「自分の情報は自分で守って」とデジタル相　流出の責任は個人に移ったのか

約11分で読める

一次資料の最終確認 2026年10月28日

NOISEよくある受け取り方

SIGNAL答え

漏れないように守る義務は法律で今も会社にあり、大臣が求めた3つの対策は漏れた後の悪用への備えだ。意見が分かれているのは、安全管理を怠った会社への国の罰が今のままで足りるかどうかだ。

範囲個人情報保護法の上で、流出を防ぐ義務と罰が誰に向くか。10月の各社が義務を怠ったか、損害賠償の額は扱わない

根拠を見る↓出典↓訂正・更新↓答えをコピー

10月は大きな情報流出の発表が続いた。15日には、ソースネクストが最大2,251万件の顧客情報が流出した可能性があると発表した。その前の6日、古川俊治デジタル相は会見で国民に3つの対策を求め、「自分の情報は自分で守る」という意識を持ってほしいと呼びかけた。時事通信はこの言葉を見出しにした。週刊女性PRIMEは、「各企業が守れないのに、個人で守れるの？」という声が相次いだと伝えた。

この発言をめぐっては、2つの問いが混ざっている。「個人も対策をしたほうがいいか」と「漏れないように守る責任は誰にあるか」だ。1つ目については、大臣の発言を批判した週刊女性PRIMEの記事も、3つの対策そのものは否定していない。2つ目は、法律の条文で答えが決まる。この記事で「責任」と言うときは、情報が漏れないように守る義務を指す。漏れた後の損害を誰が負うかは、最後の見出しで触れる。

答えを先に書くと、流出の責任は個人に移っていない。漏れないように守る義務は、法律では会社にある。大臣が求めた3つの対策は、漏れた後に悪用されないための備えだ。最初に国民にだけ呼びかけた順番への批判には根拠があるが、制度の上で意見が本当に分かれているのは、安全管理を怠った会社への国の罰が、今のままで足りるかどうかだ。ここからは、大臣の発言、法律、3つの対策、意見が分かれる所を、順に見ていく。

大臣が最初に呼びかけた相手は国民だけだった

6日の会見の冒頭で⁠（注1）、大臣はまず、漏れた情報がなりすましや不正送金、詐欺などに使われるおそれがあると述べた。大臣はこれを二次被害と呼んだ。続けて国民向けの3つの対策を挙げ、「多くの被害は防ぐことができます」と話した。不正アクセスの話はそこで終わり、会社への要請は入っていなかった。冒頭だけを聞けば、責任が個人に移ったように聞こえる。批判する側の受け取り方には、この点で根拠がある。

大臣が会社に触れたのは、その後の質疑だった。記者に会社への対応を聞かれ、「企業の皆さん、そして個人の皆さん」に基本的な対策を徹底してほしいと答えた。3日後の9日には、6日の呼びかけは「まずは二次被害を防止する観点から」国民に向けたものだと説明した。そのうえで会社には、仕事を任せている外の会社（委託先）も含めて、対策を強めるよう要請する予定だと述べた。

大臣は6日の冒頭では会社に対策を求めず、その後の質疑で求め、9日に会社への要請を表明した。

では、法律では誰が守ることになっているのか。

漏れないように守る義務は、法律では会社にある

個人情報保護法の23条は、会社がデータベースなどで管理している個人の情報（個人データ）について、漏れるのを防ぐなど、安全に管理するための手を打つよう会社に義務づけている。これを安全管理措置と呼ぶ。25条は会社に、委託先を監督するよう義務づけている。一方で、本人に自分の情報を守るよう義務づける条文は、この法律には無い。法律が本人に与えているのは、会社に自分の情報の利用の停止や消去などを求める権利だ⁠（注2）。

守る義務が会社にあるという点では、大臣を批判する記事も国の機関も同じことを言っている。週刊女性PRIMEの記事に出てくるITジャーナリストは、「安全管理措置を講じる義務があるのは“事業者”」と話す。この法律を受け持つ国の機関である個人情報保護委員会も、7日に会社へ安全管理措置を求めた。9日には、政府のサイバー対策で関係省庁の中心になる国家サイバー統括室も、会社に対策を強めるよう求めた。委員会は、会社が守りの手を考えるときの参考に示している対策の例も見直していて、2027年4月に確定させる予定だ。

漏れないように守る義務は会社にあり、大臣の発言でこの義務は変わらない。

では、大臣が国民に求めた3つの対策は何のためか。

3つの対策が防ぐのは、漏れた後の悪用だ

大臣が挙げた3つは、次のとおりだ。

• パスワードの使い回しをやめる
• 多要素認証を使う
• 不審なメールや、携帯電話のショートメッセージ（SMS）に注意する

多要素認証は、パスワードに加えて、スマートフォンでの確認や、1回だけ使えるパスワード（ワンタイムパスワード）など、性質の違う複数の要素を組み合わせて本人かどうかを確かめるしくみだ。大臣もこの2つを例に挙げた。

パスワードの使い回しをやめ、多要素認証を使えば、1つのサービスから漏れたログイン用のIDとパスワードで別のサービスに入られるのを防げる。不審なメールやSMSに注意すれば、企業や役所を装ったメッセージでIDやパスワードを盗まれるのを防げる。

個人の3つの対策は、漏れたり盗まれたりしたIDやパスワードの悪用を防ぐためのものだ。

ただし、この3つでは防げないものがある。大臣を批判する記事も、国の機関も、そのことを認めている。週刊女性PRIMEは、対策をすべてやってもシステムに不正アクセスされたら守れない、という声を伝えた。国家サイバー統括室も会社向けの文書で、侵入を完全に防ぐのは難しいと書いている。

ニュースサイトの innovatopia の解説記事は、会社や委託先のシステムから漏れること自体は、利用者の対策だけでは防げないと書く。カード番号や運転免許証の情報は、パスワードを変えても守れない。多要素認証も、会社が用意したサービスでしか選べない。大臣自身も、利用者が自分で設定できるサービスに限って勧めていた。

個人にできることは、もう1つある。国への報告が必要な流出で、会社から通知が来たら、本人はその会社に、自分の情報の利用の停止や消去を求められる⁠（注3）。

大臣の発言や報道の言い方を、項目ごとに確かめた。「根拠が足りない」は、そう言える根拠が資料に無いという判定だ。

では、守れなかった会社はどうなるのか。

意見が分かれるのは、安全管理を怠った会社への罰だ

分かれているのは、安全管理を怠って情報を漏らした会社への国の監督と罰が、今のままで足りるかどうかだ。

今の国の監督は、指導、勧告、命令の順に重くなる。会社が命令に背けば、1億円以下の罰金が科される。7月に成立した改正法で、遅くとも2028年7月までに導入される課徴金（違反で得た利益などに応じて国が納めさせるお金）も、安全管理を怠って情報を漏らした会社には科されない。個人情報保護法には、本人が損害の賠償を求める決まりは無い。賠償を求めるなら、本人が会社に民事で請求することになる⁠（注4）。

この問いへの考え方は、2つに分かれる。

批判する側は、足りないと見る。週刊女性PRIMEのITジャーナリストは、漏らした企業への罰を厳しくすべきだと話す。しんぶん赤旗（6月25日）によると、共産党の大門実紀史議員は国会で、審議中だった改正案が安全管理を怠った会社を課徴金の対象から外したことを追及した。対象から外せば、安全管理に費用をかけない会社が出る、という言い分だ。

個人情報保護委員会の側は、課徴金を安全管理を怠った会社にまでは広げなかった。委員会の検討会では、安全管理を怠った場合は、そもそももうけにつながりにくいという意見が出ていた。課徴金は、もうけのために違反する会社を止めるための仕組みで、対象は、個人情報を悪用したり外に渡したりして大きな利益を得る会社に絞った。安全管理を怠った会社には、報告を受けた事案を調べ、指導などで改善を促している。

ただ、委員会自身も、勧告や命令だけでは、もうけのために違反する会社を止める力が弱いと認めている。違反をやめれば、得た利益をそのまま持っていられるからだ。本人が個人で賠償を求めるには、時間や費用の面で限界があるとも書く。検討会の2024年の報告書には、安全管理を怠るのは本来払うべき費用を削ったことで、そこにもうける動機があるという逆の考え方も載っていた。報告書は安全管理の違反も課徴金の対象にする案を示していたが、この案は2026年1月の方針に入らなかった⁠（注5）。

大臣は6日・9日・23日の会見で、守る義務が会社にあるとも、罰が足りるかとも述べていない。6日の質疑で、各社の調査の結果を見て適切に判断すると述べたのが、いちばん近い発言だ。

罰が足りるかを確かめるには、2つのことが分かる必要がある。1つは、10月に情報が流出した各社が、本当に安全管理を怠っていたかだ。各社と委員会の調査は結果待ちだ。侵入を完全に防ぐのは難しく、情報が漏れた会社が必ず安全管理を怠っていたとは言えない。もう1つは、指導が中心の今の仕組みで、会社の対策が良くなっているかだ。これには、勧告や命令の件数と、その後の再発の件数が必要だ。どちらも、今回確かめた資料では分からない。

責任が個人に移っていないことは条文で確かめられるが、罰が足りるかは、各社の調査の結果と今の仕組みの効き目が分かるまで決まらない。

注

1. 注1大臣の言い方は「『自分の情報は自分で守る』この意識を持って」（デジタル庁の会見要旨、10月6日）。時事通信の見出しは「不正アクセス頻発『自分の情報は自分で守って』　古川デジタル相」（10月6日）で、「守って」は見出しで縮めた形。週刊女性PRIME（10月7日）が紹介した声は《各企業が守れないのに、個人で守れるの?国は守らないの?》。ソースネクストの件数は「流出した可能性がある顧客情報は2,251万9,960件」（Impress Watch、10月15日）。
2. 注2個人情報保護法23条は「個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を、25条は委託先に対する「必要かつ適切な監督」を、会社（個人情報取扱事業者）に義務づける。24条は従業者の監督。義務を負う「個人情報取扱事業者」は「個人情報データベース等を事業の用に供している者」（16条2項。国の機関などを除く）で、会社に限らず、個人で商売をしている人も入る。本文では「会社」と書く。行政機関にも同じ形の安全管理の義務がある（66条）。
3. 注335条5項の利用停止・消去の請求は、会社が国に報告し本人に知らせなければならない事態（26条1項本文の事態）が起きた場合に使える。会社は報告の対象になる事態を知ったら速やかに国に報告し、確報は30日以内（不正の目的で行われたおそれがある事態は60日以内）に出す（施行規則8条）。
4. 注4今の法律の手順は、指導・助言（147条）、勧告（148条1項）、命令（148条2項・3項）。命令に背けば1年以下の拘禁刑か100万円以下の罰金（178条）、法人は1億円以下の罰金（184条）。改正法の課徴金（148条の3）の対象は、個人情報の不適正な利用、不正な取得、違法な第三者提供、統計の特例の違反の4つで、安全管理措置（23条）の違反は入っていない。課徴金の規定の施行は、公布（2026年7月17日）から2年以内の政令で定める日。本人が取れる手段について、委員会の改正法の説明資料（p.18）は「民事上の請求」と書き、「個人による請求に限界（時間、費用等）、事後的な被害回復は困難」とする。同じ資料は、勧告・命令について「勧告・命令を受けて違反行為を中止すれば経済的利得の保持が可能」「違反行為への抑止としては限定的」と書く。
5. 注5個人情報保護委員会「個人情報保護法のいわゆる3年ごと見直しに関する検討会 報告書」（2024年12月25日）p.12・p.21、p.20〜22（安全管理措置の違反を対象にする案は議論の整理として示したもので、結論ではない）。課徴金の対象は、2026年1月9日の「個人情報保護法 いわゆる３年ごと見直しの制度改正方針」の注４で4つに絞られた。委員会は10月7日の注意喚起で、報告を受けた事案について「必要に応じて指導等の権限行使等を行う」と書く。

出典

一次資料12件・報道2件

• デジタル庁「古川大臣記者会見（令和8年10月6日）」 一次資料

  照合した記述確認済み題名「「自分の情報は自分で守って」とデジタル相」該当箇所：会見 発言要旨 第3段落この資料と照合した記述は、ほかに4件（一覧は「根拠を見る」の欄）。

• デジタル庁「古川大臣記者会見（令和8年10月9日）」 一次資料

  照合した記述確認済み「3日後の9日には、6日の呼びかけは「まずは二次被害を防止する観点から」国民に向けたものだと説明した。そのうえで会社には、仕事を…」該当箇所：発言要旨 第10〜第12段落

• デジタル庁「古川大臣記者会見（令和8年10月23日）」 一次資料
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日） 一次資料
• 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日） 一次資料

  照合した記述確認済み「国家サイバー統括室も会社向けの文書で、侵入を完全に防ぐのは難しいと書いている。」該当箇所：p.2「（３）レジリエンスの向上」

• 個人情報の保護に関する法律（e‑Gov 法令検索） 一次資料
• 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」（2026年7月17日公布） 一次資料
• 個人情報保護委員会「改正個人情報保護法について」（説明資料） 一次資料
• 個人情報保護委員会「個人情報保護法のいわゆる3年ごと見直しに関する検討会　報告書」（2024年12月25日） 一次資料
• 個人情報の保護に関する法律施行規則（e‑Gov 法令検索） 一次資料
• 個人情報保護委員会「個人情報保護法　いわゆる３年ごと見直しの制度改正方針」（2026年1月9日） 一次資料

  本文に戻る↑

  照合した記述確認済み注5「課徴金の対象は、2026年1月9日の「個人情報保護法 いわゆる３年ごと見直しの制度改正方針」の注４で4つに絞られた。」該当箇所：p.3 注４

• 週刊女性PRIME「古川俊治デジタル相⁠『自分の情報は自分で守る』未曽有の“情報漏洩”に国民への呼びかけが波紋《国は守らないの？》疑問の声」（2026年10月7日）

  本文に戻る↑

  照合した記述未確認「週刊女性PRIMEは、「各企業が守れないのに、個人で守れるの？」という声が相次いだと伝えた。」該当箇所：1ページ目 終わりの段この資料と照合した記述は、ほかに1件（一覧は「根拠を見る」の欄）。

• innovatopia「デジタル相が『自分の情報は自分で守って』と呼びかけ、個人にできる対策と限界」（2026年10月7日）

  照合した記述未確認「ニュースサイトの innovatopia の解説記事は、会社や委託先のシステムから漏れること自体は、利用者の対策だけでは防げな…」

• しんぶん赤旗（2026年6月25日） 一次資料
• 時事通信「不正アクセス頻発⁠『自分の情報は自分で守って』　古川デジタル相」（2026年10月6日。見出しと冒頭はアゴラ 2026年10月10日の記事に載ったものを確かめた） 報道

  照合した記述確認済み題名「「自分の情報は自分で守って」とデジタル相」該当箇所：アゴラの記事 時事ドットコムの⁠投稿の引用この資料と照合した記述は、ほかに1件（一覧は「根拠を見る」の欄）。

• Impress Watch「ソースネクスト、最大2251万件の情報流出　パスワード再設定を」（2026年10月15日） 報道

  本文に戻る↑

  照合した記述未確認「15日には、ソースネクストが最大2,251万件の顧客情報が流出した可能性があると発表した。」該当箇所：第1段落

一次資料のライブラリ 「暮らしの法律と手続き」の資料をまとめて見る →

記事番号 2026-10-28-01　誤りの指摘と訂正の記録

Google 検索で Instr Signal を優先する →Google 検索の「トップニュース」に、このサイトの記事が出やすくなります。