印刷会社の個人情報漏えい対応｜委託元通知と報告要否の初動

印刷会社で個人情報事故が判明したら、まず発送・データ処理を止めて証拠を保全し、影響範囲を確認しながら委託元へ速やかに通知し、法令上の報告・本人通知要否を判断します。

宛名違いのDM封筒、誤った納品先への送付、入稿データの誤共有は、発見直後の対応が後の確認を左右します。原因を推測で断定する前に、何を止めたか、何が分かっているか、まだ分からないかを分けて記録しましょう。個人データの事故記録は、通常の案件情報とは別の保管先と権限で扱うことが重要です。

印刷会社の個人情報漏えい等とは

誤送付・誤封入・データ流出の整理

印刷会社では、宛名と内容物の組合せ違い、別案件のDM封筒の混入、入稿データの誤送信、アクセスできる状態でのデータ公開などが事故の起点になります。印刷物の品質不良と個人データの事故は重なることがありますが、前者だけで処理すると、本人への影響や委託元への通知が抜け落ちます。

まず、対象となるデータ項目、対象ロット、発送・公開の有無、閲覧や持出しの可能性を案件ごとに分けます。平時の受領から返却までの管理は、印刷会社の個人情報管理と合わせて確認すると、事故時に探す範囲を絞りやすくなります。

発覚直後の対応順序早見表

初動では、停止と確認を直列に待たせず、担当を分けて並行させます。下表は所要時間を決めるものではなく、確認漏れを防ぐための役割表です。各行に、実施者、確認者、証跡の置き場をあらかじめ決めておくと、委託元への最初の連絡が推測だけになることを防げます。

事故発覚直後に行う初動

発送・公開・データ処理を止める

事故の拡大を防ぐ最初の行動は、対象を特定できる範囲で発送、公開、再処理を止めることです。DM封筒なら差出し前の束と残部を分け、データなら共有先や出力待ちの工程を確認します。止めた対象を広げすぎて他案件まで混乱させないため、案件名、版、ロット、作業場所を記録します。

封入封緘や出荷前の確認を見直す必要があるときは、入稿データチェックリストも参照してください。ただし、チェックリストを後から整えることは、現在起きている事故の証拠を上書きする理由にはなりません。現物、校正紙、作業指示、作業時点の記録は、そのまま保全します。

ログと現物を保全して影響範囲を絞る

影響範囲の確認では、誰が何人分を見た可能性があるかを先に決めつけません。宛名データの版、印刷機へ渡したデータ、出荷伝票、作業者の申し送り、メールや共有フォルダの履歴を照合し、確認済みの事実と確認中の事項を別表にします。再版用の保管場所や複製物も確認対象ですが、一般の保管ルールは印刷会社の宛名データ返却・消去で扱う内容と区別します。

事故対応中にログを削除したり、現物を廃棄したりすると、後から対象者数や流出経路を確かめにくくなります。アクセス記録が無い場合も、無いこと自体を記録し、推測で「閲覧されていない」と結論付けない運用が必要です。

推測と確認済み事実を分けて委託元へ通知する

委託元への連絡は、原因の確定を待つほど遅くなります。最初の連絡では、発生を知った時点、停止済みの措置、対象となり得る案件・情報項目、現在確認している事項、次回の報告方法を共有します。未確認の人数や原因を空欄のままにせず、「確認中」と明示して更新するほうが、事実と推測を混ぜずに済みます。

委託元との契約、連絡窓口、外注先との関係も同時に確かめます。外注工程の通常記録は印刷外注の取適法7条対応のような取引記録と結び付きますが、事故時の通知先や判断根拠は別管理にします。

報告・本人通知と再発防止へ進む手順

報告対象事態への該当を確認する

個人情報保護法第26条は、個人の権利利益を害するおそれが大きい個人データの漏えい等について、報告と本人通知を定めています。個人情報保護法施行規則第7条では、要配慮個人情報、財産的被害のおそれ、不正の目的による行為、本人の数が1,000人を超える事態などを列挙しています。人数だけで判定せず、情報の性質と発生経路を照合してください。 出典: 個人情報保護法施行規則 第7条

受託した印刷会社が委託元へ通知する場合は、個人情報保護法第26条ただし書と施行規則第9条の扱いを確認します。誰が個人情報保護委員会へ報告するかは、委託関係と通知の状況で異なるため、案件ごとに委託元と確認することが必要です。

速報・確報・本人通知の担当を決める

報告が必要な場合、施行規則第8条は知った後速やかに、把握している概要、情報項目、本人の数、原因、二次被害のおそれ、本人対応、再発防止策などを報告すると定めています。確報は原則として知った日から30日以内で、不正の目的による行為に関する事態は60日以内です。初報で全項目を確定させようとせず、更新を担う担当者を置きます。 出典: 個人情報保護法施行規則 第8条

本人通知も、法第26条第2項と施行規則第10条に沿って、状況に応じて速やかに行う必要があります。委託元、法務・経営、現場、問い合わせ窓口の役割を分け、同じ説明を更新できる台帳を別管理で持つと、案内内容の食い違いを減らせます。

原因と是正措置を工程へ戻す

事故後は、誰かの注意不足だけで終わらせず、どの工程で案件、版、宛名、内容物の対応が崩れたかを確認します。原因が封入の切替なら、切替時の見本照合や資材の分離へ戻します。原因がデータ共有なら、保管場所、権限、送信前確認へ戻します。是正後の品質確認は、印刷のクレーム・刷り直しを減らす管理術も参考に、通常工程と事故記録を混同しない形で行います。

印刷HUBは、事故報告や個人データを保管する専用システムではありません。通常案件について顧客、受注、商品行、工程、原価を整理する用途と、機微な事故記録の保管先は分けて設計してください。

よくある質問（FAQ）

受託印刷会社も委員会へ直接報告しますか

受託印刷会社が必ず直接報告するとは限りません。個人情報保護法第26条第1項ただし書は、委託を受けた事業者が委託元へ規則に従って通知した場合の取扱いを定めています。施行規則第9条では、知った後速やかに第8条第1項の事項を通知することを定めています。委託元との契約、通知の内容、誰が報告主体となるかを確認し、個別事案は個人情報保護委員会の案内も確認してください。

何人分から報告対象になりますか

本人の数だけで報告対象を決めることはできません。個人情報保護法施行規則第7条は、要配慮個人情報、財産的被害のおそれ、不正の目的による行為、本人の数が1,000人を超える事態を報告対象事態として定めています。誤封入が少数でも、含まれる情報や取得経路によって確認すべき類型が変わります。対象者数、情報項目、発生状況を分けて委託元と確認しましょう。 出典: 個人情報保護法施行規則 第7条

速報と確報の期限はいつですか

個人情報保護法施行規則第8条では、報告対象事態を知った後、把握している事項を速やかに報告し、原則30日以内に報告すると定めています。不正の目的による行為に関する事態は60日以内です。発覚した日、停止した日、委託元へ通知した日を混同しないよう記録し、個人情報保護委員会の最新案内と委託元の手順で具体の対応を確認してください。 出典: 個人情報保護法施行規則 第8条

委託元への連絡前に原因を確定すべきですか

原因の確定を待ってから最初の連絡をする必要はありません。発送停止や隔離などの対応、現時点で確認できた情報項目・対象範囲、確認中の事項を分けて速やかに共有し、その後の確認で更新します。施行規則第8条第1項も、報告時点で把握している事項を対象にしています。連絡方法と更新担当は、契約と事故対応手順で事前に決めておくと混乱を抑えられます。

印刷会社の業務は「印刷HUB」でまとめてラクにできます

• 見積・再版：用紙・印刷・加工の積算と、版番号ごとの前回仕様・価格の保存
• 工程管理：プリプレス→印刷→加工→納品の進捗をボードで確認
• 原価・請求：案件ごとの粗利と、月次請求から入金の消し込みまで

印刷HUBについて詳しく見る→

まとめ

個人情報事故では、停止・保全・通知を同時に進めることが重要です。発送やデータ処理を止め、現物と記録を保全し、確認済み事実と未確認事項を分けて委託元へ知らせます。そのうえで、個人情報保護法第26条と施行規則第7条・第8条に照らして、報告・本人通知の要否を案件ごとに確認してください。

通常案件の顧客・受注・工程情報を整えたい印刷会社は、お問い合わせから印刷HUBへご相談ください。漏えい報告や機微な事故記録は、通常案件の情報とは別管理で扱います。