パソコンやスマホをなくしたと言われたら

最初の連絡で次のことを聞き、記録に残します。

・なくした端末（会社支給のパソコンかスマホか、私物か） ・なくした、または気づいた日時と場所 ・置き忘れか、盗まれたか ・画面ロックやパスワードを設定していたか ・端末の中や、ログインしたままのサービスで見られる情報（顧客名簿、社員の情報など）

「家か社内にありそう」という場合も、探し終わるのを待たずに報告を受けます。個人情報保護委員会のQ&Aでは、報告期限を数え始める「知った」時点は、部署内のある従業者が事態を知った時点と考えられるとしています。本人が数日黙っていると、そのぶん会社が対応できる時間が減ります。

聞き取りと並行して、端末の中の情報とアカウントを守る操作をします。

・端末管理の仕組み（MDM）が入っていれば、遠隔でロックし、見つからなければデータを消去する ・Windows の「デバイスの検索」、Mac の「探す」、スマホの位置確認機能が有効なら、場所を確かめる ・Microsoft 365 や Google Workspace の管理画面で、その社員のログイン状態を切り、パスワードを変える ・会社支給のスマホなら、携帯電話会社に連絡して回線を止める

総務省のテレワークセキュリティガイドラインでも、遠隔でのデータ初期化やディスク暗号化などをあらかじめ有効にしておく備えを推奨しています。事前に設定していない機能は、なくしてからでは使えません。

警察には遺失届を出してもらいます。警察庁は、ほとんどの都道府県でオンラインの届け出を受け付けていますが、急ぐ場合は警察署や交番に直接届け出るよう案内しています。盗まれた場合は、被害届も警察に相談します。

個人データの漏えい等やそのおそれが次のどれかに当たるとき、会社には個人情報保護法で2つの義務があります。個人情報保護委員会への報告と、本人への通知です。

・病歴などの要配慮個人情報が含まれる ・クレジットカード番号など、不正に使われると財産的な被害が出るおそれがある ・盗難など、不正の目的による漏えい等のおそれがある ・対象になる本人が1,000人を超える

報告は2段階です。速報は知った時点から速やかに（おおむね3〜5日以内）、確報は30日以内に出します。盗難など不正の目的によるものは、確報の期限が60日以内です。報告は委員会のWebサイトにあるフォームから行います。

一方、データに高度な暗号化がされていれば報告は不要とされています。ただし委員会のQ&Aは、暗号の強さに加えて、復号鍵を分けて管理している、遠隔で消去できる、といった条件のどれかを満たす必要があるとしています。当てはまるかどうかは担当者だけで決めず、個人情報の責任者や管理者と確かめます。

委員会のQ&Aでは、社内でなくしたままの場合は、漏えいではなく滅失（またはそのおそれ）に当たると考えられるとしています。社内か社外かわからない場合は、漏えい（またはそのおそれ）に当たるという考え方です。滅失も報告の対象になり得るので、「社内だから大丈夫」とは判断しません。

後から端末が見つかっても、それまでに誰かに見られていないとは言い切れないことがあります。いつ、どこで、どういう状態で見つかったかを記録し、報告の扱いは責任者が判断します。

なお、2026年7月に個人情報保護法の改正法が公布されました。施行は公布から2年以内で、委員会は漏えい等報告の見直しも進めています。ここに書いた内容は2026年9月時点の制度です。