「社労夢」のエムケイシステム、ランサムウェア被害で個人情報漏洩の恐れ

　このなかで、エムケイシステムは「現時点で情報流出の事実は確認しておりませんが、流出の恐れの可能性を考慮し、6月8日に個人情報保護委員会への報告を完了しております」と説明しています。

　この個人情報保護委員会への報告義務は、エムケイシステムだけでなくサービスと利用していた社労士や、その社労士に従業員の個人情報管理を委託していた中小企業も対応する必要があるので注意が必要です。

利用・委託企業「マイナンバー漏洩の恐れ」

　讀賣テレビ放送やSTORES、東急ウェルネスなどエムケイシステムのサービスを利用していた、または利用していた社労士事務所に社保業務などを委託していた複数の企業が、自社サイトで相次ぎ従業員やアルバイトのマイナンバーを含む個人情報が漏洩したおそれがあると公表しています。

　一方のエムケイシステムは、東京新聞の報道に抗議するお知らせ文のなかで「当社がお客様からお預かりしているマイナンバーは、他の社労夢製品とは切り離した環境で完全に暗号化されており、流用や悪用はできない仕組みとなっております。当社においては、６月９日に発表している通り現時点では情報流出の事実は確認しておりません」と否定しています。

　ただし、この「完全に暗号化されている」仕組みについてエムケイシステムから詳細な説明はなく、利用企業などが対外的に説明している内容と矛盾が生じた状態となっています。

　7月19日に公表した調査結果報告でも「何らかのデータが攻撃者によって窃取された可能性は完全には否定できませんが、情報窃取及びデータの外部転送等に関する痕跡は確認されませんでした。また、現時点において、当社情報がダークウェブ等に掲載されていないか調査を実施してきましたが、当社情報の掲載や公開は確認されませんでした」と説明しています。

改正個人情報保護法で漏洩時に報告義務　罰則も

　個人情報保護法は2022年4月1日に改正され、これまで、努力義務とされていた漏洩等発生時の報告を、一定の場合に義務化するとともに、本人に対して通知を行うことを新たに義務付けました。

　具体的には、①質的に侵害のおそれが大きい類型（要配慮個人情報や財産的被害が発生しうるおそれがある個人データが漏えいするケース）と、②量的に侵害のおそれが大きい類型（漏えい等した個人データに係る本人の数が1000人を超えるようなケース）が報告等義務の対象となります。

　個人情報保護委員会への報告や本人通知を怠った場合には、勧告や命令を受ける可能性があり、命令に違反した場合には、企業名の公表や、罰則を受ける場合もあります。

• 2022年4月施行の改正個人情報保護法とは　改正点と企業に必要な対応

　今回のエムケイシステムのランサムウェア被害でも、個人情報漏洩のおそれがあるため、原則としてエムケイシステムだけでなく、クラウドサービスを利用していた社労士事務所や、社労士に業務委託していた中小企業も、個人情報保護委員会への報告や従業員などへの通知が必要になります。

　個人情報の保護に関する法律施行規則によると、次の項目を報告する必要があります。

1. 概要
2. 漏えい等が発生し、又は発生したおそれがある個人データの項目
3. 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
4. 原因
5. 二次被害又はそのおそれの有無及びその内容
6. 本人への対応の実施状況
7. 公表の実施状況
8. 再発防止のための措置
9. その他参考となる事項

　具体的には、個人情報保護委員会の公式サイトに対応窓口や報告用のフォームが掲載されています。

個人情報保護委員会「報告義務、免除されることはない」

　サービスを利用していた社労士によると、エムケイシステムから「サービス利用者である社労士事務所が報告義務を負わなくていいように個人情報保護委員会への働きかけをしている」との連絡があったといいます。

　エムケイシステムの見解の是非について、12日に個人情報保護委員会に確認したところ、個別の案件については回答できないとしたうえで、一般論として個人情報の保護に関する法律についてのガイドライン（通則編）をもとに「委託元が報告義務を免除されることはない」と回答しました。

3-5-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。 個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。
この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-5-3-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

個人情報の保護に関する法律についてのガイドライン（通則編）

　エムケイシステムは12日夜になってユーザー向けに「報告が免除される可能性」について完全に誤った認識だったとして混乱を招いたことを謝罪しました。

　中小企業が対応する場合は、上記ガイドラインの通り、一緒に対応できないか社労士と相談しながら進めるとよいでしょう。東京都社会保険労務士会はTwitterで、社労士に対し、顧問企業と連名で報告するときは、事前に連絡し、承諾を得るよう呼び掛けています。

本人への通知方法

　個人情報保護委員会の公式サイトによると、個人情報の漏洩に遭った（可能性のある）本人への通知方法として、速やかに、 概要、個人データの項目、原因などの内容を本人にとって分かりやすい方法で行うことを求めています。

　通知の方法の例として、文書の郵送や電子メールの送信を挙げていますが、本人への通知が困難な場合は、ホームページでの公表や、問合せ窓口の設置も案内しています。

• マルウェア感染や個人情報漏洩…サイバー攻撃による損害費用はいくら？