✍ 古家あきら | 2026-10-08 更新
上場企業の個人情報漏えい、100万件超が2026年だけで10件──東京商工リサーチの集計を受けて、しょくばログが保存する3万1,159社のサイトでプライバシーポリシーと認証の記載を数えた
先に結論です。東京商工リサーチ（TSR）の集計では、上場企業とその子会社が公表した100万件以上の個人情報漏えい・紛失事故は、2026年は10月5日までに10件にのぼりました。 1,000万件以上の大型事故は、2012年から2025年までの14年間で3回だったのに対し、2026年はすでに3回起きています。
しょくばログという会社データベースを運営していると、こうしたニュースのあとに「うちは上場企業ではないから関係ない」という声と、「取引先や応募先の会社は、個人情報をきちんと扱っているのだろうか」という声の両方を聞きます。そこで、しょくばログが保存している会社サイト3万1,159社のテキストで、個人情報保護方針や情報セキュリティの認証がどれだけ書かれているかを数えました。
保存ページに「プライバシーポリシー」や「個人情報保護方針」の語が出てくる会社は65.4%。一方で、プライバシーマーク（Pマーク）の記載は3.6%、ISMSの記載は3.2%でした。 方針を掲げている会社は多くても、第三者の認証まで示している会社は少数です。
出典：上場企業「個人情報漏えい」、過去最悪ペース（東京商工リサーチ・2026年10月7日）
報道で確認できる事実
TSRの記事に書かれている内容のうち、集計の数字だけを並べます。
- 集計対象：上場企業とその子会社が公表した個人情報の漏えい・紛失事故
- 100万件以上の事故：2026年は10月5日までに10件
- 1,000万件以上の事故：2012年から2025年までの14年間で3回、2026年は10月5日までに3回
- 過去最大：2014年に公表された約3,504万件
- 記事の冒頭で触れられていること：不正アクセスによる漏えいが相次いでいる
TSRは、消費者向けに事業をする会社で被害が大きくなりやすいこと、情報セキュリティ対策が事業を続けるうえでの経営課題になっていることを指摘しています。個々の事故の原因や経緯は各社の公表を見るべきもので、この記事では立ち入りません。
上場企業の話に見えますが、中小企業にも無関係ではありません。大きな会社の取引先や委託先として顧客データに触れる会社は多く、取引を始めるときにセキュリティ体制を聞かれる場面も増えています。
しょくばログの保存サイト3万1,159社で数えたこと
しょくばログは、法人番号にひもづく会社の公式サイトのテキストを保存しています。文字化けの多いものを除いた3万1,159社について、次の語が保存ページに出てくるかを数えました。
- プライバシーポリシー・個人情報保護方針などの語：2万376社（65.4%）
- 情報セキュリティ基本方針・情報セキュリティポリシー：2,027社（6.5%）
- プライバシーマーク（Pマーク・JIS Q 15001を含む）：1,125社（3.6%）
- ISMS（ISO/IEC 27001を含む）：1,003社（3.2%）
- PマークかISMSのどちらか：1,775社（5.7%）
数え方には限界があります。保存しているのは会社サイトの一部のページなので、方針の本文が別ページにあって保存できていない会社もあります。逆に、フッターのリンク名だけで「プライバシーポリシー」と数えている会社も含みます。ここでの数字は「サイトの目に見える場所で、その語を示しているか」の目安として読んでください。
業種で見ると、情報通信業が突出
業種別に見ると、情報通信業（2,103社）はプライバシーポリシーの語が77.5%、Pマークが16.8%、ISMSが18.2%で、ほかの業種と大きく違いました。顧客のデータを預かる仕事が多く、取引の条件として認証を求められやすい業種だからだと考えられます。
ほかの業種では、Pマーク・ISMSとも数%にとどまります。
- 学術研究・専門サービス業（1,406社）：ポリシー69.1%、Pマーク6.7%、ISMS5.7%
- 製造業（6,600社）：ポリシー65.5%、Pマーク1.0%、ISMS1.0%
- 卸売・小売業（1,504社）：ポリシー68.1%、Pマーク0.9%、ISMS1.1%
- 建設業（3,489社）：ポリシー58.2%、Pマーク0.4%、ISMS0.9%
- 医療・福祉（3,296社）：ポリシー56.8%、Pマーク0.4%、ISMS0.2%
医療・福祉は利用者の健康情報など扱いに注意が要る情報が多い業種ですが、サイト上で認証を示している法人はわずかでした。認証を取っていないことが、すぐに管理が甘いことを意味するわけではありません。ただ、外から確かめられる材料が少ないとは言えます。
会社の種類でも差がある
株式会社（2万5,823社）はプライバシーポリシーの語が67.7%だったのに対し、有限会社（1,128社）は46.3%、合同会社（293社）は45.4%でした。規模の小さい会社ほど、サイトに方針を置いていない傾向が見えます。
取引先・応募先の個人情報の扱いを見る5つの手がかり
ニュースから一般化できる学びとして、会社を外から確かめるときの手がかりをまとめます。
1. 方針があるかだけでなく、中身を開く
「プライバシーポリシー」のリンクがあっても、中身が雛形のままのこともあります。利用目的、第三者への提供、問い合わせ窓口が具体的に書かれているかを見ます。
2. 認証は登録番号と有効期限まで確かめる
PマークやISMSは、付与・認証を出した機関の公開検索で確かめられます。サイトのロゴだけで判断しない方法はPマーク・ISMSを取得している企業の調べ方にまとめています。ISO認証全般は会社のISO認証の調べ方も参考になります。
3. 委託先として扱うデータの範囲を聞く
自社が顧客データを渡す側なら、相手がどの範囲のデータに触れるのか、再委託はあるのかを契約前に確認します。取引開始前の確認項目の全体像は新規取引先の確認事項で整理しています。
4. 運営会社と法人番号を突き合わせる
サイトの運営者と契約相手が同じ法人かどうかは、法人番号で確かめるのが確実です。調べ方は法人番号の調べ方で説明しています。
5. 会社概要と一緒に見る
個人情報の方針だけでなく、会社概要に所在地や代表者がきちんと書かれているかもあわせて見ると、サイト全体の手入れの度合いがわかります。見方は会社概要の見方と、会社概要がない会社にまとめています。
運営者として思うこと
会社のデータベースを運営している立場から見ると、方針の文章を置いている会社は3社に2社ありますが、第三者の認証まで示している会社は20社に1社ほどです。TSRの記事が冒頭で触れているように、不正アクセスによる漏えいが相次いでおり、文章を掲げるだけでは防げません。
応募する側も、取引する側も、「書いてあるか」の次に「確かめられるか」を見る。今回の集計は、その一歩目の目安として使ってもらえればと思います。
よくある質問
上場していない中小企業も漏えいの公表が必要ですか？
個人情報保護法は、上場しているかどうかに関係なく、個人情報を扱う事業者に適用されます。一定の漏えいが起きたときの個人情報保護委員会への報告や本人への通知も、規模を問わず求められます。
プライバシーマークとISMSは何が違いますか？
プライバシーマークは個人情報の取り扱いに絞った国内の制度で、ISMSは情報セキュリティ全般を対象にした国際規格にもとづく認証です。どちらも取っていない会社もあれば、両方を取っている会社もあります。
サイトにプライバシーポリシーがない会社は危ないのですか？
それだけで危ないとは言えません。サイト自体が小さく、問い合わせフォームを置いていない会社もあります。気になる場合は、取引や応募の前に、個人情報をどう扱うかを直接聞くのが確実です。
しょくばログの数字はどう集計していますか？
しょくばログが保存している会社サイトのテキスト3万1,159社分で、該当する語が出てくるかを機械的に数えたものです。サイトの全ページを保存しているわけではないので、実際より少なく出ている可能性があります。