も確認する必要があります。法令上の報告と取引先への連絡を混同しないことが大切です。

この記事では、建設会社の社長が知っておきたい報告・本人通知の基本と、事故発覚直後から実施したい対応を整理します。

1．建設会社が扱う個人情報と事故のリスク

建設会社が扱う個人情報は、施主や従業員の情報だけではありません。工事の規模や契約内容によっては、元請会社や協力会社の担当者、現場に入場する作業員の情報も管理しています。

住宅工事では施主の氏名や住所、連絡先などが記録され、現場管理では作業員名簿や資格情報などを取り扱うことがあります。

これらが不正アクセスやメール誤送信、端末の紛失などによって外部へ流出すると、本人への影響だけでなく、取引先との信頼関係にも関わる問題となります。

重要なのは、事故が発生した際に、どの情報が対象となり、誰に連絡する必要があるのかを迅速に確認できることです。

2．個人情報と個人データの違い

個人情報保護法では、個人情報と個人データは区別されています。報告義務を判断する際には、この違いを理解しておくことが重要です。

個人情報とは、生存する個人に関する情報で、氏名などによって特定の個人を識別できるものなどを指します。

一方、個人データは、個人情報データベース等を構成する個人情報です。例えば、検索できる状態で管理された顧客名簿や従業員データなどが該当する場合があります。

個人データに該当するかどうかは、実際の管理状況によって判断する必要があります。資料名だけで決めつけないよう注意しましょう。

3．報告が必要になる主な四つの類型

個人情報保護法では、個人データの漏えい等が発生した場合、一定の類型に該当すると個人情報保護委員会への報告が必要になります。

主な類型は、要配慮個人情報、財産的被害のおそれ、不正の目的による行為、本人の数が千人を超える場合の四つです。

ここで注意したいのは、千人以下なら報告が不要というわけではないことです。不正アクセスなど、別の類型に該当すれば、人数が少なくても報告対象となる場合があります。

また、漏えい等が確定していなくても、発生したおそれがある場合に報告対象となることがあります。

4．報告義務の判断で注意したいこと

事故が発覚した際は、個人データが対象となっているか、どのような原因で発生したか、誰に影響する可能性があるかを確認します。

例えば、施主の連絡先を含むメールを誤送信した場合でも、送信した情報の管理状況や誤送信先、事故の内容によって判断が異なります。

一方、不正アクセスによって顧客管理システムから情報が取得された疑いがある場合は、報告対象となる可能性を早急に確認する必要があります。

報告要否の確認事項

• 対象情報は個人データに該当するか
• 漏えい、滅失、毀損またはそのおそれがあるか
• 要配慮個人情報が含まれているか
• 財産的被害が生じるおそれがあるか
• 不正の目的による行為が原因と考えられるか
• 対象となる本人の人数は何人か
• 委託元・委託先のどちらが報告を行うか

5．個人情報保護委員会への速報と確報

報告対象となる漏えい等が発生した場合は、原則として個人情報保護委員会などの所管する報告先へ、速報と確報を行います。

速報は、報告対象となる事態を知った後、速やかに行うことが求められています。個人情報保護委員会の案内では、概ね3〜5日以内が目安とされています。

確報は、原則として事態を知った日から30日以内です。ただし、不正の目的による行為が原因の類型に該当する場合は、60日以内となります。

速報の段階ですべての調査を完了させる必要はありません。判明している内容を整理し、未確認の事項はその状態を明確にすることが大切です。

なお、報告先や手続きには制度上の例外や特則があるため、実際の事故では最新の公式案内を確認してください。

6．本人通知の内容と実施時期

報告対象となる漏えい等が発生した場合は、原則として本人への通知も必要になります。

通知は、本人の権利利益を保護するため、状況に応じて速やかに行うことが求められます。個人情報保護委員会への速報・確報と、本人通知は別の対応です。

例えば、施主の氏名や住所、連絡先が流出した場合、対象となる本人に対して、発生した事実や対象情報、原因、二次被害のおそれなど、把握している内容を伝えることが考えられます。

本人通知で整理したい内容

• 事故の概要
• 対象となる個人データの項目
• 発生原因として判明していること
• 二次被害のおそれと注意事項
• 会社が実施している対応
• 問い合わせ先

本人への通知が困難な場合には、本人の権利利益を保護するために必要な代替措置が認められる場合があります。ただし、ウェブサイトへの掲載だけで常に通知義務を果たせるわけではありません。

また、原因や影響範囲が調査中の場合は、確認できていないことを断定せず、追加の情報が判明した際の連絡についても整理しましょう。

7．事故発覚直後の初動対応

個人情報の漏えいが疑われた場合は、報告義務の判断と並行して、被害拡大を防ぐ対応が必要です。

例えば、クラウドストレージの共有設定ミスであれば、対象資料と公開範囲を確認し、必要な共有停止を行います。不正アクセスが疑われる場合は、アカウントの保護やアクセス制限、記録の保全を検討しましょう。

ただし、調査に必要なログや証拠を失わないよう、対応の順序にも注意が必要です。

初動対応の基本手順

1. 発生日時と発見日時を記録する
2. 対象となる個人データを確認する
3. 社内責任者へ速やかに連絡する
4. 必要な共有停止やアクセス制限を行う
5. メール履歴やアクセスログを保全する
6. 報告対象となる事故か確認する
7. 本人通知と取引先への連絡の要否を整理する
8. 原因調査と再発防止を進める

最初から事故の全体像が分かるとは限りません。対応した日時と内容を記録しながら、確認できた事実を積み重ねることが重要です。

8．元請会社・協力会社・委託先との連携

建設業では、元請会社から作業員情報の管理を委託されたり、協力会社から名簿を受け取ったりする場合があります。

こうした情報で事故が発生した際は、個人情報保護法上の報告義務に加え、契約上の連絡義務も確認する必要があります。

委託を受けて個人データを取り扱っている事業者については、一定の条件のもとで委託元へ通知することで、委託先自身の個人情報保護委員会への報告義務が免除される仕組みがあります。

ただし、委託元へ連絡すれば、すべての義務が自動的になくなるわけではありません。通知の内容やタイミング、本人通知の対応主体など、個別に確認する必要があります。

関係会社との確認事項

• 対象情報を管理している事業者
• 委託元と委託先の関係
• 契約上の事故報告期限
• 報告・本人通知の対応主体
• 調査結果を共有する範囲
• 問い合わせ対応の担当者

公共工事や大規模な建設現場では、複数の会社が関係する場合もあります。平常時から事故時の連絡先と責任分担を整理しておくことが大切です。

9．メール誤送信と不正アクセスの違い

個人情報の漏えいは、メールの誤送信や端末の紛失、不正アクセスなど、さまざまな原因で発生します。

例えば、作業員名簿を誤った宛先へ送信した場合は、送信先や添付内容、相手の状況を確認する必要があります。

一方、不正アクセスによる漏えいが疑われる場合は、侵入経路やアクセスされた情報、認証情報の悪用なども調査対象になります。

原因が異なれば、必要な調査や対応も変わります。事故の種類を確認し、状況に応じた初動対応を進めましょう。

10．調査記録と証拠保全のポイント

漏えい等の報告や本人通知を適切に進めるためには、事故の経緯を記録することが重要です。

例えば、発見日時、対象となる個人データ、確認したアクセス履歴、実施した対策などを時系列で整理すると、報告内容を確認しやすくなります。

不正アクセスが疑われる場合は、ログの削除や不用意な操作によって調査に必要な記録が失われないよう注意しましょう。必要に応じて専門事業者へ相談することも考えられます。

記録しておきたい事項

• 事故を発見した日時と経緯
• 対象となる情報の種類と人数
• 漏えい等の発生状況
• 確認済みの事実と調査中の事項
• 社内責任者への報告日時
• 個人情報保護委員会への報告内容
• 本人通知の方法と実施日時
• 元請会社・協力会社との連絡記録
• 被害拡大防止策と再発防止策

記録を残しておくことで、後から新しい事実が判明した場合にも、報告内容や対応経緯を整理しやすくなります。

11．報告・通知後の再発防止

個人情報保護委員会への報告や本人通知を終えても、事故対応がすべて完了するとは限りません。

原因を確認し、同じ事故を繰り返さないための管理体制を整える必要があります。

例えば、メール誤送信が原因であれば、宛先と添付ファイルの確認ルールを見直します。不正アクセスが原因であれば、認証設定やアクセス権限、更新管理などを確認することが重要です。

再発防止で確認したいこと

• 個人データの保存先と管理責任者
• 閲覧権限と共有範囲
• メール送信前の確認手順
• クラウド共有リンクの設定
• 多要素認証の利用状況
• 退職者・異動者の権限管理
• 協力会社・委託先との情報管理ルール
• 事故時の連絡体制と報告手順

外部サービスの情報管理については、クラウドサービス・外部事業者のリスクも参考になります。

事故時の連絡体制は、サイバー事故に備える緊急連絡体制の準備で確認できます。

12．社長向け実務チェック表

建設会社で個人情報の漏えいが発生した場合に備えて、確認したい項目を整理しました。

特に重要なのは、どの個人データを保有しているか、事故時の責任者は誰か、報告・本人通知の判断をどのように進めるかという点です。

すべての項目を一度に整える必要はありません。まずは個人データの保存先と、事故が発覚した際の社内責任者を確認することから始めましょう。

なお、個人情報漏えいによって損害が発生した場合でも、サイバー保険で必ず補償されるとは限りません。補償の有無は契約内容と事故の状況によって異なります。

13．今日の一歩とまとめ

建設会社では、施主や従業員、作業員など、多くの個人情報を取り扱っています。

こうした情報が漏えいした場合、事故の内容によっては個人情報保護委員会への報告や本人通知が必要になります。

重要なのは、事故が起きてから初めて連絡先や報告期限を調べるのではなく、平常時から必要な情報を整理しておくことです。

報告・本人通知の判断を迅速に進められる体制があれば、事故発生時にも必要な対応を整理しやすくなります。

個人データの管理場所と事故時の連絡体制を明確にすることが、施主や従業員、作業員の情報と会社の信用を守る第一歩です。

参考情報：
個人情報保護委員会｜漏えい等の対応／
個人情報保護委員会｜法令・ガイドライン等／
IPA｜中小企業の情報セキュリティ対策／
JPCERT/CC

※本記事は個人情報保護法に基づく一般的な報告・本人通知の仕組みと、建設会社で想定される初動対応を整理したものです。実際の報告義務、期限、報告先、本人通知の要否は、事故の内容や委託関係、適用される制度によって異なります。最新の公式情報を確認してください。