個人情報保護委員会の注意喚起｜不動産会社が今日見る3点

回答: 2026年10月、個人情報保護委員会の注意喚起が警察庁・国土交通省を経由して宅地建物取引業者にも周知されました。注意喚起そのものが新しい法的義務を設けるものではありません。 ただし、あわせて示された「見直し後の技術的安全管理措置」では、現行ガイドラインの(1)〜(4)に (5) 不正アクセス等の検知等 が「講じなければならない措置」として加わっています。確定は2027年4月が予定されており、今回はその内容が先取りして公開されています。2027年4月は見直し内容の確定の予定であって、例示された対策に一律の実施期限が設けられたわけではありません。 あわせて「不要になった個人データを消す」という、見落とされやすい論点も改めて示されました。この記事は、PCやクラウドサービスで顧客の個人データを扱う不動産会社に向けて、権限・認証・不要データの確認点を整理します。

この記事でわかること

• 2026年10月に何が公表され、どの経路で不動産業界に降りてきたのか
• どこが「講じなければならない措置」で、どこが「手法の例示」なのか（ここを取り違えないこと）
• 技術的安全管理措置の5項目を、不動産会社の顧客台帳に当てて読む方法
• 見落としやすい「消していないデータ」の扱い
• 「うちは小さいから」で片付けられない理由

2026年10月、何が公表されて、どう伝わってきたのか

答え: 個人情報保護委員会が2026年10月7日に注意喚起を公表し、その後、警察庁と国土交通省それぞれの経路で各業界へ周知され、不動産業界では全国宅地建物取引業協会連合会（全宅連）が2026年10月28日に会員向けのお知らせとして掲載しました。

日付で並べると次のようになります。

日付	誰が	何を
令和8年（2026年）10月7日	個人情報保護委員会	「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表。あわせて「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」を改訂
令和8年10月9日	同	注意喚起の解説動画を追加
2026年10月28日	全宅連	国土交通省からの周知依頼分と、警察庁からの注意喚起分を、それぞれ会員向けに掲載

一次情報は委員会のページで読めます。

• 大規模な漏えい等事案を踏まえた対応について（注意喚起）（個人情報保護委員会）
• WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜（令和6年12月11日、令和8年10月7日改訂）（個人情報保護委員会・PDF）
• 【国土交通省】大規模な漏えい事案を踏まえた対応について（全宅連）
• 【警察庁】大規模な漏えい等事案を踏まえた対応について（全宅連）

注意喚起の本文は、宛先を「個人情報取扱事業者の皆様へ」としたうえで、特に次のような事業者に向けて書かれています。国民の多くが利用する事業における業界内で高いシェアを有するサービス、または顧客が事業者を指定し難いサービスを提供することで大量の個人情報を保有している事業者、機微性の高い個人情報・財産的被害につながるおそれのある個人情報・詐欺などに利用されるおそれのある個人情報を保有している事業者、その他、漏えい等が生じた場合に国民の権利利益の侵害の蓋然性が高い個人情報を保有する事業者です。

ここは正確に読んでおきたいところです。「不動産会社は全部この対象です」とは書かれていません。 ただし、業界団体を通じて会員に周知されたという事実があり、不動産会社が扱う情報には氏名・連絡先に加えて、住宅ローンの相談であれば勤務先や年収、借入の状況といった、漏れたときの影響が小さくない情報が含まれることがあります。対象に当たるかどうかの議論に時間を使うより、示された中身を自社に当てて読むほうが早いと思います。

「講じなければならない措置」と「手法の例示」を分けて読む

答え: 注意喚起そのものは法令ではなく、これだけで新しい法的義務が生まれるわけではありません。ただし、見直しの対象は別添の「手法の例示」だけではありません。別紙の「見直し後の技術的安全管理措置」では、現行の(1)〜(4)に加えて (5) 不正アクセス等の検知等が「講じなければならない措置」として置かれています。

注意喚起の構成はこうなっています。

1. 安全管理措置の全体像
2. 今後の見直し予定と、現時点における見直し後の技術的安全管理措置の内容
3. 不要となった個人データの消去
4. その他ご参考（WARNING）

2について、本文は「見直しの内容の確定は、来年4月を予定していますが、近時の動向を踏まえて、『手法の例示』として、より参考になると考えられるため、見直し予定の内容を先取りする形でお示しします」と書いています（令和8年9月16日の第369回個人情報保護委員会で決議された方針にもとづくものです）。

そしてガイドライン別添の性格について、本文はこう整理しています。別添は「講じなければならない措置」と、それを実践するための「手法の例示」で構成されており、前者に従わなかった場合は法違反と判断される可能性があるが、後者は文字どおり例を示したものであって、必ずしも例示の内容の全てを講じなければ法違反と判断されるというものではなく、また、適切な手法は例示の内容に限られない、という書き方です。

ここで注意したいのは、見直しの対象が「手法の例示」だけに限られていない点です。注意喚起の本文は「ガイドライン（通則編）別添の『手法の例示』等については、現代化を含めた見直しを予定しています」と書いており、別紙の見出しも「現時点における見直し後の技術的安全管理措置の内容」です。実際、現行のガイドライン（通則編）の10-6は(1)〜(4)の4項目で、不正アクセスの検知は(3)の「手法の例示」の中の一文として置かれているだけですが、別紙では(5)が独立した項目になっています。しかも置かれているのは「講じなければならない措置」の側、つまり従わなかった場合に法違反と判断される可能性がある側です。

ここを「2027年4月から多要素認証が義務化される」と読むのは行き過ぎです。一方で、「例示にすぎないから関係ない」も違います。例示は、委員会がどのあたりを参考にしてほしいと考えているかを示すものです。先に見えているなら、先に見ておけばいいという話だと思います。

技術的安全管理措置の5項目を、顧客台帳に当てて読む

答え: 別紙では技術的安全管理措置が5つに整理されています。(1) アクセス制御 (2) アクセス者の識別と認証 (3) 外部からの不正アクセス等の防止 (4) 情報システムの使用に伴う漏えい等の防止 (5) 不正アクセス等の検知等です。(5)は現行の別添にはなく、今回の見直し案で独立した項目になったところです。この5つの順番で、自社の顧客台帳まわりを見ていくのが手早い方法です。

例示のうち、不動産会社の実務で引っかかりやすいものを抜き出すと次のようになります。

項目	例示にある内容（抜粋）	自社で見るところ
(1) アクセス制御	個人データを取り扱う情報システムを限定する。ユーザーIDに付与するアクセス権限を最小化する。特権アカウントを割り当てる従業者・端末・場面を最小限にする。組織体制に変更が生じた場合（人事異動、従業者の退職等）にアクセス権限の変更を適切に行う。アクセス権限について定期的に監査するなど、棚卸しを行う	顧客情報が入っているのはどのシステムか。全店舗・全顧客を見られる人は何人いるか。先月の異動と退職は権限に反映されているか
(2) アクセス者の識別と認証	同一のユーザーID・パスワードの使い回しの原則禁止、類似パスワードの使い回しの制限、最低パスワード文字数の設定、一定回数以上ログインに失敗したIDの停止。組織外ネットワークからのアクセスや、管理者権限でのアクセス、重要な個人データへのアクセスにおいては、識別・認証手法を複数組み合わせる多要素認証（フィッシングに耐性のあるものを含む）を導入する	社外から顧客情報に入れる経路があるか。管理者アカウントは誰と誰か。そこに、知識・所持・生体など異なる種類の認証要素を組み合わせた多要素認証が設定されているか
(3) 外部からの不正アクセス等の防止	ファイアウォール等の設置。セキュリティ対策ソフトウェアの導入と適切な運用。自動更新機能等の活用により、OS・ミドルウェア・アプリケーションを最新状態とする。許可していないソフトウェアの導入を防止する	営業が使っているPCのOSとソフトは更新されているか。各自が入れたツールの把握はできているか
(4) 情報システムの使用に伴う漏えい等の防止	通信の経路または内容の暗号化。移送する個人データについてパスワード等による保護。クラウドサービスのサーバ上の個人データを消去する際は、提供事業者が提供する方法・暗号化消去等、容易に復元できない手段を採用する	顧客名簿をメール添付で送っていないか。解約したサービスに残っているデータの消し方を確認したか
(5) 不正アクセス等の検知等	認証ログ、アクセスログ、操作ログ、通信ログ等を一定の期間保管する。ログ等の定期的な分析により、不正アクセス等の発生または兆候を早期に検知する。IDS/IPS、EDR等を導入する。侵害を受けた情報システムの停止・隔離、アカウントの無効化	「誰がいつ顧客情報を見た／出力した」の記録は残るか。残っていても、誰も見ていない状態になっていないか

読む順番としては、(1)の最後の2行から入るのが分かりやすいと思います。退職者のアカウントが残っていないか、異動者の権限が現在の担当範囲に合っているかを確認する、という項目です。確認そのものは、いま使っている管理画面や権限一覧で始められます。権限の一覧を出す機能がない場合や、設定変更をベンダーに依頼する必要がある場合は、費用と対応範囲を先に確認してください。

関連して、顧客情報をどこに置くかの考え方はExcelの顧客台帳、そろそろ限界？移行を判断する基準でも扱っています。

見落としやすいのは「消していないデータ」

答え: 注意喚起の3番目の項目は、不要になった個人データの消去です。漏えい対策の話のなかで、持ち続けていること自体が被害を大きくする、という指摘が改めて出ています。

本文は法第22条を引いています。個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない、という条文です。そのうえで、利用目的が達成され保有する合理的な理由がなくなった場合や、目的の前提となる事業自体が中止となった場合などを挙げ、「こうした対応が徹底されず、漏えい等事案がより深刻化するといった事例にも接していますので、保管している個人データの必要性についてその法令等の根拠とともに確認を適切に行うことを含めて、改めて注意喚起します」と書いています（法令の定めにより保存期間等が定められている場合は、この限りではないとされています）。

同時に改訂された「WARNING」には、これとつながる事例が載っています。事例6「個人領域に保存したデータの漏えい事例」です。従業者が業務で使う電子ファイルを個人が管理する領域に保存しており、会社の情報システムが不正アクセスを受けた際に、その個人領域のデータまで漏れた、というものです。原因として挙げられているのが、各自のデスクトップ端末で加工・保存する運用が慣例化していたこと、定期的な監査の網にかからなかったこと、そして組織として管理されていない個人データの中に、本来は消去すべき古いデータ等が含まれているケースがあり、漏えい被害の範囲が大きくなってしまったことです。

不動産会社に置き換えると、たとえばこういうものが該当し得ます。

• 終わった案件の資料一式が、担当者のPCのフォルダに残っている
• 過去の反響メールの生データや、ポータルからダウンロードした一覧が個人の領域にある
• 終了したキャンペーンやイベントの応募者リストが、使われないまま置かれている
• 退職した営業のPCやアカウントの中身を、誰も確認しないまま残している
• 媒体や名簿業者から受け取ったデータが、取り込んだ後も元ファイルのまま残っている

いきなり全部を消す必要はありません。まず、何をどんな根拠で持っているのかを一度書き出すところからです。「いつか使うかもしれない」で持っているものがどれくらいあるかが見えれば、判断はしやすくなります。

反響メールまわりの個人情報の扱いについては、反響メールの個人情報、安全な扱い方とはも参考になります。

「うちは小さいから」は理由になりにくい

答え: 別紙の表には「中小規模事業者における手法の例示」という列が併記されています。規模に応じた、現実的な線が示されています。ただし、ここでいう「中小規模事業者」はガイドライン上の定義に当たる事業者です。従業員が100人以下であっても、その事業で取り扱う個人情報によって識別される個人の数が過去6月以内のいずれかの日に5,000を超える場合や、委託を受けて個人データを取り扱う場合は除かれるので、通則編の定義を確認してください。

たとえば、こうした内容です。

• 個人データを取り扱うことのできる機器と、当該機器を取り扱う従業者を明確化し、不要なアクセスを防止する
• 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、従業者を識別・認証する
• 個人データを取り扱う機器等のOSを最新の状態に保持する
• セキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により最新状態とする
• メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する
• 情報システムの使用状況、個人データへのアクセス状況、外部からのアクセス状況等のログ等を一定の期間保管する

中小規模事業者向けの例示には、IDS/IPSやEDRの記載はありません。ただし、これは対策が不要という意味ではありません。注意喚起の本文は、具体的な手法について「個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものである」としています。扱う個人データの性質と量によって、必要な線は変わります。そのうえで、「誰がどの機器で顧客情報を触るかを決める」「OSとセキュリティソフトを最新にする」「ログを一定期間残す」といった、人数の少ない会社でも手が届く項目が別に示されている、という読み方になります。

この記事で扱っていないこと

答え: この記事は技術的安全管理措置と、不要になった個人データの消去に絞っています。これだけで注意喚起の全体をカバーしたことにはなりません。

注意喚起の本文にも、次のただし書きがあります。安全管理措置には、技術的安全管理措置のほかに、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び外的環境の把握があるので留意してほしい、という内容です。委託先の管理や、従業者への周知、紙の書類の保管といった話は、この記事の範囲外です。

また、次に当てはまる会社は、同時に改訂された「WARNING」の該当事例も読んでおくほうが確実です。

• グループ会社や関連会社、海外拠点がある … 事例2（脆弱性への対応が遅れた事例）、事例4（グループ会社や海外拠点が狙われた事例）、事例5（グループ会社間のアクセス制御不備があった事例）、事例7（グループ会社への監督が不十分な事例）
• 業務システムをクラウドサービスで使っている … 事例8（利用するクラウドサービスからの漏えい事例）。クラウドサービスの利用が個人データの取扱いの委託に当たる場合の監督についても触れられています
• 自社でWebサービスやスマートフォンアプリを提供している、外部とAPIで連携している … 事例9（APIが悪用される事例）。今回の改訂で追加された事例です

逆に、顧客情報を扱うのが紙の台帳と電話だけ、という会社には、この記事の(1)〜(5)はほとんど当てはまりません。その場合は、組織的・人的・物理的安全管理措置のほうを先に見ることになります。

よくある質問

2027年4月から多要素認証が義務になるのですか

注意喚起の本文には、見直しの内容の確定は「来年4月を予定」と書かれています。多要素認証は、別紙では(2)アクセス者の識別と認証の「手法の例示」の側に置かれています。例示は、従わなければ直ちに法違反と判断されるものではなく、適切な手法は例示の内容に限られない、とも本文に書かれているので、期日と義務化を結びつけて読まないほうが正確です。ただし、別紙で追加された(5)不正アクセス等の検知等は「講じなければならない措置」の側なので、例示と措置は分けて見てください。いずれも確定前の内容である点は変わりません。

自社が対象の事業者に当たるのか分かりません

注意喚起は、大量の個人情報を保有する事業者や、機微性の高い情報・財産的被害につながるおそれのある情報を保有する事業者などを挙げています。該当するかどうかの判断がつかない場合でも、示されている内容自体は規模を問わず参考になります。中小規模事業者向けの例示も用意されているので、そちらから見ていくのが現実的です。ただし「中小規模事業者」はガイドライン上の定義に当たる事業者で、従業員が100人以下でも、識別される個人の数が過去6月以内のいずれかの日に5,000を超える場合や、委託を受けて個人データを取り扱う場合は除かれます。

何から手を付ければよいですか

まず、いま利用できる管理画面や権限一覧で、退職者・異動者の権限を確認するところからです。顧客情報が入っているシステムを書き出し、誰がどこまで見られるかを一覧にし、今の体制と合っているかを見ます。権限の一覧を出す機能がない場合や、設定変更に外部への作業依頼が必要な場合は、費用と対応範囲を確認してください。そのうえで、管理者アカウントと社外からのアクセスに、異なる種類の認証要素を組み合わせた多要素認証が設定されているかを見ます。

ログは何のために残すのですか

注意喚起の例示では、ログは保管するだけでなく、定期的な分析によって不正アクセスの発生や兆候を早期に検知するためのもの、と位置づけられています。残っているが誰も見ていない状態だと、本来の目的を果たしません。まず、ログを確認する担当者と、不審なアクセスを見つけたときの対応を決めます。確認の頻度や自動検知の要否は、扱う情報とリスクに応じて決めることになります。

まとめ

今回の注意喚起は、それ自体が新しい法的義務を設けるものではありませんが、2027年4月に確定が予定されている見直し後の中身が先に見えているという話です。技術的安全管理措置は現行の4項目から5項目になり、(5) 不正アクセス等の検知等が「講じなければならない措置」の側に加わっています。そして、技術的な対策と同じ重さで、不要になった個人データを持ち続けていないかが問われています。

やることを3つに絞るなら、次のようになります。

1. 顧客情報が入っているシステムを書き出し、アクセス権限を棚卸しする（特に退職者・異動者）
2. 管理者アカウントと社外からのアクセスに、多要素認証（異なる種類の認証要素の組み合わせ）が設定されているかを見る
3. 個人のPCやフォルダに残っている顧客データを洗い出し、持ち続ける根拠があるものだけ残す

3つめで出てくる「個人の手元にある顧客データ」は、消して終わりではなく、置き場所の話でもあります。会社として管理する場所を定め、そのシステムでアクセス権限・操作記録・データ消去の機能と設定を確認すると、棚卸しを進めやすくなります。逆に、各自のPCやスプレッドシートに分かれていると、どこに何があるかを把握するところから始めることになります。

—

この記事を書いた会社

7plus株式会社 不動産会社向けの営業DX支援を行うITソリューションプロバイダーです。反響対応を即時化する「Mail2Link」「Mail2Link×AI」、ノーコード業務アプリ「BizBlock」の開発・提供に加え、Salesforce認定パートナーとして不動産特化型Salesforceパッケージの導入・定着コンサルティングも行っています。

詳しくはこちら → https://7plus.jp/