2024.06.25
2024.06.25
個人情報保護法の違反事例4選|罰則や6つの対策を解説
人材教育
eラーニング
万が一、顧客の個人情報が流出してしまった場合、企業は罰則を受けるだけでなく顧客や社会からの信用を失い、経営が難しくなる可能性があります。 このようなリスクを避けるには、個人情報保護法の過去の違反事例から個人情報が漏えいする原因や適切な対策を把握しておくことが大切です。 今回は、個人情報保護法の4つの違反事例やヒヤリハット事例を紹介します。 個人情報漏えいを防ぐ対策も紹介しているので、従業員のセキュリティ意識を高めるためにもぜひ参考にしてみてください。 個人情報保護法とは 個人情報保護法とは、消費者や利用者が安心して企業に個人情報を提供できるように定められた法律です。 個人情報保護法における個人情報は、氏名や生年月日、住所、顔写真等生存している特定の個人を識別できる情報を指します。 個人情報保護法では個人情報を取り扱う事業者が守るべきルールを以下のように定めています。 個人情報を取り扱う際は利用目的を特定し、本人に通知する必要がある 取得した個人情報は利用目的の範囲で利用しなければならない 個人情報の漏えいが起きないように適切な措置を講じなければならない 個人情報を第三者に提供するときは本人の同意が必要となる 本人から請求があったときは個人情報の利用停止等に対応する必要がある 等 なお、以下のような事案が発生したとき、または発生した恐れがあるときは、速やかに個人情報保護委員会に報告し、本人へ通知しなければなりません。 人種や病歴といった要配慮個人情報の漏えい クレジットカード番号等の財産的被害の恐れがある漏えい 不正目的の恐れがある漏えい 1,000人を超える個人データの漏えい 参照:「個人情報保護法」をわかりやすく解説 個人情報の取扱いルールとは? 個人情報保護法違反によるリスク 個人情報保護法違反には、罰則を受けたり社会的信用を失ったりするリスクがあります。 ここでは、個人情報法保護違反によるリスクを詳しく解説します。 罰則を受けるリスク 個人情報保護委員会は個人情報保護法に違反する行為をした事業者に対し、報告徴収・立ち入り検査を実施し、実態に応じて指導や命令を行うことができます。 個人情報保護委員会に虚偽の報告をしたときや、国からの命令に違反したときは以下の罰則が科せられます。 行為者 会社 虚偽報告 50万円以下の罰金 50万円以下の罰金 命令違反 1年以下の懲役または100万円以下の罰金 1億円以下の罰金 参照:個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。 また、従業員が不正に利益を得る目的で個人情報データベースを提供、もしくは盗用した場合は、行為者に対して1年以下の懲役または50万円以下の罰金、会社に対して1億円以下の罰金が科せられる可能性があります。 これらの刑事上の罰則にくわえて、民事上の損害賠償責任が発生することもあり、個人情報の漏えいは経営に大きな影響を与えることになるでしょう。 社会的信用を失うリスク 個人情報の漏えいといった個人情報保護法の違反行為は、企業の社会的信用を失うことにつながります。 企業イメージが下がってしまうと、顧客離れにより業績が悪化する可能性があります。 例え直接的な業績悪化につながらなくとも、株価の下落によって資金調達が困難になったり退職者が増加したりすることで経営が厳しくなり、最悪の場合は倒産する可能性も考えられるでしょう。 個人情報保護法の違反事例 ここからは、個人情報保護法の違反事例を紹介します。*具体的な社名等は控えております 個人情報の漏えいを防止するためにも、具体的な違反事例からどのようなリスクが潜んでいるかを把握しておきましょう。 事例①不正アクセスによる個人情報流出 メッセージアプリの利用者の個人情報が不正アクセスで流出し、運営会社に個人情報保護法違反があったとして、個人情報保護委員会は、通信アプリを提供している会社に是正勧告を出すと同時に、個人データを扱う際の安全管理体制に不備があったと認定し、運営会社に改善状況の報告を求めました。 事例②従業員による個人情報の不正持ち出し 大手通信会社の子会社から約900万件の個人情報が流出し、個人情報保護委員会は子会社2社に対し、情報管理体制の不備等による個人情報保護法違反があったとして是正勧告を出しました。 取引先の企業や自治体等が取り扱っている個人データ約900万人分を元派遣社員の男が不正に持ち出し、漏えいしたとされています。 個人情報の流出被害に遭った企業や自治体が、大手通信会社側に対して損害賠償請求に踏み切ることも予想されます。 事例③顧客企業に対する個人情報の販売 就職情報サイトの運営会社が就活生の同意を得ずに「内定辞退率」の予測を顧客企業に販売していた事例です。 同意を得ずに約8,000人の利用者のデータを第三者に提供したこと等が、個人情報保護法違反にあたると判断されました。 くわえて、個人情報保護委員会から指摘を受けるまで状況を放置していた管理体制の不備も問題視され、適切な情報管理体制の整備を求められました。 事例④従業員による社外への個人情報の流出 教育事業を行う大手企業の関連会社で働いていた派遣社員が約4,800万人分の個人情報を不正に入手し、社外へ売却していた事例もあります。 この顧客情報流出事件をめぐり、東京地方裁判所は同社や関連会社に対し、被害にあった顧客ら約5,700人に1人当たり3,300円、総額約1,300万円の賠償を命じました。 個人情報保護法の違反につながるヒヤリハット事例 個人情報の漏えいを防ぐためには、個人情報保護法の違反につながりかねない具体的な事例を把握したうえで、適切な対策を立てることが大切です。 ここでは、個人情報保護委員会が公開しているヒヤリハット事例をいくつか紹介します。 同意のない第三者への情報提供 まずは、本人の同意なく第三者に個人情報を提供しそうになったヒヤリハット事例です。 学習塾で学生同士のトラブルが発生し、生徒Aが生徒Bにけがをさせた。 生徒Aの保護者が生徒Bとその保護者に謝罪するために生徒Bの連絡先を教えてほしいと言われ、その場で教えてしまいそうになった。 個人情報を第三者に提供するときは、本人の同意を得るのが難しいケースを除いて、同意を取らなければなりません。 この場合は、生徒Bやその保護者から同意を得たうえで、生徒Aの保護者に連絡先を伝えるのが適切な対応です。 本来の利用目的を超えた個人情報の取り扱い 2つ目は、事前に公表していた利用目的を超えて、個人情報を取り扱いそうになったヒヤリハット事例です。 小売店を営んでおり、人手不足のためにアルバイトを募集。 希望者が集まらないため、店のポイントプログラムに登録している顧客をアルバイトに勧誘しようと考え、事前に顧客の許可を取ることなく、電話をかけそうになった。 事業者が個人情報を取り扱う際は、利用目的を特定しなければなりません。 くわえて、本人の事前の同意がなければ、利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことはできません。 この事例では、ポイントプログラムのために取得した電話番号を採用活動に利用しようとしており、本来の利用目的を超えていると判断されます。 メールの宛先誤りによる個人情報の漏えい メールの宛先誤りによって個人情報の漏えいにつながる可能性もあります。 特定の顧客の個人情報が含まれた資料を添付したメールを無関係の顧客にも送りそうになった。 宛先の誤りに気付かずにメールを送信した場合は、本人に同意を得ずに個人情報を第三者に提供する違反行為となります。 電子メールは、宛先や送信方法の誤りによって個人データの漏えいリスクが高まるため、送信前に宛先等に誤りがないか確認するといった対策を講じることが大切です。 出典:個人情報保護委員会Webサイト 「個人情報保護法 ヒヤリハット事例集」(個人情報保護委員会)を一部編集 個人情報保護法違反を防止するための対策 個人情報保護法違反を防止するには、従業員へ定期的なセキュリティ教育を実施したり、個人情報を扱うときのルールを明確化したりすることが大切です。 ここからは、個人情報保護法違反を防止するための対策を解説します。 対策①従業員へ定期的なセキュリティ教育を実施する 東京商工リサーチの調査によると、2023年に公表した個人情報の漏えい・紛失事故は175件で、その原因は53.1%がウイルス感染・不正アクセス、24.5%が誤表示・誤送信となっています。 参考:東京商工リサーチ「2023年『上場企業の個人情報漏えい・紛失事故』調査」 この結果から、個人情報の漏えい・紛失事故の多くは、ウイルス感染を狙ったなりすましメールを開封したり、機密データを誤送信したりすることが原因となっているといえます。 従業員の人為的なミスによる個人情報の漏えいを防ぐには、定期的なセキュリティ教育を実施し、従業員のセキュリティ意識や情報リテラシーを向上させることが大切です。 サイバー大学の「Cloud Campusコンテンツパック100」では、セキュリティ教育を含む100教材以上のeラーニングを社員研修として利用できます。 研修をする社内リソースが確保できない場合でも、従業員に質の高いセキュリティ教育の実施が可能です。 >>Cloud Campus コンテンツパック100の詳細をチェックする 対策②パソコンやスマートフォンの持ち出しを制限する 社用のパソコンやスマートフォンを外部に持ち出すと、紛失や盗難によって個人情報が漏えいする可能性があります。 そのようなリスクを抑えるには、パソコンやスマートフォンの持ち出しを制限するのが効果的です。 例えば、持ち出す必要があるときには、事前に上司の許可を取るといったルールを設けてみましょう。 万が一に備えて、リモートでデータを消去できるソフトやアプリの導入をすることも有効です。紛失したり盗まれたりしたときでも、情報漏えいを防げる可能性があります。 対策③メールの誤送信を防ぐ仕組みをつくる 個人情報の含まれた添付ファイルを誤送信して、個人情報が漏えいするケースもあります。 メールの誤送信による情報漏えいを防ぐには、送信前の確認を呼びかけるだけでなく、人為的なミスを減らす仕組みをつくることが大切です。 具体的には、個人情報が含まれる重要なメールは、上司の承認を得たうえで送信するといったルールを導入するのが効果的です。 対策④個人情報を扱うときのルールを明確化する 従業員の不注意による個人情報の漏えいを防止するには、個人情報を扱うときのルールを明確化しておくことが大切です。 例えば、顧客情報を保存しているファイルやUSBを放置していると、紛失や盗難によって漏えいにつながる可能性があります。 会社のなかであっても、離席するときには所定の位置に必ず収納するといったルールを明確化しておけば、ファイルやUSBの紛失・盗難のリスクを抑えやすくなります。 対策⑤セキュリティソフトを導入する 個人情報が漏えいする主な原因に、ウイルス感染や不正アクセスがあります。 ウイルス感染や不正アクセスを回避するには、怪しいメールは開封しないといった人的対策だけでなく、セキュリティソフトを導入することが大切です。 なお、古いバージョンのセキュリティソフトでは、新しいウイルスやマルウェア(悪意のあるソフトウェア)に対応できなくなり、セキュリティ対策が不十分になってしまいます。 セキュリティソフト導入後は、定期的に更新をすることで、常に最新の状態を保つようにしましょう。 対策⑥従業員が報告しやすい環境にする 個人情報が漏えいした場合でも、社内ですぐに共有することで被害を最小限に抑えられる可能性があります。 そのため、普段から風通しのよい職場を意識し、ミスが発生したときでもすぐに報告できる環境をめざすことが大切です。 くわえて、事前に個人情報が漏えいした可能性があるときの対応マニュアルを作成しておけば、被害の拡大を抑えやすくなります。 まとめ 個人情報保護法違反には、罰則を受けるだけでなく、社会的信用を失うことで業績の悪化につながるリスクがあります。 そのため、個人情報保護法の過去の違反事例から、起こりうるリスクを予測して適切な対策を立てることが大切です。 個人情報の漏えいを防止するには、従業員に対して定期的にセキュリティ教育を実施するのが効果的です。 弊社では年間999円で100教材以上のeラーニング教材が見放題の「コンテンツパック100」を取り扱っております。 個人情報保護に関するコンテンツも収録しているため、手軽に従業員へのセキュリティ教育を実施したい場合はぜひご活用ください。 特にニーズの高いコンテンツだけを厳選することで、1ID 年額999円(税抜)の低コストを実現。 ビジネス・ITの基礎知識を学べるeラーニングコンテンツが見放題、Cloud Campusのプラットフォーム上ですぐに研修として利用できます。 社会人として身に付けるべき個人情報保護の知識・情報セキュリティ・コンプライアンス等の基礎コンテンツを含む、100コース・1,500本以上の厳選動画をラインナップ。コース一覧や詳細は無料でこちらからご確認頂けます。 >>Cloud Campus コンテンツパック100の詳細をチェックする