ランサムウェア被害が相次ぐ2026年、社員の個人情報が流出したときの企業の対応を社労士が解説

ランサムウェア被害の報道が続く2026年、見落とされがちなのが流出先に「自社の従業員情報」が含まれているという事実です。そして結論から言えば、従業員情報の流出は、顧客情報より報告の基準が厳しくなります。健康診断の結果が含まれていれば1人でも報告義務が生じ、マイナンバーなら100人超で対象です。顧客名簿の「1,000人超」とは基準が違います。今回は、2026年の実際の公表事例をもとに、人事データ特有のリスクと流出時の対応を解説します。

1. 2026年、ランサムウェア被害はどこまで深刻なのか？

被害報告は高水準が続き、被害企業の約6割が中小企業です。

警察庁サイバー警察局の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和7年のランサムウェア被害報告件数は226件で、高水準が続いています。注目すべきは内訳です。

「大企業が狙われる」という認識は正確ではありません。VPN機器の脆弱性を放置していれば、規模を問わず侵入されます。

2. 実際に、従業員情報はこう流出している

2026年に公表された事例では、給与・賞与や在留資格まで流出しています。

事例1：大手食品メーカー（2026年9月18日公表）

同社の「当社グループでのシステム障害発生について（第7報）」によれば、漏えいが確認された個人情報は3区分・合計53,866件。そのうち最も多かったのが従業員関連の43,709件でした。

• 対象：グループ従業員、2021年以降の退職者、その家族、求職者

• 情報の種類：氏名、生年月日、性別、住所、電話番号、メールアドレス、社員番号、給与・賞与情報、在留資格、所属・異動などの人事情報

• 対応：対象者へ順次個別通知。連絡先不明等で個別通知ができない場合は公表をもって通知に代えるとしています

• 個人情報保護委員会への報告：2026年9月11日に実施

注目すべきは、顧客（配送先3,308件）や取引先（6,849件）より、従業員情報の件数が圧倒的に多い点です。人事データは、退職者や家族、求職者まで含めると想定以上に膨らみます。

事例2：大手ホテルグループ（2026年9月公表）

外部接続機器を経由した不正アクセスにより一部サーバーが暗号化され、社内管理用サーバーに保存されていた一部従業員の個人情報が対象となりました。情報窃取を示す明確な痕跡は確認されていないとしつつ、対象者へ個別通知を行っています。退職者についても、漏えいの可能性を完全には否定できないとして案内を出しています。

この事例が示すのは、「流出が確認できなくても、否定もできない」という状態でも通知対応が必要になるという実務上の重さです。

3. なぜ従業員情報のほうが報告基準が厳しいのか？

要配慮個人情報とマイナンバーが含まれるからです。

個人情報保護法第26条第1項および施行規則第7条により、個人情報保護委員会への報告が義務となるのは次の4類型です。

さらにマイナンバー（特定個人情報）は、番号法第29条の4第1項および同規則第2条により、100人超の漏えいで報告対象となります。通常の個人データの1,000人超より基準が低いことに注意が必要です。

報告期限は、速報が「速やかに」（おおむね3〜5日以内）、確報が原則30日以内です。ただし③の不正の目的によるおそれがある場合は60日以内となります（施行規則第8条）。ランサムウェア被害は③に該当するのが通常ですので、実務上は60日以内の確報を想定することになります。

4. 社労士と経営者の会話

経営者「先週、取引先がランサムウェアの被害に遭ったと聞きました。うちは顧客情報をほとんど持っていないので、そこまで慌てなくていいかと思っているのですが」

社労士「顧客情報はそうかもしれません。ですが、従業員の健康診断結果はどこに保存されていますか」

経営者「総務のサーバーに、PDFで年度ごとにまとめてあります」

社労士「それが要配慮個人情報です。健診結果が1人分でも流出すれば、個人情報保護委員会への報告義務が生じます。1,000人という基準は関係ありません」

経営者「1人でも、ですか」

社労士「はい。ストレスチェックの結果、傷病手当金の申請で預かった診断書、障害者雇用に関する書類——人事部門が持っている情報は、要配慮個人情報の宝庫です」

経営者「マイナンバーも保管していますが、これはどうでしょう」

社労士「マイナンバーは番号法の対象で、100人を超えれば報告義務です。従業員100人の会社なら、全員分が入ったファイルが1つ流出すれば基準に達します」

経営者「……対象になる確率がかなり高いということですね。ところで、10年前に辞めた社員のデータもまだ残っていると思うのですが」

社労士「それが2つ目の問題です。法令上の保存義務が切れたデータを持ち続けると、流出時の対象者数だけが増えます。賃金台帳や労働者名簿の保存義務は、労働基準法第109条で定められていますが、保存期間が過ぎたものは廃棄のルールを決めておく必要があります」

経営者「捨てていいものか、判断がつかず残していました」

社労士「気持ちは分かりますが、ニチレイの事例では退職者や求職者の情報まで対象になっています。採用で不採用になった方の履歴書が残っていれば、それも流出対象です」

経営者「給与計算は外部に委託しているのですが、委託先が被害に遭った場合はどうなりますか」

社労士「報告義務は委託元である御社に残ります。個人情報保護法第25条で、委託先の監督義務が定められています。委託先のセキュリティ体制と、事故時の連絡ルールを契約で確認しておいてください」

5. 流出が疑われたときの5ステップ

初動の順序を間違えると、報告期限に間に合いません。

1. 被害範囲の特定（当日〜3日）——どのサーバーに、どの従業員の、どの情報が保存されていたかを洗い出します。要配慮個人情報とマイナンバーの有無を最優先で確認します

2. 個人情報保護委員会への速報（3〜5日以内）——確定していなくても、分かっている範囲で報告します。マイナンバーを含む場合は番号法に基づく報告も必要です

3. 従業員・退職者への通知——本人通知も義務です（法第26条第2項）。退職者は連絡先が古くなっているため、通知手段の確保が最大の実務課題になります

4. 問い合わせ窓口の設置——従業員からの質問が人事担当者個人に集中すると業務が止まります。窓口と回答範囲を事前に決めておきます

5. 確報（原則30日以内／不正の目的によるおそれがある場合は60日以内）——原因、再発防止策まで含めて報告します

6. 平時の備え——人事データ特有の3点

セキュリティ対策とは別に、労務管理の側でできることがあります。

• 保有期間のルール化——労働基準法第109条の記録保存義務を確認し、期間経過後の廃棄基準を定めます。不採用者の応募書類は、返却または廃棄の時期を募集要項に明記するのが有効です

• アクセス権限の限定——健診結果やストレスチェックは、産業保健スタッフと必要最小限の担当者のみがアクセスできる状態にします。総務の共有フォルダに全員が読める形で置くのは危険です

• 委託先の棚卸し——給与計算、健診機関、社会保険手続、採用管理システム。それぞれの契約に、再委託の可否、事故時の通知義務、安全管理措置が定められているかを確認します

よくある質問（FAQ）

Q. 情報が流出したか確認できない場合も報告が必要ですか。 A. 必要です。個人情報保護法は漏えいの「おそれ」も報告対象としています。暗号化されたサーバーに個人データが保存されていた場合、窃取の痕跡がなくても報告を検討すべきです。

Q. 従業員への通知は、全員に行う必要がありますか。 A. 漏えい等が発生した本人への通知が義務です。対象が特定できない段階では、まず公表と窓口設置で対応し、特定後に個別通知を行う運用が一般的です。

Q. 従業員から損害賠償を請求される可能性はありますか。 A. あります。安全管理措置が不十分だった場合、プライバシー侵害を理由とする損害賠償請求が認められる余地があります。過去の情報漏えい事案では、1人あたり数千円から数万円規模の賠償が認められた例があります。

Q. 給与計算を委託している社労士事務所が被害に遭った場合、会社の責任はどうなりますか。 A. 委託元として委託先の監督義務（個人情報保護法第25条）を負います。報告義務も原則として委託元に生じますので、委託先からの迅速な情報提供が受けられる契約になっているか確認してください。

まとめ

ランサムウェア対策は情報システムの課題と捉えられがちですが、流出するデータの大半は人事部門が持っている情報です。従業員情報には要配慮個人情報とマイナンバーが含まれるため、顧客情報より報告基準が厳しくなります。まずは①健診結果・ストレスチェックの保存場所とアクセス権限、②退職者・不採用者データの保有状況、③委託先との契約内容——この3点を確認してください。人事データの保有ルールや委託先管理について不安がある場合は、社会保険労務士にご相談ください。