事案の概要データ
| 公表日 | 2026年11月4日（ウェルネス・コミュニケーションズ） |
|---|---|
| 構造 | 顧客企業 → あしたのチーム（販売）→ ラフール（OEM提供元・システム） |
| 対象サービス | 組織サーベイ「あしたのサーベイ」 |
| 件数 | 顧客企業3社の209名分 |
| 取得された情報 | 氏名、所属部署、従業員番号、ストレスチェック結果等 |
| 情報の性質 | ストレスチェック結果は健康に関する情報であり、個人情報保護法でいう要配慮個人情報にあたる |
| 報告義務 | 要配慮個人情報が含まれる漏えいは、件数にかかわらず個人情報保護委員会への報告対象 |
図解：この事故の構造
何が起きたのか
ウェルネス・コミュニケーションズは2026年11月4日、子会社である株式会社あしたのチームが販売する組織サーベイ「あしたのサーベイ」のOEM提供元である株式会社ラフールのシステムへの不正アクセスにより、顧客企業3社の209名分の氏名、所属部署、従業員番号、ストレスチェック結果等が不正に取得されたと公表しました。
件数は209名分と小規模ですが、ストレスチェックの結果は、個人情報保護法でいう「要配慮個人情報」にあたります。
ストレスチェックの結果が漏れるということ
ストレスチェックは、労働安全衛生法に基づき、常時50人以上の労働者がいる事業場に義務づけられている制度です（50人未満は努力義務）。従業員のストレスの状態を調べ、高ストレスと判定された人には医師の面接指導を勧めます。
この制度には、法律で定められた厳しい決まりがあります。
①本人の同意なく、事業者（会社）が個人の結果を見ることはできません。
②実施者（医師・保健師など）が結果を管理します。
③結果を理由に、不利益な取扱いをしてはいけません。
つまり、会社の中でも、簡単には見られない情報です。それが外部に出たということの重さが、ここにあります。
漏れた場合に本人が受ける影響は、ほかの個人情報とは質が違います。「あの人は高ストレス判定だったらしい」という情報は、取り消せません。 転職や人間関係に影響しうるものです。
だから、要配慮個人情報の漏えいは、件数にかかわらず個人情報保護委員会への報告が必要とされています。209名でも、1名でも同じです。
本サイトでは同じ11月に、チームスピリット（勤怠管理サービス・28,824件のうち要配慮個人情報35件）も扱いました。人事・労務の領域には、要配慮個人情報が静かに溜まっています。
「OEM提供元」という、もう一段奥の会社
この事案の構造を整理します。
顧客企業（3社）→ あしたのチーム（サービスを販売）→ ラフール（OEM提供元・実際のシステム）
顧客企業が契約したのは「あしたのサーベイ」です。ラフールという会社名を知らなかった可能性が高い。 画面にも出ていなかったかもしれません。
「OEM」とは、他社が作ったものを、自社の名前で売る形です。中小企業向けのITサービスには、この形がたくさんあります。保険代理店が売るクラウド会計、業界団体が勧める予約システム、商工会議所経由のホームページサービス。中身は別の会社が作っていることがよくあります。
本サイトでは11月だけで、同じ「もう一段奥」の構造を何度も扱いました。ライフコーポレーション（富士通→アララ）、GMOメイクショップ（ネットショップ→GMOメイクショップ→アララ）、山梨県（アソビュー→アララ）、そして本件です。
中小企業がサービスを契約するときに、1つ聞いておいてください。
「このサービスのシステムは、御社が作っていますか。別の会社のものを提供していますか」
答えが「別の会社です」なら、もう1つ。「事故があったとき、その会社からの報告は何日以内に届きますか」
契約を断る必要はありません。知っておくだけで、事故のときに動きが変わります。 「聞いたことのない会社の名前で連絡が来た」と慌てずに済みます。
特に、従業員の健康情報や人事評価を扱うサービスでは、この確認をしておく価値があります。扱う情報の重さが違うからです。
時系列で見る経過
- （時期は未公表）OEM提供元である株式会社ラフールのシステムが不正アクセスを受ける
- 2026年11月4日ウェルネス・コミュニケーションズが公表。顧客企業3社の209名分の情報が不正に取得される
中小企業が学ぶべきポイント
- ストレスチェックの結果は要配慮個人情報。漏えいは件数にかかわらず個人情報保護委員会への報告対象。
- ストレスチェックは、会社の中でも本人の同意なく個人の結果を見られない情報。それが外部に出た。
- 「高ストレス判定だったらしい」という情報は取り消せない。他の個人情報とは影響の質が違う。
- 人事・労務の領域には、要配慮個人情報が静かに溜まっている。
- 顧客企業が契約したのは「あしたのサーベイ」で、実際のシステムを作っていたラフールの名は知らなかった可能性が高い。
- OEM（他社が作ったものを自社の名前で売る形）は、中小企業向けITサービスに多い。
- 契約のとき「このシステムは御社が作っていますか、別の会社のものですか」と聞く。
- 別の会社なら「事故のとき、その会社からの報告は何日以内に届きますか」も聞く。
- 契約を断る必要はない。知っておくだけで、事故のときに慌てずに動ける。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。