個人情報漏えいの原因で多いものは？公的な統計で見る社内の手当てを解説

個人情報漏えいの原因で最も多いのは書類の誤交付で、次が誤送付です。個人情報保護委員会の令和7年度年次報告⁠の付表を足し上げると、委員会への直接報告13,345件⁠のうち、この2つ⁠で約74%⁠を占めます。

今日やることは、自社で個人情報を社外へ渡す場面を紙に書き出すことです。給与明細の配布、健康診断の結果の受け渡し、請求書の封入、応募者へのメール、顧客リストの送付などです。場面ごとに、渡す前に誰が何を確かめているかを横に書くと、手当ての抜けが見えます。

公的な統計で見ると、原因の内訳は？

年次報告の付表は、原因を漏えい等の発生元（報告者、委託先、不明）ごとに載せています。これを原因ごとに足した結果が次の表です。合計と割合は私たちが計算しました。

対象は令和7年4月1日から令和8年3月31日までです。委任先の省庁を通した報告は含まないので、民間事業者の処理件数の総数である17,139件とは数が合いません。

数字を読むときに、3つ⁠の点を分けて考えます。

1つ目は業種の偏りです。年次報告は、病院や薬局での書類の誤交付と、クレジットカードなどの誤送付が多いと説明しています。漏えいした情報の形態も、紙媒体のみが76.9%です。製造業の内訳が同じになるとは限りません。

2つ目は、件数と人数の違いです。1件あたりの人数は1,000人以下⁠が93.6%で、小さな事案が件数を押し上げています。委員会の不正アクセスの傾向の資料⁠によると、令和8年4月1日から10月16日までの不正アクセスで漏えい等した本人は、延べ約2億6,000万人です。速報時点の数字で、後に変わる可能性があると注記されています。件数が少ないから軽いとは言えません。

3つ目は、最新の動きです。令和8年度第1四半期の処理状況では総計6,101件で、前年度の四半期換算の4,854件より増えました。病院や薬局に限らず、損害保険業者の誤交付も目立つとされています。

原因ごとに、社内で先に打つ手は？

原因によって効く手が違います。次の表は、統計の原因と手当てを私たちが対応させたものです。

上から順に全部をやる必要はありません。自社で外へ渡す場面が多い原因から手を付けます。

誤交付と誤送付は、どこから手を付ける？

紙の書類が多い会社は、封入と手渡しの場面から直します。人の注意力に頼るほど、忙しい時期に抜けます。社員番号と氏名の2点⁠で照合する、1人分ずつ封をする、作業を分けて別の人が確かめる、といった手順にします。

メールは、社外へ個人情報を送る場面を絞ります。一斉送信で宛先を見せてしまう、別の顧客のファイルを添付する、といった失敗は、送信前の確認の手順で減らせます。人の確認で足りない部分は、メール誤送信防止ツールの比較で一時保留や上長の承認の機能を見比べます。

注意を促すだけの教育で終わらせないことも大切です。手順を決めたうえで、なぜその確認が必要かを実際の場面で伝えます。全社の教育を仕組みにするなら、セキュリティ教育の製品比較で受講の管理まで見られます。

不正アクセスは、何を見直せばいい？

年次報告は、不正アクセスの指導で多くみられた不備を3つ挙げています。

• VPN機器やECサイトのアプリケーションの脆弱性が公開され、対応方法も出ていたのに放置していた
• IDとパスワードが推測されやすいものだった
• 設定ミスで、データベースへのアクセス制御が不適切だった

高度な攻撃への備えより先に、この3つ⁠を確かめます。インターネットにつながる機器と公開サイトの一覧を作り、更新の担当者を決めます。パスワードだけで入れる社外向けの入口には、多要素認証を入れます。クラウドのサービスが増えて入口の管理が難しいなら、IDaaSの比較の見方⁠が参考になります。

IPAの情報セキュリティ10大脅威2026でも、組織向けの4位⁠に「システムの脆弱性を悪用した攻撃⁠」⁠が入っています。更新を担当者の善意に任せず、月に1回など日を決めて確かめます。

付表では、発生元が不明の報告が1,013件あり、そのうち395件⁠が不正アクセスです。どこから漏れたかを後から説明するには記録が要るので、機器とサーバーのログの保存先と期間も決めておきます。

紛失と内部不正は、どう分けて考える？

紛失は、起きたあとに中身を読まれない状態にしておく手が効きます。個人情報保護委員会のガイドライン（通則編）⁠は⁠、機器や電子媒体を持ち運ぶ場合に、容易に個人データが判明しないよう措置する例を挙げています。ノートPCについては、BitLockerとEFSの使い分け⁠で整理しました。

内部不正は、統計では0.6%ですが、IPAの10大脅威2026では組織向けの7位です。IPAの解説書は、アクセス権を必要最小限にすること、異動や離職で不要になったIDを直ちに削除することなどを挙げています。道具を入れる前に、この2つ⁠を確かめます。道具の違いは情報漏えい対策ツールの種類と順番⁠にまとめています。USBやメールでの持ち出しを止める機能を見るなら、DLP製品の比較が入口になります。

委託先で起きた漏えいは、どう備える？

付表では、発生元が委託先の報告は1,292件で、直接報告の9.7%です。誤送付506件⁠と不正アクセス328件⁠が目立ちます。自社で手当てをしていても、発送や給与計算を外へ出していれば、そこが漏えいの場所になります。

第1四半期の処理状況⁠の注記によると、取扱いを委託している場合は、原則として委託元と委託先の双方に報告の義務があります。委託先の事故は、自社の報告の話にもなります。

委託先の一覧を作り、どの個人データをどの会社に渡しているかを書きます。そのうえで、事故が起きたときの連絡の期限と窓口を契約で確かめます。

製造業なら、どの場面から見る？

製造業は、顧客の個人情報が多くない会社でも、社員の情報は必ず持っています。たとえば、工場の総務が健康診断の結果を配る場面、期間従業員の採用で履歴書を受け取る場面、部品の案内を代理店の担当者リストへ一斉に送る場面です。

健康診断の結果は、ガイドライン（通則編）⁠で要配慮個人情報の例に挙げられています。要配慮個人情報を含む漏えいは報告の対象となる事態の1つで、年次報告でも報告の類型の61.9%⁠を占めます。件数の統計が医療に偏っていても、社内の健康情報の扱いは他人事ではありません。

手当ては、どう記録しておく？

年次報告によると、委員会は報告を受けて、発生原因を特定して分析しているか、再発防止策が原因に適切に対応しているかなどを確かめています。「注意を徹底する」だけでは、原因に対応した策とは言いにくくなります。

この記事の表をもとに、自社の場面、想定する原因、決めた手当て、担当者を1枚⁠にまとめます。事故が起きたときの動きは別の文書に分けて、発見者から責任者への連絡先まで決めておきます。情報漏えい対策のカテゴリに、報告の義務や対応の手順の記事をまとめています。