個人情報をファイルで送付するときの注意点と法律のルール

個人情報を含むファイルを送付するときの基本は、必要なものだけを、暗号化などの適切な安全対策をして、相手が必要な期間だけ見られる状態で送ることです。日本の個人情報保護法は事業者に個人データの安全管理措置を求めており、漏えい等が起きた場合には、個人情報保護委員会への報告と本人への通知が必要になることがあります。

この記事では、履歴書、給与明細、診断書、顧客リスト、人が写った写真などをファイルで送る場面に関係するルールを、個人情報保護委員会の公表資料をもとに整理し、実務のチェックリストにまとめました。ヨーロッパの個人データに関わるGDPR（EU一般データ保護規則）との違いも紹介します。内容は2026年10月時点の一般的な情報で、法的助言ではありません。具体的な判断は、社内の担当者や専門家にご確認ください。

個人情報をファイルで送付するとき、どの法律が関係する？

顧客名簿のような個人情報のデータベースを事業に使っている事業者（個人情報取扱事業者）には、個人情報保護法が適用されます。氏名と住所が入った契約書、顧客の一覧表、本人確認書類のスキャン、個人が特定できる写真は、どれも個人情報です。データベースなどに整理された個人情報（個人データ）をファイルで送ることも、転送サービスがそれを一時的に保存することも、法律上の「取扱い」にあたります。

さらに、EU域内の人に商品やサービスを提供している場合などは、日本の企業でもGDPRが適用されることがあります。海外の顧客や取引先がいる場合は、両方のルールを意識しておくと安心です。

個人情報保護法で押さえたい4つのポイント

個人情報の漏洩、報告期限は？速報と確報

2022年4月1日から、個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合には、個人情報保護委員会への報告と本人への通知が義務になっています。個人情報保護委員会は、報告が必要な事態として次の4つを挙げています。

• 要配慮個人情報（病歴など）が含まれる個人データの漏えい等
• 不正に利用されることで財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある漏えい等
• 本人の数が1,000人を超える漏えい等

サービス側でも中身を読めないエンドツーエンド暗号化は、暗号化の中でも保護の強い方法です。Transfrでは、鍵はリンクの「#」以降に入り、当社のサーバーに保存されることはありません。

外国にある第三者への提供：海外のクラウドに保存してもいい？

個人データを外国にある第三者に提供するには、原則として「外国にある第三者への提供を認める旨の本人の同意」が必要です（法第28条）。同意を得るときは、提供先の国の名称、その国の個人情報保護制度、提供先が講じる保護措置について、事前に本人へ情報を提供しなければなりません。例外は、日本と同等の水準の制度がある国として委員会が定めた国（EUと英国）にある場合と、提供先が「基準適合体制」を整備している場合などです。

では、海外にあるサーバーにファイルを保存するのは「提供」にあたるのでしょうか。個人情報保護委員会のQ&Aでは、サーバーを運営する事業者が保存された個人データを取り扱わないことになっている場合（契約でその旨を定め、適切にアクセス制御を行っている場合など）は、外国にある第三者への提供にはあたらないとされています。ただしその場合も、外国で個人データを取り扱うことになるため、その国の制度を把握したうえで安全管理措置を講じ、その内容を本人が知り得る状態にしておく必要があります。

GDPRとの違いは？日本とEUの相互認証

日本とEUの間には、個人データを相互に円滑に移転するための枠組みがあります。2019年1月23日、個人情報保護委員会はEUを日本と同等の水準にある国・地域として指定し（当時の法第24条、現在の法第28条）、同じ日に欧州委員会もGDPR第45条に基づいて日本の十分性認定を行いました。これは「日EU間の相互認証」と呼ばれ、2023年の最初の見直しでも双方が継続を決めています。英国についても、EU離脱後に同様の扱いが続いています。

GDPRは、個人データを送る側の組織に、データの最小化、保存期間の制限、適切なセキュリティ、委託先（処理者）との契約、EEA域外への移転の根拠などを求めています。違反が重い場合の制裁金は、最大2,000万ユーロまたは全世界の年間売上高の4%です。主な違いは次のとおりです。

なお、日本では2026年7月17日に個人情報保護法の改正法が公布され、施行に向けて政令・規則・ガイドラインの整備が進められています。EUでも、報告期限を96時間とする案を含む「デジタル・オムニバス」が2025年11月に提案されていますが、2026年10月時点では採択されていません。運用の前に、最新の公表資料を確認してください。

個人情報をメールで送付してもいい？

メールで送ること自体が禁止されているわけではありませんが、添付ファイルには弱点があります。送信者と受信者のメールボックスに期限なく残り、同期するすべての端末にコピーされ、ワンクリックで転送できてしまいます。宛先の入力ミスにも気づきにくく、パスワード付きZIPを別のメールで送るいわゆる「PPAP」は、両方が同じ相手に届くため誤送信の対策になりません。容量の制約もあり、たとえばドコモメールは本文や添付ファイルを含めて約10MBが上限です（2026年10月時点）。

個人情報を含むファイルは、パスワードと有効期限を設定できる転送リンクで送り、パスワードは電話やSMSなど別の手段で伝えるのがおすすめです。設定の目安は「パスワード付きリンクと有効期限」で紹介しています。

個人情報を安全に送付する手順

1. 1

   ステップ 1

   最小限にする

   相手に必要な書類とデータだけを送り、それ以外は削除するか黒塗りにします。

2. 2

   ステップ 2

   保護する

   別の手段で伝えるパスワードを設定し、要配慮個人情報（病歴など）や本人確認書類にはエンドツーエンド暗号化を使います。

3. 3

   ステップ 3

   期間を限る

   有効期限を短くし、ダウンロード回数を受信者の人数に合わせて制限します。

4. 4

   ステップ 4

   宛先を確認する

   アドレスを1文字ずつ確認します。宛先の間違いは漏えいの典型的な原因です。

5. 5

   ステップ 5

   片付ける

   送ったあとは、不要になった手元のコピーや送信済みの添付ファイルを削除します。

6. 6

   ステップ 6

   記録とルール化

   使うツールと送り方のルールを短く文書にし、社内で共有します。

転送サービスを選ぶときのチェックポイント

• プライバシーポリシーがわかりやすく、法人向けの取扱い条件や再委託先の一覧が確認できる。
• 保存場所が明記されている。
• 通信時と保存時の暗号化があり、機密ファイル向けにエンドツーエンド暗号化を選べる。
• 有効期限と自動削除、パスワード、ダウンロード回数の制限がある。
• 送信者側のアクセス管理（2段階認証、チームの権限）がある。
• 誤った相手に送ったとき、転送をすぐに削除できる。

Transfrの各機能の詳細は「ファイルを安全に送る方法」と「エンドツーエンド暗号化でファイルを送る」にまとめています。

個人情報を誤送付してしまったら

まずすぐにリンクを無効にし（転送の削除や期限の短縮）、ファイルがダウンロードされたかを確認したうえで、本人への影響を評価します。報告が必要な事態にあたる場合は、個人情報保護委員会への速報を「速やか」に行い、確報の期限も意識して事実関係を整理します。業種によっては、権限の委任を受けた省庁が報告先になる場合もあります。EU居住者のデータが含まれる場合は、GDPRの72時間ルールも確認してください。予防策は「ファイルを安全に送るチェックリスト」で紹介しています。

よくある場面と推奨する設定