不動産会社の個人情報保護法対応|取扱い・委託・漏洩時対応の3本柱・改善ガイド

2023年6月、自社で使っている家賃保証会社の担当者から「先ほど別の管理会社の入居者一覧を、御社にメールで誤送信してしまいました。すぐに削除をお願いできますか」という電話が入った。受信メールのZIPには30人分の氏名・生年月日・勤務先・年収・連帯保証人情報まで入っていた。担当者は誤送信に気づいてから1時間以内に電話してきたが、ZIPには当然パスワードが掛かっておらず、Outlookの予測変換で誤って差出人候補にうちが入った、それだけの理由で第三者の個人情報が30人分こちらに流れてきた。あの電話を受けたとき、自分は「これは明日うちで起きる事件だ」と即座に思った。実際、その9か月後に、うちの社員が税理士事務所に毎月送る家賃明細CSVを別の関与税理士に誤送信する事件が起きた。本記事は、自社管理200室の現場で実際に走らせている個人情報保護法対応のフローを、3本柱で書き出したものだ。

2022年の改正個人情報保護法、2023年4月の課徴金強化、2025年に予定されている再改正の議論を一通り追ってきたが、不動産会社の現場で本当に効くのは、条文の暗記ではなく「自社の個人情報の動線を地図にする」ことだ。本記事は、個人情報保護委員会の最新ガイドラインを踏まえつつ、自社で回している200室分のデータの動き方を題材に、宅建業と賃貸管理業の現場担当者が今日から手をつけられる順番で書いた。法務部のいない中小・中堅の管理会社の総務担当の机に、印刷して置いておいてほしい。

不動産会社が扱う個人情報の地図 — 入居・売買・オーナーの3レイヤー

個人情報保護法の対応を始める前に、自社で扱っている個人情報を1枚の地図にする。これをやらずに条文から入ると、必ず空回りする。自社の200室の管理ベースで地図を書くと、不動産会社の個人情報は3つのレイヤーに分かれる。

レイヤー1: 賃貸入居データ。入居申込書、入居審査の保証会社提出書類、契約書、更新通知、退去精算書、原状回復見積書、家賃口座情報、緊急連絡先。1人の入居者あたりで、氏名・生年月日・現住所・前住所・勤務先・年収・連帯保証人氏名と続柄・口座番号・運転免許証コピーが集まる。200室なら、世帯主分だけで200件、家族・連帯保証人を入れると延べ400件超のレコードが社内に存在する。

レイヤー2: 売買仲介・買取データ。買付申込書、住宅ローン事前審査の仮申込書、本審査の正式申込書、重要事項説明書の控え、決済時の本人確認書類。1件の売買で、買主側の年収・勤続年数・他社借入・家族構成までが10数枚の書類で動く。年間で売買仲介を50件回すと、これだけで延べ150〜200件分の高機微データが事務所に積み上がる。

レイヤー3: オーナーデータ。オーナーの氏名・住所・電話番号・口座番号、相続関係の家系図、相続人代表者の連絡先、確定申告のために月次で送る送金明細。オーナーは入居者と違って長期・大量のデータが滞留する。10年取引のオーナーなら、月次の送金明細が120本、確定申告関連書類が10年分、すべて社内に残る。

この3レイヤーを書き出した上で、それぞれが「どこに入って」「どこを通って」「どこに出ていくか」を矢印で結ぶ。たとえば賃貸入居データなら、入口は申込書 (紙またはWEBフォーム)、通り道は管理ソフト (社内サーバまたはクラウド) と保証会社 (外部委託)、出口は契約書 (紙原本は事務所金庫、PDFはクラウド) と税理士 (確定申告データ送付)。この矢印を全部書き出して初めて、どの矢印が「委託契約書なし」で動いているかが見える。うちで初めてこの地図を書いたとき、委託契約 (個人情報の取扱いに関する覚書) が交わされていない外注先が3社見つかった。3社とも10年以上の付き合いで、口頭ベースで業務を回していた相手だった。

不動産業務の第1の柱: 取扱いの原則 — 利用目的の明示と取得経路の管理

取扱いの原則は、改正個人情報保護法の根幹だ。条文ベースだと長くなるので、現場で押さえるべきは4点に絞る。利用目的を明示する、目的外利用をしない、本人からの開示請求に応じる、第三者提供に同意を取る。この4点を、入口のフォームと書類で押さえる。

うちで実際にやっている運用を書く。(1) 入居申込書のフォーマットの最下段に、利用目的を6行で印刷。「入居審査・賃貸借契約の締結及び履行・更新通知・家賃の請求と回収・退去後の原状回復精算・宅建業法および賃貸住宅管理業法に基づく報告」の6項目だ。これを2024年の更新時に「保証会社への提供を含む」「家賃保証会社の代位弁済請求のため第三者提供する」と明記し直した。それまでは「保証会社へ提供する場合がある」という曖昧な書き方だったが、保証会社のデータベース照会 (LICCや全国賃貸保証業協会のデータベース) に対する同意が論点になる時代に、曖昧な書き方は危ない。

(2) WEB問い合わせフォームのプライバシーポリシー同意チェックを必須化。2023年の段階で、自社サイトの問い合わせフォームに「個人情報の取扱いに同意する」のチェックを必須にした。チェックなしでは送信不可、というUI制約を入れた。これをやらずに送信を許すと、後から「同意していない」と言われた場合に防御線が一段なくなる。

(3) 重要事項説明と契約締結時に、利用目的を口頭でも読み上げる。これは現場で省略されがちだが、宅建士の重要事項説明の最後に「個人情報の利用目的について」というスライドを1枚追加して、「契約書の最終ページに記載の利用目的に同意いただけますか」と口頭で確認している。録画している取引なら、この音声が残る。後から「説明を受けていない」というクレームへの最大の防御線になる。

(4) 開示請求への対応窓口を明示する。プライバシーポリシーに、開示請求の宛先 (郵送先住所・メール・電話) と、本人確認の方法 (運転免許証の写し提出) を書いておく。開示請求は、年に1〜2件しか来ないが、来たときに窓口が決まっていないと社内が大混乱する。うちでは2024年の改正対応のときに、総務担当を窓口に固定し、回答期限 (受付から原則30日以内) と手数料 (1件1,500円) も明文化した。

取扱いの原則で一番見落とされがちなのが、「目的外利用」のラインを社内で共通認識にすることだ。たとえば、入居者の連絡先を、近隣の空室紹介に使ってよいか。これは「賃貸借契約の履行」の範囲を超えていて、原則アウト。マーケティング目的の利用には別途同意が必要になる。うちでは2023年に営業から「過去の入居者にメルマガを送りたい」という要望が出て、社内で揉めた。結論は、退去後の入居者には別途オプトイン同意を取得しないと送れない、ということで落ち着いた。同意取得のフォームと、配信停止の動線まで設計してから初めてリストを使う。これが目的外利用のラインだ。

第2の柱: 委託の管理 — 保証会社・管理ソフト・清掃業者の覚書

第2の柱は委託の管理だ。個人情報保護法は、委託先の監督を委託元 (元請け) の義務にしている。つまり、保証会社で漏洩事故が起きたら、入居者から「うちの管理会社の選定責任」を問われる構造になっている。うちで委託先と呼べる相手は、現在13社ある。

• 家賃保証会社 3社 (新規契約・代位弁済請求のため、入居者の氏名・生年月日・勤務先・年収を提供)
• 賃貸管理ソフトベンダー 1社 (クラウド環境で入居者データ全件を保管)
• 会計ソフト・税理士 計2社 (送金明細・口座情報を月次で送付)
• 清掃業者 2社 (退去後の鍵情報・部屋番号・入居期間を伝達)
• 原状回復見積業者 2社 (室内写真・前入居者氏名を含む見積依頼)
• 引越業者紹介ルート 1社 (入居予定者の氏名・連絡先を取り次ぎ)
• 司法書士 1社 (売買決済時の登記関連書類)
• サーバ・クラウドベンダー 1社 (Microsoft 365などのインフラ提供)

この13社それぞれと、個人情報の取扱いに関する覚書 (またはDPA: Data Processing Agreement相当) を交わす。うちでは2023年に弁護士に依頼してテンプレートを作り、13社全社と巻き直した。覚書に入れる主要項目は次の通り。

• 取り扱う個人情報の範囲と目的
• 再委託の制限 (再委託する場合の事前同意要件)
• 安全管理措置 (技術的・物理的・組織的)
• 従業員教育の実施義務
• 漏洩時の通知義務 (発覚から24時間以内など)
• 契約終了時のデータ返還または削除
• 監査の受け入れ (年1回の書面監査または立入監査)
• 違約金条項 (漏洩発生時の責任分担)

このうち、現場で一番揉めるのは「再委託の制限」と「監査の受け入れ」だ。保証会社や大手管理ソフトベンダーは、自社のクラウドインフラとしてAWSやGoogle Cloudを使っているケースが多く、これらは再委託に当たる。うちで2023年に各社に巻き直しを打診したとき、1社の保証会社が「再委託の事前同意は実務的に無理」と回答してきた。最終的に「再委託先の名称と所在地を年1回開示する」という条件で妥協した。覚書のテンプレートは弁護士が作るが、現場での着地は事業者間の交渉になる。

もう1つ、覚書を交わすだけで終わってはいけない。委託先の安全管理措置を年1回確認する仕組みまで作って、初めて「委託先の監督」になる。うちでは年に1回、12月に「委託先セキュリティ自己点検チェックリスト」(20項目) を全13社に送っている。回答率は10〜11社で、未回答の2〜3社には電話で督促する。回答内容に明らかな問題があれば、来年の契約更新で見直す。これをやっていなかった2022年以前は、覚書を交わしただけで安心していて、結果的に2023年6月の保証会社のヒヤリハットを未然に防げなかった。

不動産業務の第3の柱: 漏洩対応 — 72時間以内に何をするか

うちで決めている漏洩対応のタイムラインを書く。

• 0〜2時間: 発覚した瞬間に総務担当と代表 (自分) に第一報。漏洩の範囲・人数・媒体・経路を仮ヒアリング。漏洩元のデータアクセスを即座に遮断。
• 2〜12時間: 影響範囲の特定。漏洩件数 (1人か複数人か)、データ種類 (氏名のみか、機微データを含むか)、流出経路 (誤送信か外部攻撃か内部犯か) を確定。第一次の事実報告書を作成。
• 12〜24時間: 個人情報保護委員会への速報。要件 (1,000人超の漏洩、機微情報の漏洩、不正目的の漏洩) に該当する場合は速報義務がある。本人通知の方針を決定。
• 24〜72時間: 本人への一次通知 (謝罪と事実経過)。委託先漏洩の場合は委託先と協議。原因究明の調査チームを社内または外部に立ち上げる。
• 3日〜30日: 委員会への確報、再発防止策の策定、関係者への詳細説明、社内監査の実施。

このタイムラインを、何もない平時に紙で印刷して、総務担当の机の引き出しに入れている。漏洩が起きた瞬間にこれを取り出して、隣に時計を置いて作業する。漏洩対応で一番危険なのは「とりあえず社内で揉み消そう」とする初動の遅延。72時間ルールを破ったら、後から「報告を遅延した」という事実だけで処分が一段重くなる。

2024年3月の税理士誤送信事件のときは、このタイムラインに従って初動した。漏洩件数は20世帯分の家賃明細 (氏名・部屋番号・家賃額)、流出先は別の税理士事務所 (うちと取引のない事務所)。誤送信から30分後に気づき、即座に税理士事務所に電話、メールの削除を依頼。1時間後に削除完了の確認メールを取得。本人 (オーナー) には24時間以内に電話と書面で謝罪。個人情報保護委員会への報告は不要 (件数20で機微情報なし、不正目的なし) の判断だったが、社内のインシデント記録には全件残した。再発防止として、税理士向け送信用のメールアドレスを別ドメインで分離し、Outlookの予測変換にも引っかからないように設計し直した。

不動産業務の2023年自社の保証会社経由ヒヤリハット事件の全記録

2023年6月のあの電話を、もう少し詳しく書いておく。発端は朝10時すぎ、家賃保証会社A社の20代の担当者から、自分の携帯に電話が入ったことだ。「先ほど、別の管理会社さん向けの新規入居者一覧を、誤って馬場様のメールアドレスにお送りしてしまいました。本当に申し訳ありません」。声の震え方で、相手が新人で、これが初めての謝罪電話だと分かった。

誤送信されたファイルは、ZIP圧縮もパスワードもなしのExcelで、30人分の入居審査結果一覧。氏名・生年月日・現住所・勤務先名・勤続年数・年収・連帯保証人の氏名と続柄・本人確認書類の参照番号まで入っていた。「弊社のセキュリティ規定では、ZIPでパスワードを別送するルールなのですが、私が手順を間違えました」とのこと。

その場での自分の対応は3つ。(1) 受信したメールとファイルを開かずに、削除しPCのゴミ箱からも完全削除した上で、削除完了の証跡 (画面キャプチャ) を保証会社に送付。(2) 保証会社の上長 (営業部長) に直接電話を入れて、社内のインシデント報告ルートに乗せたか、本人通知の予定はあるかを確認。(3) うちと保証会社で交わしている覚書を引っ張り出して、漏洩時の通知義務条項に基づき、書面での事故報告書の提出を要請。

翌週、保証会社から書面の事故報告書が届いた。本人通知 (30人全員) は実施済み、原因は担当者の手順ミス、再発防止としてメール送信時のチェックリスト導入と二重チェック体制を整備、と書かれていた。個人情報保護委員会への報告は対象外 (件数30で機微情報なし、不正目的なし) と判断していた。

この事件から自社で得た学びは3つあった。1つ目、委託先の覚書に「漏洩発生時の通知義務 (発覚後24時間以内に書面で)」を入れていたから、相手の対応速度を引き出せた。覚書がなければ、口頭での謝罪だけで終わっていた可能性がある。2つ目、「自社で受けた誤送信」も、自社のインシデント記録に残すべきだと理解した。受け手側にも、削除証跡の保管義務がある。3つ目、保証会社の若手担当者の教育レベルは事業者によって差がある。同じ覚書を結んでいても、現場のオペレーションは別物。年1回の自己点検チェックリストでは見えない部分なので、保証会社の選定基準に「直近のインシデント発生件数と再発防止策」を加えた。

不動産業務の2024年退職者のクラウド権限切り忘れ事件と再発防止

2024年8月、自社で正社員1名が退職した。退職日に、IT担当 (兼任の総務担当) が業務用PC・社員証・名刺は回収したが、Microsoft 365のアカウントの権限剥奪を「来週まとめてやろう」と先送りにした。実際に権限が切られたのは、退職日から3週間後だった。

3週間の間、退職者は自宅のPCから、自社のSharePointと管理ソフトのクラウドにログインできる状態だった。後日、退職者から「アクセスできなくなって安心しました」という連絡があり、悪意ある情報持ち出しは確認されなかったが、これは結果論で、もし悪意があれば200室分の入居者データが手元にコピーされた状態のまま3週間放置されていた、ということになる。

事件後、社内で再発防止策を組み直した。(1) 退職届の受理日に、IT担当が「権限剥奪チェックリスト」をその場で開く運用に変更。チェックリストには、Microsoft 365、管理ソフト、保証会社のWEB管理画面、銀行のオンラインバンキング、社内Wi-Fi、メール転送設定、Slack/Teams、共有フォルダ、印刷システム、合計15項目が並んでいる。退職日当日に全項目をチェックし、上長が署名する。

(2) 退職者用の出口インタビューを総務が実施。「業務上知り得た個人情報を持ち出していないこと」を書面で確認。法的拘束力は限定的だが、心理的な歯止めにはなる。

(3) 退職後30日以内に、退職者がアクセスしていた範囲のアクセスログを確認。Microsoft 365のAuditログを確認し、退職前後で異常なダウンロード・送信がないかをチェック。これは個人情報保護のためというより、内部監査の一環として組み込んだ。

この事件で痛感したのは、個人情報保護法の対応は「ITセキュリティの運用」と切り離せないということだった。法律上の義務とITの運用が別部署で動いていると、必ずどこかで穴が空く。中小不動産会社の場合、IT担当が総務や経理の兼任になっているケースがほとんど。だからこそ、「権限剥奪を退職届の受理日に必ず開く」というワンアクションを業務フローの先頭に固定するしかない。

2026年に向けて中小不動産会社が今やるべき優先順位5つ

2025年中に再改正の議論が進み、2026年以降に課徴金の対象拡大が予想される。中小不動産会社として、限られたリソースの中で何から手をつけるかの優先順位を、自分の経験から並べると次の5つになる。

優先度1: 委託先の覚書を全社分1か所に並べ、更新月をカレンダーに入れる。これが最初の1歩。覚書のない委託先を炙り出して、3か月以内に全社と巻き直す。覚書のテンプレは弁護士に1回作ってもらえば、20万円前後で済む。

優先度2: 入居申込書とWEB問い合わせフォームの利用目的を見直し、保証会社・データベース照会への同意を明記する。これは数十万円の弁護士費用と、印刷物の差し替え費用 (10万円程度) で完結する。年明けの新規契約から有効化する形でいい。

優先度3: 漏洩発生時の72時間タイムラインを紙で印刷し、総務担当の机に貼る。これはお金がかからない。エクセル1枚分の作業。だが、これがあるかないかで、いざ事故が起きたときの動きが変わる。

優先度4: 年2回の社内研修を組む。1回90分、外部講師を招いて20万円前後。3年続けると、社内に「個人情報保護はうちの基本動作」という空気ができる。研修の最後にケーススタディ (「もしこの誤送信が起きたら、最初の60分で何をする?」) を全員で議論する形式にすると、定着率が劇的に上がる。

優先度5: 退職者のクラウド権限剥奪を業務フローの先頭に固定。チェックリスト1枚で済む。退職届の受理と権限剥奪をセットで動かす運用にし、IT担当が単独で判断しない体制に変える。

この5つを2026年中に完了させれば、中小規模の不動産会社としては「最低ラインを超えている」と言える状態になる。完璧を目指すより、最低ラインを確実に超える方が、現場での運用は楽だ。

私が他社と意見が違う点 — 「ISMS取得すれば安全」論への反論

個人情報保護関連のセミナーに行くと、よく「ISMS (ISO 27001) を取得しましょう」「Pマーク取得が信頼の証です」という話が出てくる。中小の不動産会社向けにも、同じ話が降りてくる。自分はこれに、半分賛成、半分反対の立場だ。

反対する理由は、コストと運用負荷のバランスが現場と合わないからだ。Pマーク取得には、初年度で60〜100万円、更新費用が2年に1回40〜70万円かかる。社内の運用工数も、月20〜30時間取られる。これが、保証金の漏洩リスクを目に見えて下げているかというと、自分の知る範囲ではノーだ。Pマークを持っている保証会社・管理会社でも、誤送信や担当者の手順ミスは普通に起きる。

自分の主張は、「Pマークの取得より、自社の個人情報の動線を地図にして、年2回の研修と委託先の年次点検を回す」方が、コストあたりのリスク低減効果が圧倒的に高いということだ。Pマーク取得に200万円使うより、その200万円で弁護士を年30時間使い、社内研修を年2回やり、委託先13社の年次点検を回す方が、現場の事故は減る。

賛成する部分もある。Pマークは取引先の信頼の指標として機能する場面がある。大手企業の社宅契約や、上場企業との取引では、Pマーク取得が入札条件になっているケースもある。そういう取引が事業の柱なら、コストを払って取得する意味はある。

だから自分の結論は、「Pマーク取得を目指す前に、自社の個人情報の動線を地図にする」を徹底する、ということ。Pマークは、地図ができてから検討する。順番を逆にすると、形だけのISMSになって、現場での事故は減らない。

DX 投資の効果 早見表

実装の第1ステップ — 現状把握から始める

改善に着手する前に、現状の業務フロー・所要時間・関係者を可視化することが重要です。最低1週間の時間記録をとり、改善ポテンシャルが大きい業務を3つに絞ってからスタートします。

実装の第2ステップ — 小さく試して効果検証

いきなり全社展開せず、1〜2名のキーパーソンで2〜4週間の試験運用を行い、改善効果を数値で確認してから全社展開に進めるのが定石です。

実装の第3ステップ — 全社展開と継続改善

試験運用で得たノウハウを全社マニュアルに反映し、月次の改善会議で運用上の課題を吸い上げます。3〜6ヶ月の継続運用で本格的な定着が見えてきます。

よくある質問 FAQ|実務の疑問に答える

本記事の論点に関連する、現場でよく寄せられる質問への回答をまとめました。

関連記事|あわせて読みたい

同じテーマで深掘りしたい場合や、関連する論点を整理する際にお読みください。

• 経費精算の月末残業を撲滅|領収書OCR+クラウド経費の導入手順・中小不動産向け
• 反社チェックの実務フロー|契約締結前の確認プロセスとデータベース活用・改善ガイド
• クレームを「炎上」させない仕組み|初期予兆の3シグナルと対応プロトコル・改善ガイド
• 不動産取引のAML/KYC対応|高額取引で求められる確認事項・中小不動産向け・改善ガイド
• SaaS導入の社内浸透が頓挫する5パターンと対策|12週間ロードマップ・中小不動産向け
• AIで反響メール返信を3分→30秒|テンプレ生成と承認フローの実装・不動産会社向け
• 不動産会社のSEO戦略|地域名+物件種別キーワードで上位表示する設計
• Googleビジネスプロフィール活用|地域検索流入を月100→400人に拡大

出典・参考資料

本記事の主張は以下の公的機関・業界団体の公表情報をもとにしています。

• 経済産業省「DX推進ガイドライン」
• IPA「DX白書」
• 中小企業庁「中小企業白書」
• 総務省「テレワーク総合情報サイト」
• ULSAPO 公式サイト