会社に閲覧履歴は見られる？端末とWi-Fi別に解説

答えを決めるのは 2 つのことです。手元のデバイスが誰のものか、そしてそれが誰のネットワークにつながっているか。シークレットモードも履歴の削除も、何も変えません。

結論から言うと、会社から支給されたデバイスなら、どのネットワークでもシークレットモードでも、アクセスしたウェブサイトは会社に見えると考えてください。私物のデバイスを会社の Wi-Fi につないでいる場合、会社に見えるのはアクセスしたサイトの名前で、ページまでは見えません。私物のデバイスを自分の回線で使っているなら、会社はあなたの閲覧を見られません。

状況ごとに会社に見えるもの

会社のパソコンや会社のスマホの閲覧履歴は見られますか？

はい。会社が管理しているデバイスでは、記録はブラウザの中で行われるわけではないので、ブラウザで何をしても消せません。

管理されたパソコンでは通常、会社に報告を送るセキュリティソフトが動いています。Microsoft Defender for Endpoint のWeb コンテンツ フィルタリングは、「コンテンツカテゴリに基づいてウェブサイトへのアクセスを追跡・規制」するための機能で、「ネットワーク上でも外出中でも」管理されたデバイスで働き、アクセスされたドメインやブロックされたドメインを一覧にしたレポートを管理者に提供します。

専用の監視製品はさらに踏み込みます。アメリカの全米労働関係委員会（NLRB）の法務顧問が 2022 年に出したメモは、「キーロガーや、一日中スクリーンショット、ウェブカメラの写真、音声を記録するソフトウェアで従業員のパソコンを監視する」雇用主について書いていました（NLRB（英語））。このメモは 2025 年 2 月に撤回されましたが、そこに書かれたツールは今も売られています。

会社のスマホも同じです。会社所有の Android スマホでは、管理アプリがネットワークのログを有効にでき、すべての DNS の問い合わせと接続の試みを、それを行ったアプリと一緒に記録します（Android Developers（英語））。会社所有の iPhone では、Apple が組織に対して、ウェブの通信を組織のプロキシ経由にすることを認めていて、これで「学校や職場と自宅の両方でデバイスをフィルタリングできます」（Apple）。Apple の監視対象デバイスに関するページには、「所属組織がデバイスのインターネットトラフィックを監視し、その所在地を確認できるというメッセージが設定画面に表示されることがあります」とあります。

だからこそ、会社のデバイスについての答えは、自宅でも会社のネットワークの外でも「はい」のままです。監視はデバイスと一緒に移動します。

会社の Wi-Fi につないだ私物スマホの閲覧は見られますか？

一部は見られます。ネットワークを運営している人は、各デバイスがどのサイトに、何時に接続し、どれだけデータが流れたかを記録できます。HTTPS なら、ネットワークから具体的なページ、検索、入力した内容は見えません。会社のファイアウォールは、あなたのスマホが午後 1 時 15 分に求人サイトに接続したことはわかっても、どの求人を開いたかはわかりません。

例外が 1 つあります。多くの会社は TLS インスペクションを使っています。セキュリティゲートウェイが HTTPS の通信を復号して中身を読み、もう一度暗号化する仕組みです。Cloudflare は自社のゲートウェイのドキュメントで、HTTPS で送られる「すべての通信を復号し、HTTP ポリシーを適用してから、リクエストを再び暗号化する」とその流れをはっきり説明しています（英語）。これが働くのは、会社のルート証明書がインストールされて信頼されているデバイスだけです。会社のデバイスにはそれがあります。私物のスマホにはありません。ただし、会社の Wi-Fi につなぐために証明書やプロファイルをインストールした場合は別です。その場合、そのネットワーク上では会社があなたの閲覧の中身を読めます。Wi-Fi のパスワードを入力しただけなら、見えるのはサイト名だけで、それ以上はありません。どの Wi-Fi の持ち主にも見えるのと同じ範囲で、Wi-Fi の持ち主に見えるもので説明しています。モバイルデータなら、何も見えません。

自宅で私物のデバイスを使えば、会社に閲覧履歴は見られませんか？

見られません。仕事用ソフトの入っていない私物のパソコンやスマホを、自宅の回線やモバイルデータで使っているなら、会社には訪れたサイトを見る技術的な手段がありません。

この安全な状態から外れる要因は 3 つあります。

• 仕事用アカウント。 仕事用アカウントの中での行動は、どのデバイスを使っても会社に見えます。仕事用のメール、ファイル、チャットも含まれます。詳しくは can my boss read my Slack messages（英語）で説明しています。
• ブラウザの仕事用プロフィール。 仕事用アカウントで Chrome にログインすると、そのブラウザのプロフィールが管理対象になることがあります。Google によると、管理対象のブラウザでは、管理者が「特定の機能の設定や制限、拡張機能のインストール、アクティビティの監視、ユーザーによる Chrome の使用方法の管理などを行っている可能性があります」（Chrome ヘルプ）。個人の閲覧は別の個人用プロフィールで行いましょう。
• 会社の VPN。 会社の VPN に接続している間は、通信の一部またはすべてが会社のネットワークを通り、オフィスの通信と同じように記録されます。仕事が終わったら切断しましょう。

私物スマホの MDM には何が見えますか？

Apple や Google が私物デバイス向けに想定している方法で登録されていれば、多くの人が心配するよりは少ないです。

iPhone と iPad。 Apple は登録方法ごとに何ができるかの表を公開しています。「Safariブラウザの履歴を表示する」は、会社が完全に所有する場合も含め、どの登録方法でも許可されていません。個人用のメール、メッセージ、通話記録の表示も同じです。Apple が従業員所有のデバイス向けに作ったユーザ登録では、会社は個人用アプリの一覧を取得することも、デバイス全体の VPN を構成することも、スマホ全体を消去することもできません。

より強い登録方法では、できることが増えます。iPhone がデバイス全体のプロファイルで登録されていれば、会社はインストールされているすべてのアプリの一覧を取得し、デバイスの VPN を構成できます。通信が VPN を通る場合、そのネットワークアクティビティは監視やフィルタリングの対象になりえます。会社はそれでも Safari の履歴を開けませんが、自社のトンネルを通る通信は記録できます。

Android。 仕事用プロファイルはスマホを 2 つに分けます。Google の Android Enterprise ヘルプには、「組織は、個人用プロファイル内のアプリやデータを確認することはできません」とあります。会社に見えるのは、仕事用プロファイルのアプリ、管理対象のアカウント、仕事用アプリのネットワークアクティビティに加え、機種、シリアル番号、電話番号などのデバイスの詳細です。仕事用プロファイルで構成された VPN は、個人用プロファイルのアプリの通信を通しません。

メッセージから写真まで、私物スマホで会社に見えるもの、見えないものの全体は can my employer see my personal phone（英語）にまとめています。

Okta、Outlook、ポータル サイトなどの仕事用アプリに閲覧は見えますか？

私物のスマホに仕事用アプリを入れても、ブラウザの履歴が会社に渡るわけではありません。各アプリが何を報告するかは公開されています。

• ポータル サイト（Microsoft Intune）。 デバイスを登録したときに組織が見られるものについての Microsoft のページは、「組織で見えないもの」として、メール、テキスト メッセージ、連絡先、写真、パスワードなどと並べて「通話と Web 閲覧の履歴」を挙げています。組織に見えるのは、デバイスの所有者、名前、モデル、シリアル番号、OS で、私物のデバイスでは、管理対象の仕事用アプリと電話番号の下 4 桁も見えます。
• Okta Verify。 Okta の Okta Verify が収集するデータ（英語）の一覧は、デバイス名、機種、メーカー、プラットフォーム、OS のバージョン、アプリ ID、登録に使ったメールアドレス、アプリのログです。閲覧履歴は含まれていません。Okta が扱うのは仕事用アプリへのサインインなので、見えるのもそのサインインです。
• Outlook と Teams。 仕事用アプリでタップしたリンクは、仕事用のブラウザで開くことがあります。Microsoft のスマホで Edge を管理するガイドには、「Outlook と Microsoft Teams がアプリの保護ポリシーによって保護されている場合、それらのアプリは Microsoft Edge でリンクを開き」とあります。Edge の中では仕事用アカウントと個人用アカウントが分けられ、仕事用の側のルールは会社が決めます。仕事用アプリから開いたものは、仕事の閲覧として扱いましょう。個人的な検索は、自分のブラウザを開いてそこで入力してください。

例外は、前に説明した会社所有の完全管理されたスマホで、そこではウェブの通信が会社のフィルタや VPN を通ることがあります。

「ネットワークが監視されることもあります」とはどういう意味ですか？

監視されている Android スマホでは、クイック設定の下部にお知らせが表示され、その文言で自分がどの状況にあるかがわかります。以下は Android のシステム文字列からの引用です。

• 「これは組織が所有するデバイスで、ネットワーク トラフィックが監視されることもあります」 会社所有で完全管理されたスマホです。どこにいても会社のデバイスのルールが当てはまると考えてください。
• 「組織は仕事用プロファイルのネットワーク トラフィックを監視することがあります」 スマホに仕事用プロファイルがあります。対象は仕事用アプリで、個人用アプリではありません。
• 「ネットワークが監視されることもあります」 デバイスに認証局がインストールされています。Android の説明は「保護されたネットワーク トラフィックが監視、変更される可能性があります」です。自分で意図してインストールしたものでなければ、下の証明書の手順で探してください。

iPhone では、監視対象のデバイスの設定画面に、組織がインターネットトラフィックを監視し、デバイスの所在地を確認できるというメッセージが表示されることがある、と Apple は説明しています。

デバイスが管理または検査されているか確かめる方法

1. iPhone または iPad。 「設定」を開きます。監視対象のデバイスでは、「設定」のメインページの上部に監視についてのメッセージが表示されます。次に 「設定」＞「一般」＞「VPNとデバイス管理」 に進み、プロファイルがあればタップして、証明書や VPN の設定を含め何を制御しているかを確認します。手動でインストールした証明書は 「設定」＞「一般」＞「情報」＞「証明書信頼設定」 に表示されます（Apple）。
2. Mac。 「システム設定」＞「一般」＞「デバイス管理」 を開きます（Mac ユーザガイド）。一覧が空なら、構成プロファイルはインストールされていません。
3. Android。 クイック設定を引き下ろし、下部に上のお知らせのどれかが出ていないか読みます。次に設定のアカウントの画面で、仕事用のタブがないか確認します。あれば仕事用プロファイルがあります。証明書は [セキュリティとプライバシー]＞[セキュリティの詳細設定]＞[暗号化と認証情報] を開き、[ユーザー認証情報] と、信頼できる認証情報の一覧のユーザーのタブを確認します（Pixel ヘルプ）。メニュー名はメーカーによって異なります。
4. Windows。 [設定]＞[アカウント]＞[職場または学校にアクセスする] を開きます。接続された仕事用アカウントがあれば、そこに表示されます。
5. Chrome。 右上のメニューを開きます。下部に「組織によって管理されています」と表示されていれば、ブラウザは管理対象です。Google のヘルプページでは chrome://management も案内していて、管理者が何を設定したかを一覧で確認できます。Microsoft Edge では、edge://policy に適用されているすべてのポリシーが表示されます。
6. どのブラウザ、どのデバイスでも。 よく知られた HTTPS のサイトを開き、アドレスの横のアイコンをクリックして証明書を表示します。発行者を見てください。一般の認証局なら普通です。発行者が勤務先の名前やセキュリティ製品なら、そのデバイスかネットワークで HTTPS の通信が復号され、検査されています。

会社のデバイスなら、これはすべて想定どおりです。会社の機器であり、こうした管理は機器を守るためのものなので、外したり回避したりしようとしないでください。代わりに、個人の閲覧をそのデバイスでしないようにしましょう。

会社が閲覧を監視するのは合法ですか？

ここで紹介するのは一般的な情報で、法的な助言ではありません。詳細は働く場所によって変わります。以下はアメリカ、イギリス、ヨーロッパの例で、日本の法律については扱っていません。

アメリカ。 連邦法は緩やかです。電子通信プライバシー法（ECPA）は通信の傍受を禁じていますが、18 U.S.C. 2511(2)(d) は「通信の当事者の一方が事前に同意している」場合を合法としていて（18 U.S.C. 2511（英語））、入社時に同意した利用規程が通常その同意として扱われます。連邦法は、監視について雇用主が従業員に知らせることを義務づけていません。義務づけている州もあります。

• ニューヨーク州。 市民権法 52-c 条（英語）は、電話、メール、「インターネットへのアクセスや利用」が監視されることがあると、採用時に書面で通知するよう求めています。従業員はそれを確認する必要があり、通知は従業員から見える場所に掲示しなければなりません。民事罰は、最初の違反で最大 500 ドル、2 回目で 1,000 ドル、それ以降は 1 回ごとに 3,000 ドルです。
• コネチカット州。 一般法 31-48d 条は、雇用主の敷地内で使われる電子的監視の種類を事前に書面で通知するよう求めています（Conn. Gen. Stat.（英語））。罰則は同じく 500 ドル、1,000 ドル、3,000 ドルの段階です。
• デラウェア州。 19 編 705 条は、雇用主が毎日電子的に通知するか、従業員が確認する 1 回限りの通知をしない限り、メールとインターネット利用の監視を禁じています（19 Del. C. 705（英語））。民事罰は違反 1 件につき 100 ドルです。

イギリス。 情報コミッショナー事務局（ICO）は労働者の監視に関するガイダンス（英語）で、データ保護法は「労働者の監視を妨げるものではない」としつつ、雇用主は何をなぜ収集するのかを労働者に知らせ、適法な根拠を持たなければならないとしています。さらに、労働者のプライバシーへの期待は「職場よりも自宅のほうがかなり大きい可能性が高い」と付け加えています。

EU とヨーロッパ全体。 GDPR も同じように透明性と比例性を求めます。バルブレスク対ルーマニア事件（2017 年）で、欧州人権裁判所は、監視されたメッセージを理由に解雇された従業員について、事前に知らされていたかを国内の裁判所が確認しなかったとして、私生活の尊重を受ける権利の侵害を認めました（ECtHR factsheet（英語））。

共通しているのは、仕事用システムの監視は基本的に認められていて、法律が主に付け加えるのは知らせる義務だ、ということです。だからこそ、勤務先の監視ポリシーは読んでおく価値があります。

個人の閲覧を会社から切り離す方法

1. 個人的なことには自分のデバイスを使う。 転職活動、健康の調べもの、銀行の手続きは、会社が管理していないスマホやパソコンで行いましょう。
2. 自分の回線を使う。 オフィスでは、モバイルデータを使えば私物のスマホを会社のネットワークから完全に外せます。
3. 会社のパソコンに個人のアカウントを入れない。 そこで個人のメールにログインしないでください。採用担当者、病院、銀行には、仕事用ではなく個人のアドレスを伝えましょう。Secria Mail はその役割のために作られています。メールはゼロアクセス暗号化で保存され、トラッキングピクセルは自動で削除され、送信者にあなたの IP アドレスが知られることはありません。無料プランもあります。
4. いちばん軽い登録方法を選ぶ。 どうしても仕事をスマホに入れる必要があるなら、Android では仕事用プロファイル、iPhone ではユーザ登録を頼み、受け入れる前に登録の画面をよく読みましょう。

個人の側を個人のままに

あなたが管理できるのは、自分のスマホ、自分のネットワーク、自分のアカウントです。オフィスのゲスト用 Wi-Fi、ホテル、取引先など、ほかの誰かが運営するネットワークを私物のスマホやパソコンで使わなければならないときは、VPN を使えば、アクセスしたサイトの名前をそのネットワークから隠せます。Secria VPN はアクティビティログを保存しません。閲覧内容、DNS クエリ、通信内容を記録しません。料金は単体で月 $7.99、または Pro に含まれています。

よくある質問

シークレットモードなら、会社に閲覧履歴は見られませんか？ 会社のデバイスや会社のネットワークでは見られます。シークレットモードが止めるのは、ブラウザがデバイスに履歴を保存することだけです。Google の Chrome ヘルプも、「ネットワークを管理している組織（学校、勤務先、インターネット サービス プロバイダなど）には、シークレット モードでのアクティビティが知られる可能性があります」としています。詳しくは what incognito mode hides（英語）にまとめています。

閲覧履歴を削除すれば、会社に見られませんか？ 最初に記録されていれば、見られます。履歴を削除して消えるのはブラウザの中のコピーです。監視ソフトや会社のネットワークが残したログには、ブラウザからは手が届きません。

VPN を使えば、会社に閲覧履歴は見られませんか？ 会社のデバイスでは、個人の VPN を使っても、デバイスの中で動いているソフトからは何も隠せません。会社の VPN は隠すのとは逆で、通信を会社のネットワークに通します。自分のデバイスなら、個人の VPN で、自分が管理していない Wi-Fi からサイト名を隠せます。

会社のネットワークにつないでいなければ、閲覧履歴は見られませんか？ 会社のパソコンや会社のスマホなら、見られると考えてください。監視ソフトはデバイスと一緒に移動し、自宅でもどの Wi-Fi でも動きます。仕事用の管理が入っていない私物のスマホを自宅の回線やモバイルデータで使っているなら、見られません。仕事用プロファイルがある場合は、会社に報告するのは仕事用アプリだけです。

DuckDuckGo などのプライベート検索エンジンを使えば、検索を会社から隠せますか？ 隠せません。プライベート検索エンジンが制限するのは、検索会社が保存する情報です。管理されたデバイスや検査されているネットワークが記録できるものは変わりません。