「そういえば、辞めた○○さんのメールアカウント、まだ止めてないかも——」退職後しばらく経ってから、ふとこんな不安がよぎった経験はありませんか。専任の人事担当者がいない会社では、退職者のアカウント管理は後回しになりがちです。しかし、放置されたメールアカウントは、顧客情報の流出・なりすまし・不正アクセスといった深刻なリスクを会社に残し続けます。この記事では、退職者メールアカウント無効化の具体的な手順と、情報漏洩を防ぐための実務対応を、専門知識がなくても実践できる形でまとめました。
退職者メールアカウントを放置するとどんなリスクが生まれるか
退職者のメールアカウントを無効化しないでいると、情報漏洩・なりすまし・不正アクセスという三つの深刻なリスクが同時に発生し続けます。
顧客情報・社内情報への不正アクセス
退職後もメールアカウントが有効なままであれば、元従業員は会社のメールボックスに残る顧客情報や取引先とのやり取りを参照できる状態が続きます。円満退職であっても、転職先から「以前の顧客リストを共有してほしい」と求められるケースは珍しくありません。感情的なトラブルを伴う退職（解雇・退職勧奨・ハラスメント関連など）の場合、元従業員が意図的に情報を持ち出すリスクはさらに高まります。「本人の善意を信じる」という性善説に頼った運用は、現実の退職場面では通用しないと考えておくべきです。
なりすまし送信による取引先への被害
有効なメールアドレスが第三者に悪用された場合、社名を使った詐欺メールや迷惑メールが取引先に届く危険性があります。「〇〇株式会社の△△です」という形でなりすまし送信されると、会社の信用は一気に失墜しかねません。また、退職者本人がアカウントを使って元取引先に接触するケースも、情報漏洩と社会的信用の毀損を同時に引き起こします。
法的リスクと「グレーゾーン」の問題
不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）では、退職後に会社のシステムへアクセスする行為は原則として不正アクセスに該当します。しかし、会社がアカウントを無効化していなかった場合は「アクセス権限を取り消していなかった」として不正アクセスと認定されにくいグレーゾーンが生まれます。つまり、アカウントを放置したまま元従業員に情報を取られても、法的に対抗しにくくなるのです。会社がしっかり無効化・パスワード変更を実施していることが、法的措置を取るための前提条件です。
退職時情報漏洩リスクに関わる法令の基礎知識
退職者のアカウント管理は、単なる社内ルールの問題ではなく、複数の法律が関係する実務上の義務です。
個人情報保護法が求める「安全管理措置」
個人情報保護法第23条は、個人情報を取り扱う事業者に対して「安全管理のために必要かつ適切な措置」を講じることを義務づけています。退職者のアカウントが有効なまま放置され、そのアカウントを通じて顧客・取引先・従業員の個人情報にアクセスできる状態は、この「技術的安全管理措置」の不備に該当しうると解釈されます。万が一情報漏洩が発生した場合は、個人情報保護法第26条に基づき個人情報保護委員会への報告義務も生じる可能性があります。
不正競争防止法と「営業秘密の保護」
不正競争防止法では、退職者が会社のメールアカウントを利用して営業秘密にアクセス・取得した場合、「営業秘密の不正取得」（第2条第1項第4号等）に該当しうると定めています。ただし、会社が「合理的な秘密管理措置」を講じていたかどうかが保護要件です。アカウントを無効化せず放置していた場合、「管理措置を講じていなかった」とみなされ、法的保護が受けられない可能性があります。
対策の記録が証拠になる
個人情報保護委員会が公表する「個人情報の保護に関する法律についてのガイドライン（通則編）」は、組織的・人的・物理的・技術的安全管理措置の整備を求めています。退職時のアカウント無効化はこのうち「技術的安全管理措置」に位置づけられます。実施日・担当者・対象サービスを記録として残しておくことが、万が一のトラブル時に会社側の「適切な措置を講じていた」という証明になります。
退職者アカウント無効化の実務手順
退職者のアカウント無効化は、退職日当日（または前日）に実施することが基本です。以下の順序で進めることで、対応漏れを防げます。
全アカウントの棚卸しから始める
最初に取り組むべきことは、その従業員がどのサービスのアカウントを持っているかを把握することです。メールアカウントだけでなく、以下のようなサービスが対象になります。
| カテゴリ | 代表的なサービス例 |
|---|---|
| メール・グループウェア | Google Workspace、Microsoft 365、独自ドメインメール |
| コミュニケーション | Slack、Chatwork、Microsoft Teams |
| ファイル共有・ストレージ | Dropbox、Google Drive、Box |
| プロジェクト管理・業務ツール | Notion、kintone、Asana、Trello |
| 会計・人事系SaaS | freee、マネーフォワード、SmartHR |
| その他 | VPN、社内システム、ECサイト管理画面 |
「メールを止めた＝完了」という思い込みが最も多い誤解です。棚卸しのリストを退職時チェックリストとして整備しておくと、担当者が変わっても対応漏れが防げます。
メールアカウントを無効化する際の具体的な作業
次に、メールアカウントそのものの無効化を行います。Google WorkspaceやMicrosoft 365などのグループウェアを使っている場合は管理コンソールからアカウントを停止・削除します。このとき、削除前にメールデータのバックアップ・エクスポートを必ず行ってください。顧客とのやり取りの記録や契約関連のメールが失われると、業務継続に支障が出ます。また、パスワードをリセットしてから停止するか、すぐに削除するかは、データ保全のニーズに応じて判断してください。独自ドメインのメールを使っている場合は、サーバー管理会社またはホスティング会社の管理画面から対応します。
退職者本人から誓約書を取得する
アカウント無効化と並行して、退職者本人から秘密保持誓約書（情報持ち出し禁止・退職後の守秘義務に関する書面）と情報機器・アカウント返却確認書に署名をもらいましょう。後日、情報漏洩トラブルが発生した際に、これらの書面が証拠として機能します。退職当日に書面を準備するのではなく、退職が決まった時点で準備を始めるのが理想的です。
退職者アカウント管理規程と退職時チェックリストの作り方
退職対応を口頭・慣習だけで行っている会社は、担当者が変わるたびに対応が属人化し、抜け漏れが生じます。規程とチェックリストの整備が、継続的な情報管理の基盤になります。
アカウント管理規程に最低限盛り込むべき内容
「退職者アカウント管理規程」は大げさなものでなくて構いません。就業規則の付属規程として一枚程度にまとめるか、情報セキュリティ規程の一部として明記する形が現実的です。盛り込むべき内容は以下の通りです。
- 退職日当日（または前日）にアカウントを無効化することを明記する
- 対象となるサービスの一覧を列挙する（棚卸しリストと連動）
- 実施責任者（情報システム担当者、または人事・総務担当者）を明記する
- 実施記録を保存する期間と保存方法を定める
- 秘密保持誓約書・返却確認書の取得を退職手続きの必須ステップとして位置づける
就業規則がない、またはアカウント管理に関する記載がない場合は、まず就業規則本体の整備が先決です。従業員数が10名以上の場合は就業規則の作成・届出が労働基準法上の義務（第89条）ですので、この機会に見直すことをおすすめします。
退職時チェックリストで属人化を防ぐ
退職時チェックリストは「誰が担当しても同じ対応ができる」ことを目的に作ります。チェックリストには、対象サービスごとの無効化確認欄・返却物の確認欄（PC・スマートフォン・社員証など）・誓約書の取得確認欄・実施日と担当者の署名欄を設けると実用的です。このリストは退職者が出るたびに更新しながら使い、新しいSaaSを導入したタイミングでも追記するようにしましょう。
企業規模・体制別の優先対応
会社の状況によって、まず取り組むべき優先順位は異なります。専任IT担当者がいない場合は、まずGoogleやMicrosoftの管理コンソールの操作権限を経営者または総務担当者が持てる状態にすることから始めてください。SaaSが多数ある場合は、棚卸しリストの作成を最優先とし、一度に全部を整備しようとせず、重要度の高いサービス（顧客情報を扱うもの）から順番に対応範囲を広げていくのが現実的です。
「実務としてはわかるけど、実際にはどう進めたら…」そんなときは、専任人事がいない企業の退職対応をサポートする専門家に相談するのも一つの手です。
会社メールアドレス放置対応の「見落としポイント」
アカウント管理の実務では、正しく対応したつもりでも見落としが起きやすいポイントがあります。事前に知っておくことで防げるトラブルを整理します。
メーリングリスト・共有アカウントへの残留
退職者個人のアカウントを無効化しても、社内メーリングリストや部門共有のメールアドレスに退職者のアドレスが残ったままになっているケースがあります。グループメールや転送設定を確認し、退職者のアドレスを削除することを忘れないでください。また、退職者が管理者権限を持っていた場合、その権限を別の担当者に移管してからアカウントを停止しないと、サービス自体が管理不能になる危険があります。
退職者が管理していた外部サービスのID・パスワード
退職者が個人のメールアドレスで登録していた業務関連の外部サービス（SNSアカウント・ドメイン管理・広告配信ツールなど）は、退職後に会社が管理できなくなるリスクがあります。在職中から「業務に使うアカウントはすべて会社のメールアドレスで登録する」というルールを徹底することが、長期的な情報管理の観点から重要です。退職時には、これらの管理権限の移管を確認するプロセスもチェックリストに加えておきましょう。
データバックアップと記録保存の義務づけ
アカウントを削除する前に必ずデータのエクスポートを行い、保存場所と保管期間を定めておくことが重要です。取引メールや契約関連の通信記録は、後日の紛争対応や税務調査でも必要になることがあります。削除後のデータは原則として復元できないため、バックアップの実施を退職手続きのチェックリストに必ず含めてください。
まとめ
退職者メールアカウントの無効化は、情報漏洩を防ぐための最低限の安全管理措置であり、個人情報保護法・不正競争防止法・不正アクセス禁止法にも関わる実務上の義務です。対応の基本は「退職日当日に全アカウントを無効化する」「誓約書を取得する」「実施記録を残す」の三点です。そして、メールアカウントだけでなく業務で使う全SaaSを対象にした退職時チェックリストと、アカウント管理規程の整備が、属人的な対応を防ぐ仕組みになります。
「うちの会社、退職時の対応がバラバラで不安…」「規程の作り方がわからない」という方は、人事の専門知識に頼らず対応する不安を軽くするため、ウェルセンス株式会社にお気軽にご相談ください。退職対応・情報管理規程の整備から、メンタルヘルス起因の退職への対応まで、中小企業の人事実務を幅広くサポートしています。無料相談はこちらからどうぞ。
よくある質問
ウェルセンスは、メンタル不調者対応・休職復職支援に強い職場メンタルケアサービスです。産業医・保健師・心理士・社労士などの専門家ネットワークが、人事・管理職だけでは判断しづらいケースの初動対応、専門家連携、再発防止まで支援します。
不調者対応を、人事だけで抱えない。
メンタル不調者面談や休職・復職対応を、1件からスポットでご相談いただけます。
