応募者20人に選考のお知らせを送るつもりで、BCCに入れるべきメールアドレスをTOに入れて送ってしまった。不採用の方に書類を返送したら、封筒の中身が別の人の履歴書だった。採用を自分でやっている会社で、いちばん起きているのはこの手の事故です。そして気づいた瞬間に検索されるのが、「これは、どこかに報告しないといけないのか」です。
このとき多くの方が最初にたどり着く答えが、「1,000人を超えていなければ報告しなくていい」というものです。採用で一度に扱う人数は数人から数十人ですから、これを読んで手を止める。ところが、1,000人という数字は報告が要る入口の4つのうち1つでしかなく、採用の場面では「1件でも報告になる入口」が別にあります。逆に、件数の少ない誤送信のほとんどは報告義務の対象になりません。つまり件数だけを見ていると、両方向に外します。
そして、この分野の知識は中小企業にほとんど届いていません。個人情報保護委員会が従業員100人以下の事業者1万7,000先に行った一般統計調査（回収3,821件）では、漏えい等報告の義務化を「知らなかった」が77.3%（2,954者）、「知っている」は15.7%（600者）でした。漏えいが起きたときの対応手順を文書化している事業者は7.3%（280者）で、「今もなく、今後も作成する予定はない」が53.8%（2,054者）です（出典：個人情報保護委員会「中小規模事業者における個人情報等の安全管理措置に関する実態調査」）。10社のうち5社以上が、手順を作る予定もないまま運用している、ということです。
この記事では、報告が要るかどうかを分けているのは件数ではなく「何が混じっていたか」と「回収できたか」だ、というところから、ガイドラインの原文に当たって整理します。あわせて、報告義務がない場合にも残る宿題も書きます。
まず、誤送信・誤送付が「漏えい」に当たることは、議論の余地がない
報告義務の話に入る前に、前提を1つ潰しておきます。「うちは外部から攻撃されたわけではないし、ただの送り間違いだから、漏えいというほどのものではない」。この受け取り方が、いちばん最初のつまずきどころです。
個人情報保護委員会のガイドライン（通則編）は、「漏えい」の考え方を説明する箇所で、該当する事例を6つ挙げています。その1番目と2番目がこれです。
事例1）個人データが記載された書類を第三者に誤送付した場合
事例2）個人データを含むメールを第三者に誤送信した場合
（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 3-5-1-2）
不正アクセスやサーバへの侵入が事例5番目に置かれているのに対して、誤送付と誤送信が1番目と2番目です。国の側は、漏えいの典型としてこの2つを先に挙げている、ということになります。
唯一の抜け道が「回収」で、そこで郵送とメールの運命が分かれる
同じ箇所には、続けてこう書かれています。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。
ここが実務上いちばん大きい一文です。漏えいを「無かったこと」にできる道は、閲覧される前に全部を回収した場合だけ、と読めます。そして、これを郵送とメールに当ててみると、最初にやるべきことが変わってきます。
郵送で誤送付したときは、まだ可能性があります。相手に電話をして、封筒が未開封のまま手元にあるなら、開けずに返送してもらう。あるいは取りに伺う。これが成立すれば「閲覧されないうちに全てを回収した」と言える余地があります。だから誤送付に気づいたときの最初の一手は、社内で報告書を作ることではなく、相手に電話して「開けないでください」と伝えることです。順番を逆にすると、取り戻せたはずのものが取り戻せなくなります。
メールで誤送信したときは、事情が違います。相手のメールボックスに届いた時点で、相手はいつでも読める状態にあります。削除を依頼して「削除しました」と返事をもらっても、それは相手が読んでいないことの証明にはなりません。つまり通常は「閲覧されないうちに全てを回収した」とは言えません。削除依頼は被害の拡大を防ぐための措置として意味がありますが、漏えいをなかったことにする手続きではない。ここを取り違えると、「削除してもらったから終わり」で止まってしまいます。
報告が要るのは、4つの入口のどれかに入ったときだけ
漏えいに当たるからといって、全部を国に報告するわけではありません。報告が必要になる「報告対象事態」は、個人情報保護法施行規則第7条が4つに限定しています。原文はこうです。
(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。）の漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態
(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(3) 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（…）の漏えい等が発生し、又は発生したおそれがある事態
(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
（同ガイドライン 3-5-3-1 に引用された規則第7条）
4つとも末尾が「又は発生したおそれがある事態」で終わっているのが、まず見落とされる点です。ガイドラインは「おそれ」について、「漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する」としています。漏れたと確定していなくても対象になり得る、ということです。
1号（要配慮個人情報）＝ 件数は関係ない
採用の場面でいちばん効いてくるのが、この1号です。要配慮個人情報が1件でも含まれていれば、報告対象になります。「1,000人を超えなければ大丈夫」が崩れるのは、ここです。
要配慮個人情報とは、本人の病歴、心身の機能の障害、健康診断等の結果、犯罪の経歴、人種、信条、社会的身分などです。ガイドラインが1号の報告を要する事例として挙げているのは、次の2つです。
事例1）病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合
事例2）従業員の健康診断等の結果を含む個人データが漏えいした場合
「うちは病院じゃないから」と読み飛ばしたくなりますが、採用の書類には要配慮個人情報が入り込みやすい経路がいくつもあります。エントリーシートに健康状態や通院歴を書かせている。障害者雇用枠の応募で手帳の写しを預かっている。前職を病気で辞めた事情が職務経歴書に書かれている。入社前健診の結果を預かっている。面接メモに「腰の手術をしたことがあると本人から申告あり」と書いてある。——このうちのどれかが混じった書類やファイルを、1人分でも別の人に送ってしまえば、それは規則第7条第1号の入口に入ります。
つまり採用での誤送付・誤送信は、件数を数える前に「中身に要配慮が混じっていないか」を確かめるのが先です。順番が逆になっている解説が多い領域です。
4号（1,000人超）＝ 採用ではまず届かないが、数え方に注意がある
4号は本人の数が1,000人を超える場合です。採用で一度にこの規模を扱う会社は、中小企業ではほとんどありません。ただし、数え方について2つ書かれています。
事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で規則第7条第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、規則第7条第4号に該当する。
調査を進めるうちに増えることがある、そして確定できないときは「最大で何人か」で判断する。応募者データベースそのものが流出したような場合には、この数え方が関わってきます。
2号・3号は、採用では別の顔で出てくる
2号は財産的被害のおそれがある場合で、クレジットカード番号や決済のログイン情報が典型です。採用で口座情報を預かるのは内定後の給与振込の場面ですから、応募段階では通常当たりません。
3号は「不正の目的をもって行われたおそれがある行為」による漏えいです。ここで押さえておきたいのは、ガイドラインが不正行為の主体に従業者も含めていることです。
「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」（以下「不正行為」という。）の主体には、第三者のみならず、従業者も含まれる。
辞めることになった採用担当者が応募者リストを持ち出した、というのは3号の話になります。3号だけは後述する確報の期限が60日に伸びる、という違いもあります。
4つのどれにも入らないとき
応募者20人へのメールでBCCを間違えた。要配慮個人情報は含まれていない。人数は1,000人以下。誰かの不正でもない。——この場合、4つの入口のどれにも入らないので、個人情報保護委員会への報告義務はありません。ガイドラインは、それでも報告したい会社のために逃げ道を用意しています。
報告対象事態に該当しない漏えい等事案であっても、個人情報取扱事業者は個人情報保護委員会に任意の報告をすることができる。
ただし「報告義務がない」は「何もしなくていい」ではありません。そこは後の章で書きます。
報告が要るとき：3〜5日の時計は、社長が知った時点では始まらない
報告対象事態に当たると判断したら、報告は速報と確報の2段階です。ここで事故が起きるのは、ほぼ期限の起算点です。
速報の期限について、ガイドラインはこう書いています。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3〜5日以内である。
（同ガイドライン 3-5-3-3。個人情報保護委員会の解説ページも「速やか(概ね３～５日以内)に個人情報保護委員会への報告を行いましょう」としています。出典：漏えい等報告・本人への通知の義務化について）
「いずれかの部署が知った時点」です。社長に上がった時点ではありません。従業員が数人から数十人の会社に当てはめれば、メールを送ってしまった本人が「あ」と気づいた瞬間から数え始めることになります。担当者が3日ひとりで抱えて、4日目に社長へ報告したら、その時点で目安の3〜5日はほぼ使い切られています。だから社内のルールで先に決めておくべきなのは、報告書の様式ではなく「気づいたら何分以内に、誰に言うか」の一行です。
確報の期限は、こうです。
前項の場合において、個人情報取扱事業者は、当該事態を知った日から30日以内（当該事態が前条第3号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。（規則第8条第2項）
日数の数え方にも注記があります。
確報の報告期限（30日以内又は60日以内）の算定に当たっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～1月3日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。
土日祝を数に入れる、末日だけは繰り越す。連休や年末年始をまたぐと、体感より早く来ます。
報告する項目は9つ。速報では「今わかっている分」でよい
報告事項は規則第8条第1項が9つ定めています。①概要 ②漏えい等が発生し、又は発生したおそれがある個人データの項目 ③本人の数 ④原因 ⑤二次被害又はそのおそれの有無及びその内容 ⑥本人への対応の実施状況 ⑦公表の実施状況 ⑧再発防止のための措置 ⑨その他参考となる事項、です。
速報の段階では、条文に「報告をしようとする時点において把握しているものに限る」と書かれています。確報では9つすべてを報告しますが、そこにも救いがあります。
確報を行う時点（報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
つまり「全部わかってから出す」ではなく「わかった分で出して、あとで足す」が正しい順番です。調べ切るまで待って期限を越える、というのが避けたい失敗です。
報告は個人情報保護委員会のホームページの報告フォームから行います。公表されている記入例を見ると、フォームが実際に聞いてくるのは、発生日と発覚日、発生事案（漏えい／漏えいのおそれ／滅失／滅失のおそれ／毀損／毀損のおそれの6択）、発見者、規則第7条各号のどれに当たるか、委託元・委託先の有無、時系列の事実経過、といった項目です。原因の欄はチェックボックスになっていて、選択肢のなかに「誤送付（メール含む。）」が用意されています（出典：個人情報保護委員会「報告書 記入例（要配慮個人情報・民間事業者用）」）。誤送付はフォームにあらかじめ欄が立っているくらい、想定された事故だということです。
社内に上げる一報の記入例
報告書より先に必要なのが、気づいた人が数分で書ける社内の一報です。ここを型にしておくと、あとのフォーム入力がそのまま埋まります。
※記入例（気づいた人が、気づいて15分以内に出す社内の一報）
件名：【至急・個人情報】応募者向けメールの宛先誤り
1. 気づいた日時：9月25日 14:20（送信は14:12）
2. 何を送ったか：一次選考の案内メール。本文に面接日程、添付なし
3. 誰に届いたか：応募者18名。BCCに入れるべき宛先をTOに入れたため、18名が相互のメールアドレスを見られる状態
4. 中身に健康状態・通院歴・障害・前職の病気の記載はあるか：なし（本文・添付とも）
5. すでにやったこと：14:25 送信先への削除依頼メールを送信。14:30 メール配信を停止
6. 判断が要ること：応募者への連絡の文面、報告の要否
※ 判断は上で行う。気づいた人は3の人数と4の有無だけ正確に書く
4番を項目として立てておくのが肝です。要配慮が混じっているかどうかで、報告が要るかどうかが変わるからです。
応募者への連絡は、報告とは別の義務で、書く中身が違う
報告対象事態に当たるときは、個人情報保護委員会への報告に加えて、本人への通知が必要になります（法第26条第2項）。採用の場面では、本人＝応募者です。
見落としやすいのが、通知すべき中身が報告事項の全部ではないことです。規則第10条は、9項目のうち第1号（概要）・第2号（漏えいした個人データの項目）・第4号（原因）・第5号（二次被害又はそのおそれの有無及びその内容）・第9号（その他参考となる事項）の5つに限定しています。つまり、③本人の数、⑥本人への対応の実施状況、⑦公表の実施状況、⑧再発防止のための措置は、本人通知の必須項目ではありません。
ここは謝罪文を書くときに効きます。「何人に漏れたか」を書くかどうかは義務ではなく判断の問題で、ガイドラインは通知を「本人の権利利益を保護するために必要な範囲において」行うものとし、「漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること」を例として挙げています。一律の文面を全員に送るより、その人に関係する範囲で伝えるほうが趣旨に合う、ということです。
通知の方法は「文書を郵便等で送付する」「電子メールを送信する」が例示されています。通知が困難なときには代替措置が認められますが、困難な場合として挙げられているのは「保有する個人データの中に本人の連絡先が含まれていない場合」「連絡先が古いために通知を行う時点で本人へ連絡できない場合」です。採用では応募者の連絡先は手元にありますから、公表やお問い合わせ窓口の設置で代えることは、通常できません。応募者に直接連絡する前提で考えることになります。
もう1つ、救いのある記述もあります。
当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
慌てて自分を追い込みすぎなくてよい、という一文です。
報告が要らない誤送信にも、宿題は残る
応募者へのメールでBCCを間違えた。要配慮は混じっていない。人数も1,000人以下。報告義務はない。——それでも、やることは残っています。
個人情報保護委員会の「ヒヤリハット事例集」には、「メールの送信」の章があり、1つ目の事例がまさにこれです。
複数の顧客にイベントの案内を電子メールで知らせる際に、BCCに顧客のメールアドレスを入力すべきところ、CCに入力し送信しそうになった。
これに対する委員会のコメントが、採用にそのまま刺さります。
「kojin-ichiro＠example.com」のようにフルネームが入っているようなメールアドレスについては、個人情報に該当する可能性があり、事例については、同意のない第三者提供、漏えいに該当する場合があるので、注意しましょう。
（出典：個人情報保護委員会「個人情報保護法 ヒヤリハット事例集」）
応募者のメールアドレスは、本名をローマ字にしたものがかなりの割合を占めます。BCCの入れ間違いは、単に「アドレスが見えた」だけでなく、応募者どうしが互いの氏名を知ってしまうことにつながりやすい。しかも「誰がその会社に応募しているか」は、本人が周囲に知られたくない情報です。報告義務の有無とは別に、応募者にとっては重い事故です。
同じ事例集には、防ぎ方の例も書かれています。
電子メールを使用するにあたっては、誤送信等が生じないよう、送信する際の手続を定めるほか、送信時に宛先の確認等を行う工夫（例：送信者以外の者が宛先を確認する、「そのメール送信しても大丈夫ですか？」といったポップアップが表示されるなど）をすることが重要です。
「送信者以外の者が宛先を確認する」。ツールを買う前に、一人の会社以外ならすぐできることとして書かれています。応募者向けの一斉メールだけは別の人に宛先を見せる、という運用でも形になります。
そもそもの運用面、つまり書類をどこに置くか・誰が触れるか・どの業者に預けるかは、この記事の範囲の外にあります。集める前と持っている間の話は個人情報の安全管理措置を中小企業が採用書類でどう満たすかと採用で使うツールや外注先の監督にまとめています。
やりがちなNG
削除を依頼して「削除しました」と返事をもらったので終わりにしている（メールの場合、それで漏えいがなくなるわけではありません）。誤送付に気づいてまず社内会議を開き、相手に「開けないでください」と伝えるのを後回しにしている。人数だけを数えて「1,000人以下だから報告不要」と判断し、中身に健康状態の記載がないかを確かめていない。担当者が自分で処理しようとして数日抱え、上に上げた時点で速報の目安を使い切っている。全部を調べ終わってから報告しようとして30日を越える。応募者への謝罪文に再発防止策を長く書き、肝心の「何が・どこまで・なぜ漏れたか」が薄い。連絡先がわかる応募者に個別連絡せず、ホームページの公表で済ませようとしている。——どれも、順番を入れ替えるだけで直るものばかりです。
直す順番
いま手元にあるものだけで、次の4つを決めれば足ります。①気づいた人が何分以内に誰に言うか（この一行が3〜5日の起算点を守ります）。②相手への連絡を誰がやるか（郵送なら「開けずに返送のお願い」、メールなら削除依頼）。③要配慮個人情報が混じっているかを誰が確認するか（報告の要否がここで決まります）。④応募者への連絡文を誰が書くか。この4つを紙1枚にして、応募者対応をする人の見える場所に置く。冒頭の調査で「対応手順を文書化している」が7.3%だったのは、裏返せば、紙1枚あるだけで上位に入れるということです。
自分の求人は、どこでつまずくか
ここまでは、応募が来たあとの情報の扱いの話でした。一方で、事故の起点になる一斉メールも、応募者の書類も、応募がなければ発生しません。守りを固めることと、応募そのものを増やすことは、別々に手を打てます。
なお、応募者の情報をめぐる論点は、この記事のほかにも整理しています。選考が終わったあとの書類をいつまで持つかは不採用者の応募書類の返却・廃棄と保管期間、本人から開示や消去を求められたときの手順は応募者からの個人情報の開示請求への対応、そもそも集めてよい情報の線引きは面接で聞いてはいけないことにまとめています。
よくある質問（FAQ）
Q. 応募者20人にBCCを間違えて送ってしまいました。個人情報保護委員会への報告は必要ですか？ A. 報告が必要になるのは施行規則第7条の4つの事態のいずれかに当たる場合です。要配慮個人情報（病歴・障害・健康診断の結果など）が含まれておらず、財産的被害のおそれもなく、誰かの不正でもなく、人数が1,000人以下であれば、報告義務はありません。ただし漏えいそのものには当たるため、社内での原因の究明と再発防止、応募者への説明は別途必要になります。報告義務がない場合でも、任意の報告をすることはできるとガイドラインに書かれています。
Q. 誤送信の相手が「削除しました」と返事をくれました。これで漏えいはなかったことになりますか？ A. なりません。ガイドラインが漏えいに該当しないとしているのは「個人データを第三者に閲覧されないうちに全てを回収した場合」です。メールは相手のメールボックスに届いた時点で閲覧できる状態にあるため、通常これには当たりません。削除依頼は被害の拡大を防ぐ措置として意味がありますが、漏えいの成立を消すものではありません。一方、郵送の誤送付で封筒が未開封のまま返ってきた場合は、回収できたと言える余地があります。
Q. 速報の「3〜5日」は、いつから数えますか？ A. ガイドラインは、法人の場合は「いずれかの部署が当該事態を知った時点」を基準とするとしています。社長や責任者に報告が上がった時点ではありません。小さな会社では、送ってしまった本人が気づいた時点から数えることになります。社内で伝わるまでに時間がかかると、その分だけ期限が短くなります。
Q. 履歴書に「持病があり通院中」と書かれていました。これが混じった書類を1人分だけ誤送付した場合はどうなりますか？ A. 病歴は要配慮個人情報に当たり、施行規則第7条第1号は件数の要件を置いていません。1件でも報告対象事態になり得ます。逆に言えば、誤送付・誤送信に気づいたときに最初に確かめるべきは人数ではなく、中身に健康状態・障害・犯罪の経歴などの記載がないかどうかです。判断に迷う場合は、所管の窓口や専門家にご確認ください。
Q. 応募者に連絡する代わりに、自社のホームページで公表するのでは足りませんか？ A. 本人への通知が困難な場合には代替措置（事案の公表、問合せ窓口の設置）が認められますが、ガイドラインが「困難な場合」として挙げているのは、連絡先を保有していない場合や、連絡先が古くて連絡できない場合です。応募者の連絡先が手元にある採用の場面では、通常これには当たらないため、個別に通知する前提で考えることになります。なお、代替措置をとらない場合でも、二次被害や類似事案の防止の観点から公表することが望ましいとされています。
この記事は、中小企業の採用運用を支援する SaishiLu（運営：株式会社プラスメイト）が作成しています。本文中の条文・ガイドラインの引用および統計値は、個人情報保護委員会の公表資料に基づきます。個別の事案の判断については、所管の窓口や専門家にご確認ください。