内定者の個人情報が漏洩してしまった。そのとき、採用担当者が最初に感じるのは「何から手をつければいいのかわからない」という焦りではないでしょうか。謝罪すべきか、上司に報告すべきか、役所に連絡すべきか——優先順位が整理できないまま時間だけが過ぎていく。専任人事がいない企業では、こうした緊急対応を一人で抱え込むケースも少なくありません。この記事では、内定者個人情報漏洩への対応として「何を・いつ・どのように行うか」を実務の流れに沿って解説します。
漏洩発覚直後にやるべきこと
事実の全体像を迅速に把握する
漏洩が発覚したら、まず感情的な謝罪や外部への連絡よりも先に「事実の確認」を行います。確認すべき項目は、以下の4点です。
- 何の情報が漏洩したか：氏名・住所・選考結果・連絡先など
- 誰の情報が漏洩したか：内定者何名分か
- どのような経路で漏洩したか：メール誤送信・不正アクセス・書類紛失など
- どの範囲まで漏洩したか：外部に出たか・閲覧された可能性があるか
たとえばメール誤送信の場合、「20名の内定者の住所・電話番号が記載されたExcelファイルを、誤って取引先担当者10名に送信してしまった」という形で状況を言語化しておくことが重要です。この事実整理がその後のすべての対応の土台になります。
拡散防止と証拠保全を同時に行う
事実確認と並行して、被害の拡大を防ぐ行動をとります。メール誤送信であれば、受信者全員に「誤送信のお詫びと削除依頼」をすぐに送付します。不正アクセスの場合は、情報システム担当者（外部委託のITサポートでも可）と連携してアクセスを遮断します。
このとき、送受信ログ・アクセス履歴・問題のファイルなどの証拠は削除せず保全しておくことが必要です。後の報告書作成や再発防止策の立案において欠かせない情報になります。
社内の対応責任者を即座に決める
専任人事がいない企業では「誰がこの対応を仕切るのか」が曖昧になりがちです。漏洩発覚後24時間以内に、経営者・顧問弁護士（いる場合）・情報システム担当者への報告ラインを確立し、対応責任者を一名明確にしてください。窓口が複数いると情報が錯綜し、内定者への通知内容にも矛盾が生じます。
個人情報保護委員会への報告義務を判断する
報告義務が発生する4つの要件
2022年4月に施行された改正個人情報保護法（第26条）により、一定の要件を満たす漏洩は個人情報保護委員会への報告が義務となりました。採用担当者が特に注意すべき要件は以下の4点です。
- 要配慮個人情報が含まれる場合：採用選考で取得した健康情報・障害情報・病歴などが該当します
- 財産的被害が生じるおそれがある場合：クレジットカード情報など
- 不正目的による漏洩の場合：不正アクセスや持ち出しなど
- 1,000件以上の個人データが漏洩した場合
「件数が少ないから大丈夫」と判断しがちですが、内定者の健康情報が含まれていたり、不正アクセスを受けていたりする場合は件数に関わらず報告義務が発生します。この判断を誤ると法令違反となるため、判断が難しい場合は顧問弁護士や専門家に確認することを強くお勧めします。
2段階の報告スケジュールを押さえる
報告義務がある場合、提出のタイミングは2段階に分かれています。
- 速報：漏洩を知った日から原則3〜5日以内に概要を報告
- 確報：30日以内（不正目的の場合は60日以内）に詳細を報告
報告は個人情報保護委員会の電子届出システム「PPC eGov」から行います。速報では完全な情報が揃っていなくてもかまいませんが、判明している事実を正確に記載することが求められます。報告不要と判断した場合も、その判断根拠を社内で文書として記録しておくことが重要です。
内定者本人への通知——タイミングと文面のポイント
通知を先送りしてはいけない理由
「通知が遅れて内定辞退が増えるのでは」という不安から、内定者への連絡を先送りしてしまうケースがあります。しかし、報告義務のある漏洩は本人通知も法的義務です。また、当事者である内定者が漏洩の事実を第三者から先に知ることになれば、信頼の損失はより深刻になります。通知のタイミングは早ければ早いほど、誠実な企業姿勢を示すことができます。
通知に含めるべき内容
内定者への通知は、電話で一報を入れたうえで、書面（メールでも可）を送付する組み合わせが望ましい対応です。通知文には、以下の内容を必ず含めてください。
- 漏洩した情報の種類と件数
- 漏洩が発生した経緯
- 現時点で判明している二次被害の有無と今後の見通し
- 二次被害防止のために内定者本人が取るべき対応（不審な連絡への注意など）
- お問い合わせ窓口の連絡先
文面のトーンは、事実を隠さず誠実に伝えることを最優先にします。「ご心配・ご不安をおかけし、誠に申し訳ございません」という謝罪の言葉とともに、「現在、再発防止策を策定中です」という前向きな姿勢も示しましょう。
内定者の心理的フォローも忘れない
個人情報が漏洩されたことで、内定者は「自分の情報がどこかで悪用されるかもしれない」という強い不安を感じることがあります。通知文の末尾に「不安やご心配がある場合はいつでもご相談ください」という一文を添えるだけでも、相手の安心感は大きく変わります。入社前の段階であっても、こうしたケアが採用ブランドへの影響を最小限に抑える鍵になります。
個人情報保護委員会への確報と再発防止策の策定
確報に記載すべき内容
速報から30日以内に提出する確報には、以下の内容を記載します。
- 漏洩の詳細な状況（発生日時・発覚日時・原因・影響を受けた人数）
- 実施した二次被害防止措置
- 再発防止策
この段階では速報時よりも詳細な情報が求められます。確報の内容は、再発防止策と整合性が取れている必要があるため、両者を並行して作成することをお勧めします。
再発防止策を「形だけ」にしないために
個人情報漏洩の再発防止策として「メール誤送信防止ツールの導入」だけを挙げるケースがよくありますが、それだけでは不十分です。再発防止策は、以下の3層で考えることが重要です。
- 技術的対策：メール誤送信防止ツールの導入、個人情報ファイルへのアクセス権限の見直し
- 運用的対策：個人情報を含むメール送信前の上長承認フローの整備、採用データの管理台帳作成
- 教育的対策：年1回以上の個人情報保護研修実施、採用担当者向けの取り扱いルールの明文化
この3層を組み合わせることで、「実効性のある再発防止策」として個人情報保護委員会からも評価されます。
🔗 社員のメンタル不調に、精神科・心療内科医によるスポット産業医サービス →
採用ブランドへのダメージを最小限に抑えるために
初動の誠実さがブランドを守る
内定者個人情報漏洩対応において、採用ブランドへの影響を最も大きく左右するのは「漏洩した事実そのもの」ではなく「対応の誠実さと速さ」です。発覚後すぐに事実を認め、丁寧に通知し、具体的な再発防止策を示した企業は、内定辞退率が低く抑えられる傾向があります。逆に、通知が遅れたり、説明が曖昧だったりすると、SNSでの拡散リスクや内定辞退の連鎖につながりかねません。
内定者との信頼関係を再構築するアプローチ
通知後は、内定者からの個別の問い合わせに丁寧に対応することが大切です。専任担当窓口を設けて問い合わせを一元管理すると、対応漏れを防げます。また、再発防止策が整ったタイミングで「対応が完了した旨のご報告」を改めて内定者全員に送付することで、企業の誠実な姿勢を印象づけることができます。
内定者の中には、漏洩発覚後に精神的な不安を抱えている方もいます。そうした方に対して、相談できる窓口や連絡先を案内できる体制を整えておくことが、入社前のメンタルケアとしても有効です。
まとめ
内定者の個人情報漏洩が発生した際には、まず事実の把握と拡散防止・社内の対応責任者の確立を24時間以内に行い、次に個人情報保護委員会への報告義務の有無を確認します。報告が必要な場合は3〜5日以内に速報を提出し、内定者本人への通知も速やかに行いましょう。そして30日以内に確報と再発防止策を整備することが、法令上の義務を果たしながら採用ブランドを守る正しい対応です。
とはいえ、専任人事がいない企業で、日々の業務と並行してこれらを一人でこなすのは容易ではありません。「報告義務の要件判断が不安」「謝罪文の書き方がわからない」「再発防止策を一緒に考えてほしい」——そんなときは、ウェルセンス株式会社にご相談ください。人事労務の課題に精通した専門家が、貴社の状況に合わせた具体的なサポートをご提供します。まずは気軽にお声がけいただければ幸いです。
よくある質問
ウェルセンスは、メンタル不調者対応・休職復職支援に強い職場メンタルケアサービスです。産業医・保健師・心理士・社労士などの専門家ネットワークが、人事・管理職だけでは判断しづらいケースの初動対応、専門家連携、再発防止まで支援します。
不調者対応を、人事だけで抱えない。
メンタル不調者面談や休職・復職対応を、1件からスポットでご相談いただけます。
