TOPPANは、保険料控除証明書の発行業務で、損害保険ジャパンの契約者17万7426人分の情報を別の損害保険会社へ誤送付したと公表しました。手作業で送付ファイルをまとめる際、別会社向けのファイルに情報が混入し、送信前の内容確認も行われていませんでした。

手作業で別会社向けファイルに混入

事故が起きたのは2026年9月1日です。TOPPANは損害保険各社に、控除証明書のはがき発行が不要な契約者のリストを送っていました。この業務は損害保険会社から受託していました。

担当者がファイルをドラッグ＆ドロップする操作を誤り、損保ジャパンの契約者情報を含むアーカイブファイルを、別の損害保険会社向けのファイルに混入させて送付しました。送付前にファイルの中身を再確認していなかったことも、TOPPANが公表した経緯に含まれています。

誤送付されたファイルには、契約者のカタカナ氏名、保険料控除用証券番号、業務IDが含まれていました。対象は17万7426人ですが、一部に重複がある可能性があります。9月1日に誤送付先の会社から日本損害保険協会へ問い合わせがあり、同協会が翌2日にTOPPANへ調査を要請して問題が判明しました。

個人データの誤送付は漏えいに該当

個人情報保護委員会のガイドライン改正案では、個人データが外部へ流出することを「漏えい」とし、個人データを含むメールの誤送信や書類の誤送付を例に挙げています。そのため、委託業務で送付先を誤り、個人データが別の会社へ届くケースは、改正案が挙げる事例に当たります。

同改正案は、個人データの本人が1,000人を超える漏えい等を、個人情報保護委員会への報告対象となる事態の一つに挙げています。今回公表された対象人数は17万7426人で、一部重複の可能性があります。改正案は、個人データの取扱いを委託している場合、委託元と委託先の双方が取り扱っているものとして、報告対象に当たれば原則として双方に報告義務があるとしています。

ただし、委託先が報告義務を負う委託元へ事態の発生を通知した場合、委託先の報告義務は免除されると改正案は説明しています。委託元と委託先は連名で報告することもできます。個人情報保護委員会のFAQも、委託先が報告内容を作成したり、委託元と連名で報告したりすることを妨げないと説明しています。

本人への連絡や公表は事案に応じて判断

個人情報保護委員会のFAQでは、漏えいした個人データの本人への連絡や、事実関係・再発防止策の公表は、事案の内容に応じて対応するとしています。第三者に閲覧される前にデータを速やかに回収した場合や、高度な暗号化などで秘匿されている場合は、省略が考えられる例として挙げられています。

また、漏えい元の事業者以外では個人を特定できず、本人に被害が生じるおそれがない場合も、本人への連絡などを省略できる例です。FAQは、影響範囲を特定する際に、対象者数、情報の内容、漏えいした手段や原因を踏まえる考え方も示しています。

委託先で事故が起きても、委託元の責任はなくなりません。個人情報保護委員会のFAQは、委託先で漏えいが起きた場合も、委託元が対象データについて最終的な責任を有すると説明し、原則として委託元が報告するよう努めるとしています。一方、改正案は委託元と委託先双方の報告義務を原則とし、委託元への通知による委託先の例外も定めています。

送付時のルールに機械的な確認を加える

今回の事故では、手作業でファイルを振り分けた後、送付前に内容を確認していませんでした。Google Workspaceのデータ損失防止（DLP）は、組織外への機密情報の共有を管理する機能です。共有をブロックしたり、個人を特定できる情報を共有しようとした利用者に警告したりできます。

Googleは、DLPをGoogleドライブのファイルやGmailのメール、Google Chatのメッセージなどで利用できると説明しています。ルールに該当する情報の利用状況を監査する機能もあります。

DLPによる今回のようなアーカイブファイルの検知・阻止の可否は、対象のファイル形式や送付方法、設定によって異なります。Googleは、対応サービス上で機密情報の共有を制御・監査できると説明しています。