個人情報漏えいの罰則は？会社と社員が負う責任と命令の流れを整理する

個人情報が漏えいしただけで、直ちに罰金が科されるわけではなく、個人情報保護法の罰則の中心は委員会の命令への違反と、データベースの不正な提供や盗用です。ただし、罰則に当たらなくても、委員会への報告、本人への通知、民事の賠償は別に生じることがあります。

今日やることは2つです。漏えいに気づいた社員が誰に連絡するかを決めて、全員に伝える。報告を出す担当者と代理を1人⁠ずつ決める。報告の期限は「知った日」⁠か⁠ら数えるので、社内の連絡が遅れるほど、準備に使える日数が減ります。

3つ⁠の責任はどう違うのか

漏えいの責任は、行政、刑事、民事に分かれます。誰が相手か、何で決まるかが違うため、分けて考えます。

条文はe-Govで公開されている個人情報保護法⁠で確かめられます。

漏えいのあと、命令まではどう進むのか

委員会の対応は、段階を踏むのが基本です。第146条⁠で報告や資料の提出を求め、立入検査もできます。第147条⁠で指導と助言を行い、違反があって必要と認めれば、第148条⁠で勧告します。勧告に正当な理由なく従わず、重大な権利利益の侵害が切迫しているときに命令となります。

重大な権利利益を害する事実があって緊急に必要なときは、勧告を挟まずに命令が出ることもあります。命令に違反した場合、委員会はその旨を公表できます。

対象には第23条⁠の安全管理措置、第24条⁠の従業者の監督、第25条⁠の委託先の監督、第26条⁠の漏えい等の報告が入っています。パスワードの管理や委託先の管理が不十分だったという話は、まずこの流れの中で扱われます。

実際の件数も確かめておきます。個人情報保護委員会の令和7年度年次報告⁠によれば、2025年度に委員会が処理した民間事業者の漏えい等報告は17,139件⁠、指導と助言は455件⁠、勧告は2件⁠、命令は1件でした。多くは指導と助言の段階で扱われていることが分かります。

罰則の対象になるのはどんな行為か

個人情報保護法の主な罰則は次のとおりです。2026年11月時点で施行されている条文です。

1億円⁠は法人に対する上限で、第184条⁠に定めがあります。漏えいした人数で自動的に決まる金額ではありません。

2027年1月から罰則は重くなる

2026年7月17日に個人情報保護法の改正法⁠が公布されました。罰則の部分は公布から6か月⁠を経過した日、つまり2027年1月17日⁠に施行されます。主な変更は3つです。

• データベースの不正な提供や盗用の罰則が、2年以下⁠の拘禁刑または100万円以下⁠の罰金に上がる
• 不正な利益を図る目的に加えて、本人その他の者に損害を加える目的も対象になる
• 人をだます行為や不正アクセスなどで個人情報を取得する行為に、新しい罰則（2年以下⁠の拘禁刑または100万円以下⁠の罰金⁠）⁠ができる

改正で条の番号も変わります。社内規程に条番号を書いている会社は、施行に合わせて見直します。

課徴金はどんなときの話か

改正法には課徴金の制度も入りました。参議院の議案要旨⁠のとおり、違法な取扱いなどで財産上の利益を得た事業者に納付を命じるものです。施行は、一部を除き公布から2年以内⁠に政令で定める日です。

第148条⁠の3の条文で対象に挙がるのは、違法な第三者提供や、違法な取得とその利用などで対価を得た場合です。本人の数が1,000人以下⁠のときは命じられません。防止のための相当の注意を怠らなかったと認められる事業者も除かれます。第23条⁠の安全管理措置の違反そのものは、この条の対象行為に挙がっていません。名簿を売るような行為が中心で、攻撃を受けて漏えいした被害者を直接の対象にした制度ではないと読めます。金額の算定方法は政令に委ねられています。

社員本人はどこまで責任を負うのか

会社の責任と社員の責任は、意図の有無で大きく分かれます。

悪意で持ち出した場合は、本人が罰則の対象です。 第179条⁠の対象は、役員、代表者、従業者と「これらであった者」⁠で⁠す⁠。退職後の元社員も含まれます。業務で扱った個人情報データベース等を、不正な利益を図る目的で提供または盗用すれば処罰され、会社にも法人の罰金が科される規定があります。

誤送信や紛失のようなミスは、第179条⁠の目的の要件に当たりません。とはいえ、責任がまったく問われないとは言えません。就業規則に基づく懲戒や、民法第709条⁠の不法行為が問題になることはあります。

民法第715条は、社員が事業の執行で他人に損害を与えたとき、使用者である会社が賠償すると定めています。同じ条の第3項は、会社が社員に求償する権利を妨げないとしています。実際に社員へいくら請求できるかは事情で変わるので、弁護士に確かめる場面です。

役員も無関係ではありません。第179条⁠の対象に役員が含まれるほか、命令違反の罰則は「当該違反行為をした者」⁠に向きます。命令が届いたら、担当者任せにせず経営の判断として扱います。

民事の賠償は誰が請求してくるのか

相手は大きく2種類です。漏えいした情報の本人と、取引先です。

本人からの請求について、最高裁は2017年10月23日の判決⁠で一つの判断を示しました。システム会社の委託先の従業員だった者が、顧客の個人情報を持ち出して名簿業者に売却した事案です。氏名や住所などの情報について、最高裁は漏えいによりプライバシーが侵害されたといえるとしました。不快感を超える損害の立証がないことだけで請求を退けた原審の判決は破棄されています。

同じ漏えいをめぐる別の控訴審判決では、委託元と委託先に連帯して1人あたり2,000円⁠の支払いが命じられました。金額は事案で変わりますし、情報の種類や二次被害の有無でも違うはずです。ここから読み取れるのは、自社の社員ではなく委託先の先で起きた漏えいでも、請求の相手になり得るという点です。

取引先との間では、秘密保持契約や取引基本契約の違反として民法第415条⁠の債務不履行が問題になります。賠償額や通知の期限を契約で決めていることも多いので、主要な取引先の契約書を確かめておきます。

保険で備える場合は、賠償金、調査費用、通知の費用のどこまでが補償されるかを契約ごとに見ます。サイバー保険の比較で補償の項目を見比べられます。

報告の期限と、対象になる漏えいは何か

罰則よりも先に、実務で間に合わせる必要があるのが報告です。個人情報保護法施行規則の第7条・第8条⁠により、次のどれかに当たる漏えい等は、発生したおそれの段階でも委員会への報告の対象です。

• 要配慮個人情報が含まれる（高度な暗号化などの措置を講じたものを除く）
• 不正に利用されると財産的被害が生じるおそれがある
• 不正の目的をもって行われたおそれがある
• 本人の数が1,000人⁠を超える

期限は2段階です。知った後に速やかに報告し、委員会の案内では発覚から3〜5日以内⁠が速報の目安とされています。確報は知った日から30日以内⁠、不正の目的によるおそれがある場合は60日以内です。本人への通知も第26条第2項⁠で求められています。

製造業では、どの情報が対象になるのか

BtoBの製造業では「消費者の情報を持っていないから関係ない⁠」⁠と考えがちです。しかし対象は消費者の情報に限りません。

たとえば、部品メーカーの場合を考えます。社員の人事データと健診結果、採用応募者の履歴書、取引先担当者の名刺データはいずれも個人情報です。名刺をパソコンで検索できるように管理していれば、第16条⁠の個人情報データベース等に当たります。協力会社に給与計算やシステムの保守を任せていれば、第25条⁠の委託先の監督も関わります。

ランサムウェアで人事サーバーが暗号化された場合、外部に持ち出された証拠がなくても、「不正の目的をもって行われたおそれ」⁠と⁠し⁠て検討が必要です。情報が見られたかどうかを調べる体制がないと、報告の中身も書けません。調査を頼む先はインシデント対応・フォレンジックサービスの比較で事前に見ておくと、当日に探さずに済みます。

責任を小さくするために、何を残しておくか

事故をゼロにはできません。そこで、説明できる状態を普段から作ります。

1. 個人データの一覧を作り、置き場所と触れる人を書く
2. 社員の情報の扱いのルールを文書にし、教育の記録を残す
3. 委託先との契約に、管理の方法と事故時の連絡を入れる
4. 報告の担当、弁護士、調査会社の連絡先を1枚⁠にまとめる

持ち出しの経路を技術で絞るなら、DLP（情報漏えい対策）⁠の製品比較が参考になります。退職者のIDが残っていると元社員の持ち出しにつながるので、ID管理の手順⁠もあわせて見直します。管理者権限の扱いは特権ID管理の進め方に、社員のパスワードはパスワード管理アプリの考え方⁠に分けて書きました。漏えい対策の全体像は漏えい対策のカテゴリ⁠にまとめています。

この記事は条文と公的資料をもとにした整理で、個別の事案への法的な助言ではありません。実際に漏えいが起きたときは、弁護士と委員会の窓口に相談します。