「社労夢」のエムケイシステム、ランサムウェア被害で個人情報漏洩の恐れ

エムケイシステムとは

　エムケイシステムの公式サイトによると、エムケイシステム（本社：大阪市）は1989 年設立。社会保険労務士事務所・労働保険事務組合・一般企業向けに人事労務システム開発及びクラウドサービスを提供しています。

　主な取引先として、全国の社会保険労務士事務所・社会保険労務士法人、全国の労働保険事務組合、中小企業福祉事業団、SR経営労務センター、一般大手企業を挙げています。

エムケイシステムのランサムウェア被害経緯

　エムケイシステムの発表によると、6月5日早朝にランサムウェアによる第三者からの不正アクセスがあり、サーバーの暗号化の被害を確認し、外部専門家を交え原因の特定、被害情報の確認、情報流出の有無などの調査に着手したといいます。

　影響を受けている製品は下記の通りです。

• 社労夢V3.4
• 社労夢V5.0
• 社労夢Company Edition
• ネットde顧問
• MYNABOX
• MYNABOX CL
• ネットde事務組合
• DirectHR

　同社の公式サイトによると、「社労夢」は2023年4月1日時点で2754の社労士事務所が導入。管理事業所数は約57万事業所、管理する在職者は約826万人に上るといいます。

　エムケイシステムは「現時点で情報流出の事実は確認しておりませんが、流出の恐れの可能性を考慮し、6月8日に個人情報保護委員会への報告を完了しております」と説明しています。

　この個人情報保護委員会への報告義務は、エムケイシステムだけでなくサービスと利用していた社労士や、その社労士に従業員の個人情報管理を委託していた中小企業も対応する必要があるので注意が必要です。

改正個人情報保護法で漏洩時に報告義務　罰則も

　個人情報保護法は2022年4月1日に改正され、これまで、努力義務とされていた漏洩等発生時の報告を、一定の場合に義務化するとともに、本人に対して通知を行うことを新たに義務付けました。

　具体的には、①質的に侵害のおそれが大きい類型（要配慮個人情報や財産的被害が発生しうるおそれがある個人データが漏えいするケース）と、②量的に侵害のおそれが大きい類型（漏えい等した個人データに係る本人の数が1000人を超えるようなケース）が報告等義務の対象となります。

　個人情報保護委員会への報告や本人通知を怠った場合には、勧告や命令を受ける可能性があり、命令に違反した場合には、企業名の公表や、罰則を受ける場合もあります。

• 2022年4月施行の改正個人情報保護法とは　改正点と企業に必要な対応

　今回のエムケイシステムのランサムウェア被害でも、個人情報漏洩のおそれがあるため、原則としてエムケイシステムだけでなく、クラウドサービスを利用していた社労士事務所や、社労士に業務委託していた中小企業も、個人情報保護委員会への報告や従業員などへの通知が必要になります。

　個人情報の保護に関する法律施行規則によると、次の項目を報告する必要があります。

1. 概要
2. 漏えい等が発生し、又は発生したおそれがある個人データの項目
3. 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
4. 原因
5. 二次被害又はそのおそれの有無及びその内容
6. 本人への対応の実施状況
7. 公表の実施状況
8. 再発防止のための措置
9. その他参考となる事項

　具体的には、個人情報保護委員会の公式サイトに対応窓口や報告用のフォームが掲載されています。

個人情報保護委員会「報告義務、免除されることはない」

　サービスを利用していた社労士によると、エムケイシステムから「サービス利用者である社労士事務所が報告義務を負わなくていいように個人情報保護委員会への働きかけをしている」との連絡があったといいます。

　エムケイシステムの見解の是非について、12日に個人情報保護委員会に確認したところ、個別の案件については回答できないとしたうえで、一般論として個人情報の保護に関する法律についてのガイドライン（通則編）をもとに「委託元が報告義務を免除されることはない」と回答しました。

3-5-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。 個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。
この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-5-3-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

個人情報の保護に関する法律についてのガイドライン（通則編）

　エムケイシステムは12日夜になってユーザー向けに「報告が免除される可能性」について完全に誤った認識だったとして混乱を招いたことを謝罪しました。

　中小企業が対応する場合は、上記ガイドラインの通り、一緒に対応できないか社労士と相談しながら進めるとよいでしょう。

本人への通知方法

　個人情報保護委員会の公式サイトによると、個人情報の漏洩に遭った（可能性のある）本人への通知方法として、速やかに、 概要、個人データの項目、原因などの内容を本人にとって分かりやすい方法で行うことを求めています。

　通知の方法の例として、文書の郵送や電子メールの送信を挙げていますが、本人への通知が困難な場合は、ホームページでの公表や、問合せ窓口の設置も案内しています。

• マルウェア感染や個人情報漏洩…サイバー攻撃による損害費用はいくら？