同僚がファイルを読んだら個人情報の漏えいになりますか
日本の個人情報保護法では、個人データの漏えい、滅失、毀損などのうち一定のものについて、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。個人情報保護委員会のガイドラインは、報告が必要な場合の1つである「不正の目的をもって行われたおそれがある行為」の主体には、第三者だけでなく従業者も含まれるとしています。これとは別に、個人情報保護法第179条は、従業者などが不正な利益を図る目的で個人情報データベース等を提供したり盗用したりする行為に罰則を定めています。
このページは一般的な情報で、法律相談ではありません。具体的な事案は弁護士に相談してください。
要点
個人情報保護委員会のガイドラインは、個人データの「漏えい」を「個人データが外部に流出すること」としています。報告が必要な場合の1つに、不正の目的をもって行われたおそれがある行為による漏えい等があり、その主体には従業者も含まれます。報告するのは事業者で、速やかな速報と、原則30日以内、不正の目的のおそれがある場合は60日以内の確報が求められます。
「漏えい」とは何ですか
個人情報保護法第26条は、個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態で、個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、個人情報保護委員会に報告しなければならないと定めています。
ガイドライン（通則編）は、それぞれの言葉を次のように説明しています。
- 漏えい：個人データが外部に流出すること。
- 滅失：個人データの内容が失われること。
- 毀損：個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること。
漏えいに当たる例として、ガイドラインは、個人データを含むメールを第三者に誤送信した場合や、不正アクセス等により第三者に個人データを含む情報が窃取された場合などを挙げています。一方で、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに当たらないとしています。
社内の人による行為も対象になりますか
報告が必要な事態は、個人情報保護委員会規則第7条に4つ定められています。
- 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態。
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態。
- 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データの漏えい等が発生し、又は発生したおそれがある事態。
- 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態。
3つ目について、ガイドラインは「不正行為」の主体には、第三者のみならず、従業者も含まれるとしています。報告を要する例として、従業者が顧客の個人データを不正に持ち出して第三者に提供した場合を挙げています。
1つ目の例として、ガイドラインは従業員の健康診断等の結果を含む個人データが漏えいした場合を挙げています。
同僚があなたのファイルを読んだという出来事が、これらのどれかに当たるかどうかは、事実関係によります。具体的な事案は弁護士に相談してください。
誰がいつ報告しますか
報告の義務を負うのは、個人データを取り扱う事業者です。あなたではありません。ガイドラインによると、事業者は報告対象の事態を知ったときは、速やかに個人情報保護委員会に報告しなければなりません。
- 速報：「速やか」の日数の目安は、個別の事案によるものの、事業者が事態を知った時点から概ね3日から5日以内とされています。法人では、いずれかの部署が事態を知った時点が基準です。
- 確報：事態を知った日から30日以内です。規則第7条第3号の不正の目的による事態では60日以内です。
報告対象の事態を知ったときは、本人への通知も行わなければなりません。ガイドラインは、通知は事態の状況に応じて速やかに行うものとしています。第26条第2項は、本人への通知が困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとしています。
あなたにできるのは、個人データが読まれたかもしれないと思ったら、社内の担当窓口に伝えることです。窓口がわからなければ、情報システム担当か人事に聞きます。社外の相談先は同僚にパソコンやスマホを見られたときの相談先にまとめています。
犯罪になるのはどんなときですか
漏えい等の報告は、事業者の義務です。これとは別に、個人に向けた罰則があります。
個人情報保護法第179条は、個人情報取扱事業者の役員や従業者、またはこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む）を、自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、1年以下の拘禁刑又は50万円以下の罰金に処すると定めています。第184条により、法人の従業者などがその法人の業務に関して第179条の違反をしたときは、行為者を罰するほか、その法人にも1億円以下の罰金刑が科されます。
他人のIDやパスワードを使って、ネットワークを通じてシステムに入った場合は、不正アクセス禁止法が関係することもあります。条文は他人のパソコンに勝手にアクセスすると罪になりますかにまとめています。
法律の改正について
2026年に個人情報保護法の改正法が成立しており、個人情報保護委員会は関係する政令や規則、ガイドラインなどの整備を進めています。このページの条文とガイドラインは、2026年10月31日時点で掲載されているものです。
よくある質問
同僚が私の個人ファイルを見たら漏えいですか
ガイドラインは、漏えいを「個人データが外部に流出すること」としています。不正の目的をもって行われたおそれがある行為の主体には、従業者も含まれるとしています。ある出来事がどれに当たるかは事実関係によるので、具体的な事案は弁護士に相談してください。
漏えいはすべて個人情報保護委員会に報告されますか
いいえ。報告が義務づけられているのは、規則第7条の4つの事態に当たる場合です。要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的のおそれがある場合、本人の数が千人を超える場合です。
自分で個人情報保護委員会に報告しなければなりませんか
報告の義務は事業者にあります。会社の扱いに疑問がある場合、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）に相談できます。委員会は、法律に適合するかどうかの判断を求める相談には応じていないとしています。
第179条と不正アクセス禁止法は同じですか
違います。第179条は、従業者などが業務で取り扱った個人情報データベース等を、不正な利益を図る目的で提供したり盗用したりすることについてです。不正アクセス禁止法は、電気通信回線を通じて他人の識別符号などを入力し、制限されている利用をできる状態にする行為などについてです。
第179条の罰則はどのくらいですか
1年以下の拘禁刑又は50万円以下の罰金です。法人の従業者などがその法人の業務に関して違反したときは、第184条により、その法人にも1億円以下の罰金刑が科されます。