人材紹介・派遣会社が預かる求職者の登録情報と派遣先・紹介先企業の情報が漏えいしたときの損害を、本人と取引先への賠償、自社の調査・通知・窓口の費用、自社の逸失利益の3つに分け、サイバー保険で対象になりやすいものと対象外になりやすいものを整理した図

2026年10月5日、新卒向けのオファー型就活サービスを運営する会社が、利用企業向けページの通信データに学生の姓名とメールアドレスが含まれていたと公表しました。外部からの攻撃ではなく、システムの設定不備です。影響の理論上の最大値は314,009人とされ、対象の学生には個別の通知文が送られました。

人材紹介、人材派遣、採用支援、求人媒体の運営。この業態は、求職者から履歴書と職務経歴を預かり、派遣先や紹介先の企業からは採用計画や業務情報を預かります。1件の事故で謝る相手が2方向になる業態です。

この記事では、2025年から2026年に公表された4件の事故を手がかりに、人材業に固有の5つのサイバーリスクを整理し、サイバー保険で対象になりやすい損害と対象外になりやすい損害を一般論として解説します。

結論を先に言うと、人材業の事故は不正アクセスだけでなく、設定不備、誤送信、従業員の持ち出しでも起き、サイバー保険の情報漏えいの補償は原因を問わない建付けが一般的なので、こうした事故も対象事由になり得ます。

一方で、攻撃を伴わない設定不備の扱い、派遣スタッフの故意の持ち出し、求職者への見舞金の範囲は商品や契約条件で分かれるため、契約時に確認する点です。

なお、本記事は特定の保険会社、保険商品、保険契約や特約の内容を説明するものではなく、一般的な考え方の整理です。個別の保険金請求の可否は、ご契約の約款と事実関係に基づいて保険会社が判断します。

Summaryこの記事のポイント

  • 公表された人材業の事故4件のうち不正アクセスは2件。残りは設定不備と添付ファイルの誤送信で、攻撃がなくても漏えいは起きる。
  • 求職者の登録情報には健康状態や病歴などの要配慮個人情報が混ざりやすく、1人分の漏えいでも個人情報保護委員会への報告と本人通知の対象になり得る。
  • サイバー保険の情報漏えいの補償は、誤送信や持ち出しも原因として対象事由に含めるのが一般的で、漏えいの「おそれ」の段階の調査・通知費用も対象になり得る。
  • 派遣スタッフが派遣先で起こした漏えいを派遣元の業務に含めて扱う商品がある一方、設定不備の扱い、故意の持ち出し、見舞金の範囲は商品で分かれる。派遣先や紹介先自身の損害、上乗せした責任、違約金は対象外になりやすい。

サイバーセキュリティ保険の専用ページで資料請求・お見積もりを受け付けています

資料請求・お見積もりは無料、入力は約1分です

専用ページで資料請求・お見積もり

人材紹介・派遣・採用支援で実際に起きた事故

人材業の情報漏えいは、1件あたりの人数が大きくなりやすい業態です。求人媒体や就活サービスは会員が数十万から数百万人、採用管理システムは利用企業の応募者を横断して保管するからです。2025年から2026年にかけて、会社自身が公表した4件を公表文の範囲で整理します。原因の巧拙や会社の対応への評価は行いません。

表1：人材紹介・派遣・採用支援で公表された情報漏えい事故（公表文ベース、2026年10月28日時点）
項目就活サービスの設定不備（2026年10月）求人サイトへの不正アクセス（2026年10月）採用管理システムへの不正アクセス（2026年9月）人材紹介会社の誤送信（2025年10月）
公表した会社株式会社i-plug（新卒オファー型就活サービス「OfferBox」の運営）ディップ株式会社（求人サイト「バイトル」「バイトルNEXT」の運営）株式会社ApplyNow（採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」の提供）株式会社トライトキャリア（介護・看護・保育などの人材紹介・派遣）
何が起きたか利用企業向けの特定ページの通信データに学生の姓、名、メールアドレスが含まれていた。通常の画面には表示されず、ブラウザの開発者ツールで確認できる状態だった2026年10月6日、サイトの一部機能で第三者による不正アクセスを確認。一部機能の仕様の不備を突いた海外からのアクセスと公表システムで利用していたデータ分析ツールの脆弱性を悪用した不正アクセス。9月7日に異常なアクセスログを検知し、同日に遮断などの緊急措置2025年9月12日、求職者1名にビジネスチャットでファイルを送る際、添付を確認せず別のファイルを送付。同日に削除を依頼したが、10月10日に受信者が削除前に開いていたことが確認された
期間2026年5月12日から8月28日公表文に記載なし（10月6日に確認、同日遮断）2026年8月9日から9月7日2025年9月12日の送信1回
対象の人数理論上の最大値314,009人（閲覧可能だった時期に検索対象となっていた2027年卒・2028年卒の利用学生の総数。実際に閲覧された人数ではないと明記）最大3,885,771件のメールアドレス約39万人（2026年10月9日更新時点。外部機関の調査で確定するとしている）2,008名分
含まれていた情報姓、名、メールアドレスメールアドレスのみ。氏名、電話番号、パスワード、クレジットカード情報は含まれないと公表応募者の氏名（カナ）、メールアドレス、電話番号。一部の方は生年月日、性別、住所、職業。電子雇用契約のサービスでは個人番号、基礎年金番号、金融機関口座情報を含む契約者情報氏名と面接先の企業名（2025年9月10日時点の登録者で、9月1日から10日に応募先企業で面接をした方）
第三者への流出利用企業以外の第三者への流出は確認されていないインターネット上への流出や不正利用は確認されていない10月9日の更新で、調査により漏えいの事実が確認されたと公表。二次被害は9月9日時点で確認されていない悪用による被害の報告はない
公表時点の対応設定を見直して不備を解消。全通信内容を確認。対象の可能性がある学生へ個別に通知海外からのアクセスを遮断しプログラムを改修。個人情報保護委員会と総務省関東総合通信局へ報告、警察へ相談。10月6日にサイト上で告知し、順次個別に案内該当ツールへのアクセスを遮断しパッチを適用。企業ユーザーのパスワードを強制リセット。利用企業・自治体へ通知後、9月19日から応募者へ通知。個人情報保護委員会へ速報を提出、警察へ報告・相談。契約終了企業の応募者情報は調査後に削除9月16日に個人情報保護委員会へ報告。業務体制の見直しと従業員教育の徹底
再発防止リリース判定基準の見直しとガイドラインの再整備、外部専門機関による脆弱性診断、個人情報の取扱い全体の見直しセキュリティ対策と監視体制の強化セキュリティ管理体制の抜本的な見直し。外部専門機関の調査結果を10月末頃に公表予定業務体制の見直しと改善、従業員教育

4件を並べると、人材業の事故の形が見えてきます。1つ目は、攻撃がなくても漏えいは起きることです。設定不備と誤送信の2件には侵入者がいません。それでも通知、報告、問い合わせ対応は同じように発生します。2つ目は人数の桁です。求人サイトでは数百万件、就活サービスでは数十万人という規模になり、通知と窓口の費用は人数に比例します。

3つ目は、採用管理システムのように複数の企業の応募者を預かるサービスで事故が起きると、利用企業が各自で公表と通知を行う連鎖が起きることです。4件目の誤送信は2,008名と規模は小さいものの、漏れたのが「面接先の企業名」という転職活動中の本人が最も知られたくない情報だった点で、人材紹介の業務そのものから生まれる事故です。

人材紹介・派遣・採用支援に固有の5つのサイバーリスク

人材業のサイバーリスクには、求職者と取引先企業の両方から情報を預かる業態ならではの形があります。人材業の相談で繰り返し出てくる5つを、どこで起きるか、誰が損をするかで整理します。

表2：人材紹介・派遣・採用支援に固有のサイバーリスクと、損害を受ける相手
リスク起きる場所損害を受けるのは誰か
1. 要配慮個人情報を含む求職者情報の漏えい登録フォーム、履歴書・職務経歴書のファイル、面談メモ、健康状態や通院の記録、マイナンバーや口座情報を扱う雇用契約・給与のシステム求職者本人
2. 派遣先・紹介先企業の業務情報の漏えい派遣先から渡された業務マニュアルや顧客リスト、派遣先システムのID、紹介先の採用計画・想定年収・選考結果派遣先・紹介先企業と、その先の顧客
3. 攻撃を伴わない漏えい（設定不備・誤送信・誤操作）自社開発の求人サイトや管理画面のリリース、スカウト媒体での一斉送信、CSVやスプレッドシートの誤添付、共有リンクの公開範囲求職者本人と、情報を預けた企業
4. 派遣スタッフ・従業員による持ち出し派遣先での業務中の端末やメール、退職するコンサルタントの候補者リスト、個人スマートフォンへの転送派遣先の顧客、求職者本人、派遣先・紹介先企業
5. 採用管理システム・スカウト媒体・委託先の侵害採用管理システムや動画面接ツール、電子契約サービス、採用代行（RPO）の委託先、媒体の管理アカウント求職者本人と、サービスを通じて自社に情報を預けた企業（元請けである自社に請求が来る）

右の列に「自社」が出てこないのは、人材業が預かるものの大半が他人の情報だからです。自社に生じる損害は、相手への賠償、調査・通知・窓口の対応費用、事故で止まった業務の売上の3つに分かれます。

1の要配慮個人情報は、人材業で特に注意がいる点です。介護・看護・保育の領域に限らず、一般の事務職の登録でも、通院の有無、障害者手帳、既往歴、休職歴といった情報が面談メモや希望条件の欄に入ってきます。個人情報保護法では、要配慮個人情報が含まれる漏えいは人数にかかわらず1人分でも個人情報保護委員会への報告と本人への通知の対象です。

このほか、不正利用されると財産的被害が生じるおそれがある場合（口座情報やマイナンバーを含む場合）、不正の目的によるおそれがある場合、1,000人を超える場合も報告の対象で、速報は発覚から概ね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）とされています（出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」）。1件の誤送信でも、含まれる情報次第で報告と通知の手続きが動き出します。

損害は3つに分かれる

「漏えいの損害」と一言で呼んでいるものを、誰に対する何の損害かで3つに分けて見ます。保険ではこの3つを別の補償として扱うので、対象になるかどうかの結論も分かれます。

1. 求職者本人と、派遣先・紹介先企業に対する賠償

登録情報が漏れた求職者本人からの請求と、情報を預けた企業からの請求です。人材業はこの2方向から同時に請求を受けることがあります。たとえば、派遣先から預かった顧客リストを派遣スタッフが持ち出した場合、派遣先は自社に対して管理責任を問い、派遣先の顧客は派遣先を通じて、あるいは直接に請求してきます。

紹介の場面では、応募者の選考結果や想定年収が別の候補者に見えてしまえば、本人だけでなく紹介先企業からも請求を受けることがあります。

自社がこれらの請求に法律上の責任を負う場合、その賠償金と争訟費用はサイバー保険の賠償責任の補償で対象になり得ます。対象になるのは法律上の損害賠償責任に基づく金額で、派遣基本契約や紹介契約で上乗せした責任、違約金、紹介手数料の返還は対象になりません。同じ原因で多数の求職者から請求を受けた場合は、一連の請求として最初の請求時にまとめて扱われ、数十万人規模の事故でも保険の上では1つの事故として扱われるのが一般的です。

2. 自社の調査・通知・窓口・見舞いの費用

漏えいの範囲と原因の調査、求職者と企業への通知、問い合わせ窓口の設置、弁護士への相談、見舞金や見舞品、再発防止のためのシステム対応。これらは事故が起きた会社自身の費用で、サイバー保険の費用補償の典型的な対象です。人材業で金額が大きくなりやすいのは通知と窓口です。

表1の事故のように数十万人から数百万件に順次個別に案内すれば、人数に比例して費用が膨らみます。漏えいが疑われる段階でも対象になる商品が多く、調査の結果「閲覧されていなかった」と分かった場合でも調査費用は対象になるのが一般的です。事前承認が必要な費目があるので、支出の前に保険会社へ連絡するのが原則です。

見舞金と見舞品は、多くの商品で条件付きの対象です。ただし、どの範囲の本人まで対象にするか（登録はしたが応募に至っていない人を含めるか、など）は商品や契約条件で分かれます。加入時に確認しておく点です。

3. 自社の逸失利益

求人サイトや登録システムを止めている間の売上、派遣先からの取引停止、紹介案件の失注。自社の損失です。自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用を、任意で追加する補償で対象にする商品があります。一定時間以上の停止が条件で、補償期間に上限があります。

一方、派遣先が「信用できない」として契約を打ち切ったことによる売上減は、システムの停止によるものではないため、この補償の対象外になりやすい損害です。また、業種によってはこの追加補償を付けられない商品があります。

求人媒体の運営をインターネット付随サービスとして扱うかどうかで結論が変わるため、自社の業種区分がどう整理されるかを契約時に確認してください。

サイバー保険で対象になりやすいもの、なりにくいもの

5つのリスクの一般的なサイバー保険での扱いを整理します。商品によって条件が異なるため、個別の契約では約款の確認が必要です。

表3：人材紹介・派遣・採用支援の5つのリスクとサイバー保険の対応（一般論）
リスク対象になり得るもの対象外になりやすいもの
1. 要配慮個人情報を含む求職者情報の漏えい求職者本人への賠償。調査、通知、問い合わせ窓口、法律相談の費用。見舞金・見舞品（条件あり）。漏えいの「おそれ」の段階の対応費用罰金・課徴金、契約で上乗せした責任、違約金。要配慮個人情報が含まれる場合の見舞金の扱いは商品で分かれる
2. 派遣先・紹介先企業の業務情報の漏えい情報を預けた企業からの賠償請求。企業の顧客からの請求派遣基本契約や紹介契約で定めた違約金、無過失の賠償約束、紹介手数料や派遣料金の返還・値引き
3. 攻撃を伴わない漏えい（設定不備・誤送信）情報漏えいの補償は原因を問わない建付けが一般的で、誤送信や誤送付は対象事由に含まれる。調査・通知・窓口の費用も同様サイバー攻撃も漏えいも伴わない業務の誤り（紹介先への提出書類の間違い、就業条件の誤記）。設定不備で閲覧可能だったが取得の形跡がない場合の扱いは商品で分かれる
4. 派遣スタッフ・従業員による持ち出し従業員の持ち出しによる漏えいも原因としては対象事由に含まれるのが一般的。派遣した労働者が派遣先で業務中に起こした漏えいを、派遣元の業務遂行に含めて扱う商品がある派遣先自身の損害と対応費用（派遣先は被保険者ではない）。持ち出した本人の故意の扱いは商品で分かれる
5. 採用管理システム・スカウト媒体・委託先の侵害自社が預かった情報を委託先やSaaSに置いていて、そこで漏えいした場合の、求職者や企業から自社への賠償請求委託先やサービス提供者自身の賠償責任と対応費用（被保険者ではない）。インターネット回線や電力など自社の管理下にないインフラの障害

3の攻撃を伴わない漏えいは、人材業の相談で最も多い論点です。多くのサイバー保険で、情報漏えいの補償は「他人の情報の漏えいまたはそのおそれ」を対象事由としていて、不正アクセスに限定していません。

メールの誤送信、宛名違いの郵送、USBメモリの紛失、従業員の持ち出しも原因として含まれるのが一般的で、表1の4件目のような誤送信はこの建付けの中に入ります。一方、1件目のような「設定不備で一定期間閲覧可能な状態だったが、第三者が取得した形跡は確認されていない」という事故は、漏えいの「おそれ」として調査・通知費用が対象になり得るものの、賠償責任の側でどう扱うかは商品や契約条件で分かれます。契約時に保険会社へ確認する点です。

4の派遣スタッフの持ち出しは、派遣業に固有の論点です。派遣した労働者が派遣先の業務中に起こした情報漏えいを、派遣元である自社の業務遂行に含めて扱う商品があります。ただし、派遣先自身に生じた損害や派遣先の対応費用は、派遣先が被保険者でない以上、自社の保険では対象外になりやすい部分です。

また、持ち出しが本人の故意による場合に、その本人を被保険者側とみて除外するのか、自社の使用者責任の問題として扱うのかは、商品や契約条件で扱いが分かれます。ここも契約時に確認する点です。

5の委託先起因は、採用管理システム、動画面接ツール、電子契約サービス、採用代行の委託先に預けた情報が、そこで漏えいした場合です。求職者や企業から見た責任の相手は、情報を預けた自社です。自社が管理を委託した他人の情報の漏えいとして、自社の賠償責任は対象になり得ます。

一方、サービス提供者自身の責任や対応費用は、自社の保険では対象外になりやすい部分です。表1の3件目で、サービス提供者と利用企業がそれぞれ公表と通知を行っているのはこの分担の表れです。

保険より先に効く実務対策

表1の4件で再発防止策として挙げられている内容は、すぐに着手できるものがほとんどです。いずれも引受時の告知で聞かれる項目に重なります。

  • 添付ファイルと共有リンクの送信前確認を、仕組みにする。人材紹介の誤送信は、候補者リストや面接日程表のように複数人の情報が1ファイルに入っているものを、1人の求職者に送るときに起きます。ビジネスチャットやメールの送信前に添付を開いて宛先と照合する手順を決め、複数人の情報を含むファイルは原則として個別送付用に分けてから渡します。共有リンクは「リンクを知っている全員」にしない設定を既定にします。
  • 自社の求人サイトや管理画面は、画面だけでなく通信データまで確認してからリリースする。表1の1件目の原因は、リリース時の確認が画面表示にとどまり、通信データの内容まで見ていなかったことと公表されています。画面に表示されない項目が応答に含まれていないか、権限のないユーザーのIDで他人のデータが取れないかを、リリース前のチェック項目に入れます。外部の脆弱性診断とあわせ、告知事項の裏付けにもなります。
  • 派遣スタッフと退職者の権限を、着任・離任の日に合わせて付け外しする。派遣先システムのID、媒体の管理アカウント、採用管理システムの企業ユーザーは、人の出入りが多いほど棚卸しが追いつきません。派遣先と「誰がどのIDを持っているか」の一覧を共有し、契約終了日の削除を双方で確認します。コンサルタントの退職時は、候補者データベースへのアクセスを退職日前に止め、個人端末への転送がなかったかをログで確認します。
  • 採用管理システムや媒体の契約で、データの削除時期と事故時の通知を決めておく。表1の3件目では、契約終了企業の応募者情報が調査完了後に削除されると公表されています。利用をやめた後もデータが残っていれば、事故のとき自社も通知の当事者になります。契約終了時の削除期限、削除完了の報告、事故が起きたときに何日以内に自社へ通知するかを、利用規約や契約書で確認しておきます。

派遣先・紹介先・求職者との契約で注意したい点

人材業の契約には、求職者との利用規約、派遣先との派遣基本契約、紹介先との人材紹介契約、媒体やシステムの利用規約の4種類があり、事故のときの責任の線はそれぞれに引かれています。

派遣基本契約の個人情報条項と損害賠償条項は、最初に見直す場所です。派遣先が用意する契約書には、派遣スタッフが派遣先の情報を漏えいした場合に派遣元が「一切の責任を負う」「過失の有無を問わず賠償する」「一定額の違約金を支払う」といった定めが入っていることがあります。

賠償責任の補償が見るのは法律上の損害賠償責任なので、こうした上乗せ部分は対象から外れやすくなります。派遣先に安心してもらうために受け入れた条項が、事故のときに自己負担として残ります。責任の範囲を過失責任に、金額を実損の範囲に、という交渉は事故の前にしかできません。

紹介先企業への情報提供の範囲も、事故の前に決めておく点です。職業安定法は、求職者の個人情報を業務の目的の達成に必要な範囲内で、目的を明らかにして収集し、その目的の範囲内で保管・使用するよう求めています。

派遣元についても、厚生労働省の指針で、派遣先に提供できる派遣労働者の個人情報は法律で通知すべき事項と業務遂行能力に関する情報に限られるとされています。渡す情報を必要な範囲に絞っておくと、相手方で漏えいが起きたときに自社から出た情報の範囲が明確になり、責任の切り分けがしやすくなります。逆に、本人の同意なく健康情報や家族構成まで渡していれば、相手方の事故でも自社の提供行為が問われます。

求人媒体やスカウト媒体の利用規約は、アカウント管理の責任が利用者側にあると定めているのが通常です。管理アカウントが乗っ取られて求職者に不審なメッセージが送られれば、媒体側の障害でない限り、求職者への説明と対応は自社の責任です。媒体側の漏えいは媒体の責任ですが、その場合でも自社の登録者への説明は自社が行います。

そして、事故が起きたら相手に責任を認める前に保険会社へ連絡することです。派遣先から賠償を求められると、取引の継続を考えて先に補償を約束したくなりますが、保険会社の同意なく責任を承認すると、その分が保険金から差し引かれる場合があります。派遣先には事実関係を調査中である旨と、結果が出てから対応する旨を伝え、賠償の約束より先に保険会社へ事故の通知を入れます。

人材紹介・派遣会社がサイバー保険を検討するときに確認する点

日本損害保険協会の調査では、中小企業のサイバー保険加入率は8.8%にとどまります（出典：日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025」2025年12月）。人材業は、自社をどの業種区分として申告するか、派遣先での派遣スタッフの行為がどこまで自社の業務に入るかを整理しないまま検討に入ることが少なくありません。検討時に確認しておきたい点を挙げます。

  • 業務の範囲と業種区分。人材紹介、労働者派遣、採用代行、求人媒体の運営、採用管理システムの提供のどれを行っているかで、基本の補償で足りるか、対象業務を特定した補償の追加が必要か、利益損害の補償を付けられるかが変わります。媒体やシステムを自社で提供している場合はその旨を伝えます。
  • 派遣スタッフの行為の扱い。派遣先で業務中に起こした漏えいが自社の業務遂行に含まれるか、故意の持ち出しの場合はどうなるかを確認します。派遣先自身の損害が対象外であることも、派遣先との契約交渉の前提として把握しておきます。
  • 攻撃を伴わない事故の扱い。誤送信や誤送付が対象事由に含まれることと、設定不備で閲覧可能だった場合の扱いを、約款の文言で確認します。
  • 見舞金・見舞品の条件。対象になる本人の範囲、要配慮個人情報が含まれる場合の扱い、事前承認の要否を確認します。登録者数が多い会社ほど、ここが費用の中心になります。
  • セキュリティ体制の申告。多要素認証、権限管理、バックアップ、事故歴は告知の対象です。多要素認証の未設定そのものを理由に対象外とする商品は一般的ではありませんが、申告した内容と実態が違えば、事故のときに問題になります。申告の前に実務対策を整えておきます。

那由他保険テクノロジーズが人材紹介・派遣会社のサイバーリスクでご支援できること

ここまでは一般論として書きました。実際の結論は、派遣基本契約や紹介契約の損害賠償条項が保険の対象を狭めていないか、採用管理システムや媒体の構成でどこに穴があるか、業種区分と業務範囲がどう申告されているか、といった会社固有の事情で変わります。

那由他保険テクノロジーズは、人材紹介・派遣・採用支援の会社について、預かる情報の種類と件数、派遣先・紹介先との契約条項、利用する採用管理システムや媒体の構成を起点にリスク構造を分析し、現在のご契約や検討中の商品の補償条件と突き合わせて、対象になる損害と対象外になる損害を切り分けます。設定不備や派遣スタッフの持ち出しのように商品で扱いが分かれる論点は、保険会社に確認したうえでお伝えします。

相談を終えた時点で手元に残るのは、漏えいが起きたときに求職者と派遣先・紹介先への賠償、通知と窓口の費用、止まった業務の売上のそれぞれが、保険で見られるのか、契約で手当てするのか、自己負担かを書き分けた一覧です。派遣基本契約や証券が揃っていない段階でも構いません。預かる情報と取引先の構成を伺うところから始めます。

ご相談はこちら

人材業のサイバー保険の補償範囲を相談する

専用ページで資料請求・お見積もり

資料請求・お見積もりは無料、入力は約1分です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

設定不備で求職者情報が閲覧できる状態になっていましたが、取得された形跡はありません。それでも保険の対象になりますか？

漏えいの「おそれ」の段階でも、原因と範囲の調査、本人への通知、問い合わせ窓口の費用は対象になる商品が多く、調査の結果として実際の取得が確認されなくても調査費用は対象になるのが一般的です。一方、攻撃を伴わない設定不備を賠償責任の側でどう扱うかは、商品や契約条件で分かれます。事故を把握した時点で保険会社に通知し、約款上の扱いを確認してください。

派遣スタッフが派遣先で顧客情報を持ち出しました。派遣元である自社の保険で対応できますか？

派遣した労働者が派遣先で業務中に起こした情報漏えいを、派遣元の業務遂行に含めて扱う商品があります。派遣先から自社への賠償請求はその範囲で対象になり得ます。ただし、派遣先自身に生じた損害や派遣先の対応費用は、派遣先が被保険者でないため対象外になりやすい損害です。

持ち出しが本人の故意による場合の扱いは商品で分かれるため、契約時に確認しておく点です。派遣基本契約で過失の有無を問わない賠償や違約金を約束していると、その上乗せ部分は対象から外れやすくなります。

利用している採用管理システムのベンダーで事故が起き、応募者から当社に問い合わせと請求が来ています。自社の保険の対象になりますか？

自社が預かった応募者情報を委託先やSaaSに置いていて、そこで漏えいした場合、応募者や紹介先企業から自社への賠償請求は、自社が管理を委託した情報の漏えいとして対象になり得ます。自社が行う通知や窓口の費用も同様です。ベンダー自身の責任や対応費用は、ベンダーが被保険者でないため、自社の保険では対象外になりやすい部分です。ベンダーに求償できる部分は、保険会社と相談しながら進めます。

登録者全員にお詫びの金券を送りたいのですが、その費用は対象になりますか？

見舞金や見舞品の費用を条件付きで対象にする商品が多くあります。ただし、対象になる本人の範囲、1人あたりの考え方、要配慮個人情報が含まれる場合の扱い、保険会社の事前承認の要否は商品や契約条件で異なります。送付を決める前に保険会社へ連絡し、対象になる範囲を確認してから進めてください。

健康情報を含む履歴書を1人分だけ誤送信しました。この規模でも保険会社に連絡すべきですか？

連絡してください。要配慮個人情報が含まれる漏えいは、人数にかかわらず個人情報保護委員会への報告と本人への通知の対象になり得るため、1人分でも対応の手続きは発生します。誤送信は多くのサイバー保険で情報漏えいの対象事由に含まれ、通知や法律相談の費用は対象になり得ます。事故通知を怠ると、後から請求を受けたときに扱いが不利になる場合があります。

参考一次情報

本記事は、人材紹介・人材派遣・採用支援の会社の担当者向けにサイバーリスクと保険の一般的な考え方を整理したもので、特定の保険会社、保険商品、保険契約、特約の内容を説明することを目的としたものではありません。記事中の「対象になり得る」「対象外になりやすい」といった記述は一般的な傾向を示すもので、実際に保険金が支払われるかどうかは、個々の保険契約の約款と事実関係に基づいて保険会社が判断します。ご契約内容の詳細や個別の事故については、ご契約の保険会社または取扱代理店にお問い合わせください。