「持ち出したのは本人も悪意があったわけじゃないし……でも、このまま放置していいのか」——発覚した瞬間、そう立ち止まってしまう経営者・人事担当者は少なくありません。故意でない従業員の個人情報持ち出しであっても、初動を誤ると法的義務違反・取引先との信頼損失・労務トラブルの三重苦になりかねないインシデントです。この記事では、従業員による個人情報持ち出しが発覚した直後からやるべき対応を3つのフェーズに整理し、処分の基準・再発防止策まで実務レベルで解説します。
発覚直後の初動でやるべきこと
従業員による個人情報持ち出しが発覚したら、まず24時間以内に「事実の確認・封じ込め・社内エスカレーション」の3点を完了させることが最優先です。この段階での遅れが、その後の対応全体を難しくします。
何が・どこまで・誰のデータか確認する
最初にやることは、冷静に「何が持ち出されたか」を特定することです。具体的には、持ち出されたデータの種類（氏名・住所・電話番号なのか、病歴・障害情報などの要配慮個人情報を含むのか）、件数の概算、持ち出した手段（USBメモリ、私用クラウドへのアップロード、印刷物の持ち帰りなど）を把握します。
この情報は、後述する個人情報保護委員会への報告義務の判断に直結するため、曖昧なままにしてはいけません。担当者が一人でパニック対応するのではなく、経営者または管理職に即日エスカレーションし、対応の指揮系統を決めることが先決です。
情報の拡散を止める緊急措置を講じる
事実が確認できたら、次に拡散防止措置を取ります。私用クラウドにアップロードされていれば本人に即座に削除させ、削除完了のスクリーンショットを保存する、印刷物であれば回収して保管するなど、二次漏えいのリスクを下げます。この段階では本人を責めることよりも「被害を広げない」ことを優先してください。
本人が動揺しているケースでも、「あなたを責めているのではなく、まず被害を止めたい」という姿勢で対応すると協力を得やすくなります。対応した日時・内容は必ず書き記しておきましょう。
社内対応責任者を明確にする
専任の情報セキュリティ担当がいない中小企業では、「誰が責任者か」が決まっていないために初動が遅れるケースが多く見られます。対応の指揮は経営者か、経営者が委任した管理職が担うと明確にしてください。
この時点でインシデント対応ログ（発覚日時・発覚経緯・確認した事実・対応した内容・対応者）の記録を始めましょう。後の行政報告・取引先説明・労務対応のすべてにおいて、このログが「対応した事実」の根拠になります。
個人情報保護委員会への報告義務を判断する
2022年施行の改正個人情報保護法により、一定の類型に該当する漏えい等は個人情報保護委員会への報告が義務化されました。「故意でない」「少人数のデータ」であっても、要件を満たせば報告義務が生じます。従業員による個人情報持ち出しであっても、この判断は外せません。
報告が必要になる4つの類型を確認する
個人情報保護法第26条に基づき、報告義務が発生するのは以下の4類型です。
| 類型 | 具体例 |
|---|---|
| 要配慮個人情報の漏えい等 | 病歴・障害情報・犯罪歴が含まれる場合（件数1件でも対象） |
| 財産的被害が生じるおそれがあるもの | クレジットカード番号・銀行口座情報が含まれる場合 |
| 不正アクセスによるもの | 不正アクセスを受けた結果として漏えいした場合 |
| 1,000件以上の個人データの漏えい等 | 大量の顧客データ・従業員データが持ち出された場合 |
持ち出されたデータに上記が含まれていれば、「被害がまだ出ていない」「本人は反省している」といった事情は報告義務の免除には関係ありません。「実害がないから大丈夫」という誤解が最も危険な落とし穴です。
速報と確報のタイムラインを守る
報告義務が発生する場合、速報は「概ね3〜5日以内」、確報は「30日以内」（不正目的が疑われる場合は60日以内）に個人情報保護委員会へ提出する必要があります。速報の段階では確定情報がなくても「判明している範囲」で報告し、後から確報で補完する形で構いません。
「まだ全容が分からないから報告できない」という理由での先送りは義務違反になりますので注意してください。報告フォームは個人情報保護委員会の公式サイト（PPC）で受け付けています。
本人通知・取引先報告のタイミングを判断する
報告義務と並行して、漏えいした情報の本人（情報主体）への通知も原則として義務化されています。ただし「本人への連絡が困難な場合」や「公表によって二次被害が生じるおそれがある場合」など、通知に代えて公表で対応できるケースもあります。
取引先への報告は法令上の義務ではありませんが、持ち出されたデータに取引先の顧客情報が含まれていれば、契約上の報告義務が発生していることがほとんどです。取引先との契約書・個人情報委託契約を確認し、報告要件と期限を確認してください。
従業員への処分をどう判断するか
故意でない従業員による個人情報持ち出しに懲戒処分を下すべきか迷う場合、まず「就業規則に懲戒根拠があるか」と「処分の重さは相当か」の2点を確認してください。根拠なき処分・重すぎる処分はいずれも法的リスクになります。
就業規則の懲戒規定と情報管理ルールを確認する
懲戒処分は、就業規則に懲戒事由として「情報管理義務の違反」「個人情報の不正な持ち出し」などが明記されていることが大前提です（労働契約法第15条・第16条）。就業規則に記載がない場合、処分の法的根拠が失われます。
もし規定が不十分であれば、この機会に整備することが再発防止策にもなります。従業員数が10人以上の事業所は就業規則の届出義務があります（労働基準法第89条）。まずは現行の就業規則を確認し、情報管理に関する条項の有無をチェックしてください。
故意・過失・被害の大きさで処分の重さを決める
故意でない場合、一般的には「訓告・口頭注意」「書面による厳重注意（けん責）」の範囲に収めることが多く、減給・出勤停止などの重い処分は、繰り返しの違反や被害が重大なケースに限定されます。処分を決める際は次の要素を総合的に考慮します。
- 故意・重過失・軽過失の別
- 漏えいした情報の件数・種類・機密性
- 実際の被害または被害が生じるリスクの大きさ
- 本人の反省の有無・発覚後の協力姿勢
- 同種違反の過去歴
重すぎる処分は「懲戒権の濫用」として無効になるリスクがあります（労働契約法第15条）。軽い処分で「甘い」と見えることへの不安もわかりますが、手続きの適正さと処分の相当性こそが会社を守ります。
弁明の機会を必ず与え記録を残す
処分を決定する前に、本人からの事情聴取と弁明の機会を設けることが必要です。これを怠ると手続き的な瑕疵となり、後に処分の有効性が争われた場合に不利になります。
面談の日時・内容・本人の発言要旨は必ず書面にまとめ、可能であれば本人の署名または確認印をもらっておきましょう。「書面にするほどのことではない」と省略することが、労務紛争時に最も致命的な対応ミスになります。
🔗 社員のメンタル不調に、精神科・心療内科医によるスポット産業医サービス →
再発防止策として何をすれば「対応した」といえるか
再発防止策は「口頭で注意した」だけでは不十分です。規程・記録・教育・技術の4つを組み合わせて整備し、書面で残すことが、行政調査・取引先監査・次のインシデント時に「対応した事実」を証明する唯一の方法です。
規程とルールを見直し文書化する
インシデントを機に、個人情報管理規程・情報セキュリティポリシー・持ち出しルールを見直し、不足があれば補強します。「個人情報を含むファイルは会社支給端末・会社承認のクラウドサービス以外に保存・送信禁止」といった具体的なルールを明文化することが重要です。
規程が存在するだけでなく、従業員が参照できる状態に置き（共有フォルダ・社内ポータルへの掲示など）、改訂日と版番号を記録しておくと、「更新・管理されている規程である」ことを対外的に示せます。
教育・訓練の実施記録を残す
インシデント発生後、全従業員または関係部門を対象とした個人情報保護教育を実施します。このとき重要なのは「実施した記録を残す」ことです。具体的には、研修の実施日・参加者リスト・使用した資料・テスト結果（あれば）を保存してください。
個人情報保護委員会の調査や取引先の監査対応では、「いつ・誰に・何を教育したか」が問われます。口頭指導だけでは証跡にならないことを覚えておいてください。
技術的対策とインシデント対応マニュアルを整備する
規程や教育と並行して、技術的な対策も進めます。たとえば、USBメモリの使用制限・ファイルサーバーのアクセス権限の見直し・外部メール送信時の承認フロー導入などが代表的な措置です。これらの対策は、個人情報保護法第23条が求める「安全管理措置」の履行にもあたります。
加えて、今回のインシデント対応を振り返り、「誰が・何を・いつ・どのように対応するか」を簡潔にまとめたインシデント対応マニュアル（フロー図1枚でも構いません）を整備しておくと、次回以降の初動を大幅に速めることができます。
🔗 人事だけで抱えない。メンタル不調者面談や休職・復職対応を、1件からスポットでご相談 →
まとめ
従業員による個人情報の持ち出しが発覚した際にやるべきことは、大きく「初動対応」「報告義務の確認」「処分と再発防止」の3フェーズに分けられます。まず24時間以内に事実確認・拡散防止・社内エスカレーションを完了させ、次に個人情報保護法第26条に基づく報告義務の要件該当性を速やかに判断します。そして就業規則の根拠を確認したうえで相当な処分を行い、規程・教育・技術・記録の4点セットで再発防止策を書面化して完結させます。
「故意でないから」「被害が出ていないから」という判断で対応を後回しにすると、義務違反・信頼損失・労務紛争のリスクが積み重なります。とはいえ、「何から手をつければいいかわからない」「自社のケースが報告義務の対象になるか判断できない」という状況は、専任担当者がいない企業では当然のことです。
ウェルセンス株式会社では、人事・労務・メンタルヘルスにまたがる職場の課題を経営者・兼務人事担当者と一緒に整理するサポートを行っています。「うちの場合はどう対応すればいい？」という段階からでも、お気軽にご相談ください。
よくある質問
ウェルセンスは、メンタル不調者対応・休職復職支援に強い職場メンタルケアサービスです。産業医・保健師・心理士・社労士などの専門家ネットワークが、人事・管理職だけでは判断しづらいケースの初動対応、専門家連携、再発防止まで支援します。
不調者対応を、人事だけで抱えない。
メンタル不調者面談や休職・復職対応を、1件からスポットでご相談いただけます。
