メール誤送信を報告しないとどうなる？報告しやすい社内の決まりの作り方

メール誤送信を社員が報告しないと、会社は法律が求める報告や本人への通知に遅れるおそれがあります。報告の期限は社長が知った日ではなく、会社のどこかの部署が知った時点から数えることになるからです。

今日やることは2つです。誤送信に気づいた人が最初に連絡する相手を、1人⁠と代理の1人⁠に決めてください。次に、社長か責任者の言葉で「すぐ言ってくれれば責めない。隠されるほうが困る⁠」⁠と社内に伝えます。

この記事は社内の決まりの作り方を中心に書きます。法律の個別の判断は、委員会の窓口か弁護士に確かめてください。メール全般の対策はメールのセキュリティの一覧から見られます。

報告しないと法律上どうなる？

個人情報保護法の第26条は、個人の権利利益を害するおそれが大きい漏えい等が生じたとき、会社に委員会への報告と本人への通知を求めています。

対象の中身は施行規則第7条⁠で定められています。

例は個人情報保護委員会事務局の2022年の資料からとりました。同じ資料は、住所、電話番号、メールアドレス、銀行口座情報といった個人データだけの漏えいは、財産的被害の類型に直ちには当たらないとしています。

Ccで社外の宛先を見せてしまった場合でも、人数が1,000人⁠を超えると対象です。個人情報保護委員会の資料には、会員1,000人超へのメールマガジンでBCCとCCを取り違えた例⁠が載っています。

期限はいつから数える？

規則の第8条は、知った後「速やかに」⁠報⁠告⁠し⁠、知った日から30日以内に、不正の目的のおそれがある場合は60日以内⁠に再度報告すると定めています。「速やか」⁠の目安は、同じ委員会事務局の資料によると、知った時点から概ね3〜5日以内です。

個人情報保護委員会のQ&Aは、「知った」時点を法人ではいずれかの部署が知った時点とし、部署内のある従業者が知った時点で部署が知ったと考えられる⁠と説明しています。個別の事案ごとに判断されるものの、担当者が黙っている間も期限が進むおそれがあるということです。

罰則と行政の対応は？

報告をしなかったら直ちに罰金、という形ではありません。個人情報保護法⁠は段階を定めています。

• 第146条：委員会は報告や資料の提出を求められる。第182条で、これに応じない、虚偽の報告をする場合は50万円以下の罰金
• 第148条：第26条違反などに勧告や命令ができる
• 第178条：命令に違反すると1年以下⁠の拘禁刑または100万円以下の罰金
• 第184条⁠：その場合の法人の罰金刑は1億円以下

なお、令和8年⁠の改正法が2026年7月17日⁠に公布されています⁠。委員会は政令や規則、ガイドラインを整備している段階で、2026年10月の事務局資料には誤送付などの扱いを見直す検討も出ています。この記事の条文は執筆時に確かめたもので、運用を決めるときは最新版を確認してください。

法律のほかに何が困る？

対象の外でも、報告が遅れて困ることはあります。

取引先との約束に遅れる

委託を受けて預かった個人データの場合、法第26条⁠のただし書きにより、委託元へ通知すれば自社から委員会へ報告しなくてよい場合があります。通知そのものが遅れると、委託元も動けません。

秘密保持契約に、漏えい時の通知期限を書いている取引先もあります。たとえば、部品メーカーの担当者が、発注元から預かった図面を別の取引先へ誤って送った場合を考えます。個人データの問題でなくても、契約上の通知が必要になることがあります。今の契約書で確かめておいてください。

相手に削除を頼むのが遅れる

IPAの情報漏えい発生時の対応ポイント集（2012年の第3版）⁠は⁠、送信先が明らかな誤送信では受信者にお詫びして削除を依頼するとしています。

個人情報保護委員会のQ&Aは、相手が削除するまでに個人データを閲覧していないと確認できた場合を、漏えいに当たらない例に挙げています⁠。確認の可否は事情によりますが、早く連絡するほど確かめやすくなるのは確かです。

社員はなぜ報告しない？

責められる、評価が下がる、大したことはないと思う、自分で謝って済ませたい。統計ではなく考えられる理由ですが、どれも決まりで減らせます。

参考になるのがIPAのプラクティス集の事例です。ある会社は、標的型攻撃メールの訓練で開封率だけでなく報告率も測り、「開封しない」ではなく「開封した場合は報告する」⁠と周知しました。メールの話ですが、誤送信でも同じ考え方を使えます。

報告しやすい決まりはどう作る？

1. 報告先を1人⁠と代理に決める

IPAのセキュリティインシデント対応の手引き（2026年6月）⁠は⁠、検知したら情報セキュリティ責任者に報告し、責任者が経営者へ報告する流れを示しています。

中小企業なら総務の責任者でも構いません。不在時の代理まで決め、電話とチャットの連絡先を1枚⁠に載せます。

2. 5行⁠で知らせられる形にする

調べてから報告しようとすると遅れます。分かる範囲で、次の5行⁠を送ってもらいます。

いつ送ったか：
誰に送ったか：
何を送ったか（添付の有無）⁠：
個人情報や図面が入っているか（分からなければ「不明」）：
相手に連絡したか：

規則第8条も、報告の時点で把握している内容を報告すればよいという形です。社内ではなおさら、分からないままで構わないと書いておきます。

3. 時間⁠の目安を決める

法律に社内の時間は書かれていません。私たちの提案としては「気づいたら15分以内に一報」のように短く決めるのがよいと考えます。平成29年の委員会の告示も、責任ある立場の者に直ちに報告するとしています。

4. ミスと隠すことを分けて扱う

社員に伝えることは次の2つです。

IPAの対応ポイント集も、報告行為を評価し、隠ぺいが起こらないよう配慮するとしています。処分の扱いは就業規則に関わるので、変える場合は社会保険労務士や弁護士に確認してください。

意図して情報を持ち出す行為は別の話です。その対策は内部不正対策・操作ログ監視の製品比較の範囲で、誤送信の決まりと混ぜないほうが社員に伝わります。

5. 経営者が最初の報告を受け止める

決まりを書いても、最初の報告を受けた社長が怒れば次は来ません。報告が来たら、まず「知らせてくれて助かった」⁠と返し、原因の話はそのあとにします。

6. 小さなものも集めて使う

IPAの企業組織を狙う攻撃メールの手口と対策（2026年8月）⁠は⁠、被害に至らなかったヒヤリハットも含めてセキュリティ担当に集約する体制を勧めています。攻撃メールについての資料ですが、誤送信にも同じ考え方を使えます。

送る前に気づいたものも集め、名前を伏せて月に1回共有します。「報告すると役に立つ」⁠と見えれば、次も報告されやすくなります。

仕組みと教育をどう足す？

決まりを周知するときは、誤送信の例を1つ入れた短い研修が使えます。セキュリティ教育の比較で、教材を自社で作るか外部を使うかを判断できます。

人の報告だけに頼らず、誤送信が起きにくくする設定とツールはメール誤送信を防ぐ手順の記事⁠にまとめました。ツールを比べるならメール誤送信防止ツールの比較を見てください。

他社から誤って届いたメールの扱いも、報告の決まりに含めます。受ける側の手順は間違いメールを受け取ったときの対応⁠で扱っています。