【2026年10月】個人情報保護委員会が漏えい対策を注意喚起｜賃貸管理で見直す点

個人情報保護委員会は2026年10月7日、不正アクセスによる大規模な個人データの漏えいが相次いでいることを受け、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。10月9日には内閣官房国家サイバー統括室も事業者向けの注意喚起を出し、日本賃貸住宅管理協会は10月13日と16日に、国土交通省からの周知依頼としてこれらを会員向けに掲載しています（個人情報保護委員会の公表ページ）。新しい法律上の義務ができたわけではありませんが、入居者・申込者・オーナーの個人データを大量に持つ賃貸管理会社にとっては、安全管理措置と保有データを見直す区切りになります。本稿は、公表された中身、日付の表、実務で見直す5つ、よくある質問を整理します。

結論

• 2026年10月7日、個人情報保護委員会が注意喚起を公表しました。求めているのは、リスクに応じた安全管理措置、技術的安全管理措置の確認、不要になった個人データの消去、参考資料「WARNING」（同日改訂）の活用の4点です。
• 2026年10月9日、国家サイバー統括室も注意喚起を出しました。ウェブシステムの管理、委託先（サプライチェーン）対策、データの管理、経営層の関与を求めています。
• 賃貸管理業界には、日本賃貸住宅管理協会を通じて周知されています。10月16日の掲載では、サイバー攻撃の被害を受けた場合は国土交通省等へ速やかに情報を共有するよう求めています。
• 新しい義務ではありません。個人情報保護法の安全管理措置（第23条）や漏えい等報告（第26条）は以前からの義務です。注意喚起の別紙は、委員会が見直し中のガイドラインの内容を一部先取りしたもので、内容の確定は2027年4月の予定です。

発表の中身

個人情報保護委員会の注意喚起（10月7日）

個人情報保護委員会は第371回委員会（2026年10月7日）で、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」と、参考資料「WARNING 不正アクセスによる個人データ漏えい防止のための注意喚起」の改訂を議題にし、同日公表しました。背景として、大量の個人情報を扱う事業者が外部から不正アクセスを受け、個人データの漏えい等が生じた事案を挙げています。とくに、利用者が多いサービスの事業者や、機微性の高い情報、財産的被害や詐欺に使われうる情報を持つ事業者に対応を求めています。

要請は次の4点です。

1. ガイドライン（通則編）の安全管理措置のうち「講じなければならない措置」と「手法の例示」を区別し、漏えい時の本人への影響の大きさや事業規模に応じて手法を決めること。手法の例示は、すべてを講じることが求められるものではないと明記されています。
2. 外部からの不正アクセスでは主に技術的安全管理措置が問題になるため、別紙の措置を確認し、組織的・人的・物理的な措置とあわせて整えること。
3. 利用目的を達成したなどで保有する理由がなくなった個人データは、法第22条にもとづき遅滞なく消去するよう努めること（法令で保存期間が定められている場合を除く）。保有データの必要性を、法令等の根拠とともに確認すること。
4. 参考資料「WARNING」を活用すること。

別紙の技術的安全管理措置は、アクセス制御、アクセス者の識別と認証（多要素認証の導入を含む）、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止（通信の暗号化、クラウド上のデータを復元できない方法で消去することなど）、不正アクセス等の検知等（ログの保管と分析、IDS/IPSやEDRによる監視、被害拡大の防止など）の5項目です。注意喚起は、2026年9月16日の第369回委員会で決めたガイドラインの見直しについて、内容の確定を「来年4月」（2027年4月）の予定とし、その一部を先取りして示したものだとしています。

国家サイバー統括室の注意喚起（10月9日）

内閣官房国家サイバー統括室は2026年10月9日、「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表しました。ウェブシステムの脆弱性の悪用、サプライチェーンを経由した侵害、データ管理の不備によって情報が盗まれる事案が複数確認されているとし、「いつ攻撃を受けてもおかしくない」という前提に立つよう求めています。対策は、脆弱性管理と多要素認証などのアカウント管理、委託先のセキュリティ状況の把握と委託契約での報告義務の明確化、保有情報の棚卸しと最小化・暗号化・ログ監視、経営層による取組み、被害を受けた組織による速やかな情報共有の4つの柱です。10月14日には、同室のページに個人情報保護委員会・金融庁・総務省・経済産業省・IPAなど各機関の注意喚起がまとめて掲載されました。

賃貸管理業界への周知（10月13日・16日）

日本賃貸住宅管理協会は、10月13日に「大規模な漏えい等事案を踏まえた対応について」を、国土交通省と個人情報保護委員会からの周知協力の依頼として会員向けに掲載しました。10月16日には国家サイバー統括室の注意喚起を国土交通省からの案内として掲載し、被害を受けた場合は国土交通省等へ速やかに情報を共有するよう求めています。

日付と対象の表

賃貸管理の実務で何をするか

1. 保有している個人データを棚卸しする

入居申込書と本人確認書類の写し、審査で不成立になった申込者の情報、退去済みの入居者、解約したオーナー、連帯保証人の情報が、どのシステム・フォルダ・メールボックスに、いつから残っているかを一覧にします。注意喚起が求めているのは、それぞれについて「なぜ持っているか」を法令等の根拠とともに確認することです。宅建業法の帳簿のように法令で保存期間が決まっているものは残し、それ以外で目的を終えたものは消去の対象にします。

2. 管理システム・メール・クラウドストレージに多要素認証を入れる

社外からのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスは、別紙で多要素認証の導入が例示されている場面です。あわせて、退職者・異動者・使っていないアカウントを止め、管理者権限を持つ人を必要な人数に絞ります。

3. 委託先と共有しているデータを確かめる

家賃保証会社、管理システムやクラウドの事業者、コールセンター、修繕業者などに渡している個人データが、必要な範囲に収まっているか、業務が終わったあと委託先で削除されているかを確認します。国家サイバー統括室は、委託契約に漏えい時の報告義務を定めることも求めています。

4. 漏えい時の報告の手順を書いておく

不正アクセスやランサムウェアなど、不正の目的によるおそれがある漏えいは、本人の数にかかわらず個人情報保護委員会への報告の対象です。誰が判断し、誰が報告し、オーナーと入居者へどう連絡するかを1枚にまとめ、国土交通省等への情報共有の窓口も書き添えます。

5. 申込書類の受け渡し経路を見直す

本人確認書類や収入証明をメール添付で受け取り、そのまま個人の受信箱に残していないかを確認します。保存場所を決めて、アクセスできる人とログを管理できる経路にまとめることは、別紙のアクセス制御と検知の項目にあたります。

よくある質問

Q1. この注意喚起で、新しい義務ができたのですか。

いいえ。安全管理措置（法第23条）、委託先の監督（法第25条）、漏えい等報告（法第26条）は、以前からの義務です。注意喚起は、その義務を果たすための手法を具体的に示したものです。手法の例示は、すべてを講じることが求められるものではないと書かれています。

Q2. 管理戸数が少ない会社も対象ですか。

個人情報データベース等を事業に使っていれば、規模にかかわらず個人情報取扱事業者として安全管理措置の義務があります。注意喚起は、具体的な手法は事業規模や取扱状況などのリスクに応じて決めるべきだとしています。

Q3. 漏えいしたのが数人分でも、報告が必要ですか。

不正アクセスなど不正の目的で行われたおそれがある漏えい等は、人数にかかわらず報告の対象です。人数で報告の対象になるのは、1,000人を超える場合です。

Q4. ガイドラインはいつ、どう変わりますか。

注意喚起では、見直しの内容の確定は2027年4月の予定とされています。別紙はその一部を先取りしたもので、最終的な内容はまだ決まっていません。

この記事は 2026-10-19 時点の情報です。

出典（本文で参照している資料）

• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
• 同 第371回個人情報保護委員会 資料1（注意喚起本文・別紙）
• 第371回個人情報保護委員会（2026年10月7日）議題・資料
• 個人情報保護委員会「漏えい等の対応」（報告の対象と期限）
• 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
• 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について」（2026年10月14日）
• 日本賃貸住宅管理協会「【国土交通省】大規模な漏えい等事案を踏まえた対応について」（2026年10月13日）
• 日本賃貸住宅管理協会「【国土交通省】不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月16日）

「実務で何をするか」の5項目は、上記の資料にもとづく本稿の整理であり、資料そのものの記載ではありません。