個人情報を含むExcelファイルの安全な取扱い【ドキュメント検査とパスワード設定】

2026年7月20日

【2026年7月20日更新】漏えい時の個人情報保護委員会への報告期限（速報3〜5日・確報30日/60日）を追記しました。

給与一覧・扶養情報・マイナンバー関連書類・顧客名簿――経理・労務の現場では、個人情報の詰まったExcelファイルを日常的に扱い、メールで送ります。怖いのは、見えているセルの外に情報が残っていること。非表示のシートや行列、ファイルのプロパティ、削除したつもりの前任者のコメント。「1名分だけ送ったつもりが全社員分が非表示シートに入っていた」は、実際に繰り返されている事故です。

この記事では、個人情報を含むExcelファイルを外部に出す前の安全確認を、ドキュメント検査→パスワード設定とその限界→送付前チェックリストの順で解説します。

基礎知識：ファイルに「見えずに残る」情報

非表示のシート・行・列：元データや検討用の別シートが残っている典型パターン
ドキュメントのプロパティ：作成者名・会社名・最終更新者などが自動記録されている
コメント・メモ：セルに付けた内部メモ（「この人は要注意」等が残っていたら大事故）
数式の参照：VLOOKUPの参照元テーブルごと渡してしまうケース。値貼り付けで切り離す
ピボットテーブルのキャッシュ：集計表だけ見せたつもりでも、元データがキャッシュに残りダブルクリックで展開できる
「非表示＋保護」への過信:シート保護は簡単に解除されうる前提で考える（関連記事：No.100 シート保護と配布）

手順①：ドキュメント検査で残存情報を洗い出す

Excelには残存情報を一括検出・削除する機能が標準搭載されています。「ファイル」→「情報」→「問題のチェック」→「ドキュメント検査」を実行すると、コメント・プロパティと個人情報・非表示シート・非表示の行列・ヘッダーフッターなどが一覧で検出され、項目ごとに「すべて削除」できます。

運用のコツは2つ。①検査は必ずコピーしたファイルに対して行う（削除は元に戻せないため、社内保管用の原本と送付用を分ける）。②ピボットがある場合は、送付用では値貼り付けした静的な表に置き換えるのが確実です。

手順②：パスワード設定と、その限界を知る

ファイルを開くためのパスワードは「ファイル」→「情報」→「ブックの保護」→「パスワードを使用して暗号化」で設定します。現在のExcelの暗号化は強力で、十分に長く複雑なパスワードであれば実用上の保護になります。一方で限界も明確です。

短い・推測可能なパスワードは総当たりで破られ得る：12文字以上、英数記号混在が目安
パスワードを同じメールで送ったら意味がない：別経路（電話・SMS・別システム）で伝えます。「パスワードは後送メール」方式（いわゆるPPAP）は、誤送信対策としてほぼ無力なうえ受信側のウイルス検査を妨げるため、廃止する企業が増えています。可能なら権限管理できる共有リンク（クラウドストレージ）方式への移行を検討してください
「シートの保護」「ブックの保護」は暗号化ではない:操作ミス防止の機能であり、情報を守る機能ではありません

手順③：送付前チェックリストを仕組み化する

【送付前チェックリスト（例）】
□ 送付用コピーを作成したか（原本と分離）
□ 不要なシート・行・列を「非表示」でなく「削除」したか
□ ドキュメント検査を実行したか
□ 数式・ピボットを値貼り付けに置き換えたか
□ ファイル名に個人名・機密情報が入っていないか
□ 宛先（To/Cc）を指差し確認したか。同姓の別人に注意
□ パスワードは別経路で伝達したか／共有リンクの権限・期限を設定したか

チェックリストはExcelの1シートにして、送付記録（日付・宛先・ファイル名・確認者）とセットで残すと、万一の際の経緯説明にも使えます。ダブルチェック（作成者以外の宛先確認）は誤送信対策として最も費用対効果が高い施策です（関連記事：No.129 経理不正防止チェックリスト）。

実務の注意点・つまずきポイント

マイナンバーは特に厳格に：マイナンバーを含むファイルは保管・提供のルールが法令で定められています。そもそもメール添付での授受を避け、専用の安全な方法で扱ってください
CSVにはパスワードが付けられない：CSVは暗号化できません。個人情報入りCSVはzip暗号化ではなく、安全な共有手段で受け渡します
クラウドの共有リンクは「リンクを知っている全員」設定に注意：宛先指定・期限付き・ダウンロード制御を基本にします
スマホでの閲覧・転送も想定する:受信側の扱いまで含めて、重要度の高い情報は共有方法自体を相談して決めます
事故発生時の初動を決めておく：誤送信に気づいたら、削除依頼・上長報告・影響範囲の記録を即実施。要配慮個人情報の漏えいや1,000人超の漏えい等、個人情報保護委員会への報告義務に該当する場合は、速報を「知った時点からおおむね3〜5日以内」、確報を「30日以内（不正アクセス等の不正目的のおそれがある場合は60日以内）」に行う必要があり、本人への通知も必要です。該当判断を含めた対応フローを事前に準備しておきます（詳細は個人情報保護委員会の漏えい等対応ページで確認）

セキュリティチェックリストのご案内

本記事の内容を完成品にした「Excelファイル送付前セキュリティチェックリスト+送付記録簿」を用意しています。当ブログのテンプレート商品はすべて、この記事の考え方（不要情報の削除・保護の適切な使い分け）に沿って設計・検査したうえでお届けしています（設計思想は関連記事：No.150 テンプレート設計の原則）。