「漏れたのはたぶん数十件だと思います、原因はまだ調べています」——インシデント対応の現場で、情報システムの担当者はよくこう報告してきます。悪気があるわけではなく、被害の全体像がまだ見えていないだけです。ただ、経営者として次に投げるべき問いは「本当に数十件か」ではありません。「その数字を、いつまでに、誰に伝える義務があるのか」です。個人情報の漏えいが起きた瞬間から、社内の技術的な対応とは別に、もう一つの時計が動き始めています。
この時計を無視したまま初動を進めた会社は、復旧が一段落したころに二つ目の事故に気づきます。期限に間に合わなかった、本人への通知が漏れていた——技術とはまったく無関係のところで起きる事故です。この記事では、個人情報保護法が定める漏えい等の報告と通知の骨格を整理したうえで、実務でいちばん苦しくなる場面、つまり「何が漏れたのか絞り込めない」という状態が、なぜ最も重い結果を招くのかまで踏み込みます。ランサムウェア感染直後の技術的な初動は、別の記事に譲ります。
速報と確報——なぜ二段構えになっているのか
報告は一度では終わりません。速報と確報の二段構えです。
個人情報保護法は、一定の要件にあてはまる漏えい等が起きたとき、事業者に個人情報保護委員会への報告を義務づけています。報告先は個人情報保護委員会が基本ですが、業種によっては監督権限が事業所管大臣に委任されていることがあり、自社がどちらの窓口になるのかを平時に調べていないと、事故のさなかにその確認だけで時間が溶けます。
二段構えになっている理由は単純です。漏えいに気づいた直後は、原因も範囲も分かっていません。すべて判明してから報告しようとすれば、報告自体がいつまでも先延ばしになります。そこで、分かっている範囲で概要を伝える速報と、調査が進んだ段階で内容を固める確報とに分けてあります。初動の速さと内容の正確さを一通の報告で両立させるのをあきらめた設計だ、と考えると腑に落ちるはずです。
速報は、漏えい等の事態を知った時点から、おおむね3日から5日以内。確報は原則として30日以内で、事態が不正の目的をもって行われたおそれがある場合には60日以内という、より長い期限が設定されています。不正アクセスや持ち出しが絡む事案は、原因の特定そのものに時間がかかります。だから確報の側に猶予が置かれている、という理解でおおむね合っています。
個人データが外部に流出した場合だけでなく、社内で紛失した、誤って本来アクセス権のない人に見られる状態にしてしまった、といった事態も含む言葉です。「盗まれた」という分かりやすい事件だけを想定していると、社内での誤送信や設定ミスのような、日常的に起こりうる事態を見落とします。
実務で必ず揉めるのが、「知った時」をいつと数えるかです。現場の担当者が違和感に気づいた時点か、調査で漏えいと確定した時点か、経営層に報告が上がった時点か。ここが曖昧なまま事故が起きると、速報までの残り日数もあわせて曖昧になります。会社として「知った」とみなされるのは、個々の担当者の認識ではなく、組織として合理的に把握しうる状態になった時点です。担当者が抱え込んでいた時間は、期限の計算から差し引いてはもらえません。
事故の初日、なぜか日付の議論が始まります。気づいたのは金曜の夜、責任者に届いたのは月曜の朝。どちらを起点にするか。決めていない会社は、ここで半日を使います。平時に「第一報を受けた時刻を起点とする」と一行書いておけば、まるごと消える会議です。事故が起きてから決めようとすると、どちらが自社に有利かという計算が混ざり、話がまとまりません。
なお、この記事は個人情報保護法の枠組みを一般的に説明するもので、個別の事案についての法的な助言ではありません。報告の要件や期限の細目は改正されることがあるため、実際に対応するときは、必ず個人情報保護委員会が公表している最新の資料で確認してください。
報告の対象になる「4つの事態」
すべての漏えいが報告義務の対象になるわけではありません。個人情報保護法は、報告が必要になる事態を4つの類型に整理しています。自社で起きた出来事がこのどれかにあたるかどうかを、まず落ち着いて確かめます。
- 要配慮個人情報が含まれる事態。病歴や犯罪歴など、特に慎重な扱いが求められる情報が含まれている場合です。件数の多い少ないにかかわらず対象になります。
- 財産的被害が生じるおそれがある不正アクセス等による事態。クレジットカード情報や口座情報など、金銭に直結する情報が絡む場合が典型です。
- 不正の目的をもって行われたおそれがある行為による事態。ランサムウェアによる暗号化や、外部からの不正アクセスによる持ち出しは、多くの場合この類型に該当します。原因が特定できていない段階でも、不正アクセスの痕跡がある時点で対象と考えておくのが安全です。
- 対象となる本人の数が、個人情報保護法上の基準である1,000人を超える漏えい等による事態。要配慮個人情報が含まれていなくても、規模だけで対象になります。
つまずきやすいのは、「うちは大した情報を扱っていないから対象外だろう」という自己判断です。4つのうち一つでもあてはまれば義務は発生しますし、複数に同時にあてはまることのほうがむしろ多い。ランサムウェアの被害は、暗号化の前に情報を持ち出す手口が一般的になったため③に該当し、持ち出された情報の内容や件数によって①や④が重なります。
たとえば、ある製造業の企業で、取引先からの発注メールを装った不正アクセスにより、顧客管理システムの一部に侵入されたとします。持ち出された情報に病歴のような要配慮個人情報が含まれていなくても、不正アクセスによる行為であること自体で③に該当します。さらに対象となった顧客が、個人情報保護法上の基準である1,000人を超えていれば④にも重なり、口座情報が含まれていれば②の財産的被害のおそれも加わります。一つの事故が複数の類型に同時にあてはまるのは例外ではなく、むしろ標準的な形です。
本人の人種、信条、病歴、犯罪の経歴など、不当な差別や偏見につながりうる情報として、個人情報保護法が特に慎重な扱いを求めている情報のことです。通常の氏名や連絡先よりも重く扱われ、含まれているかどうかで報告義務の有無や対応の優先順位が変わります。
どこに報告するのか——個人情報保護委員会という窓口
報告先の原則は個人情報保護委員会です。ただし業種によっては、その業種を所管する大臣に監督権限が委任されていて、事業所管大臣への報告という扱いになります。自社がどちらに該当するかは業種と事業の性質で決まっているので、落ち着いて調べれば済む話です。問題は、その手間を事故の最中には取れないことにあります。
速報は、内容の完成度より速さが優先される報告です。だからこそ、報告先が分かっていないという一点が、期限を落とす直接の原因になります。社内の対応フローに、窓口の名前と提出の方法まで書いてあるか。これは今日その場で開いて確かめられます。
| 区分 | 期限の目安 | 求められる内容 |
|---|---|---|
| 速報 | 事態を知った時から概ね3〜5日以内 | その時点で把握している範囲でよい。概要・発生日時・原因の見込みなど、分かっていることを伝える。 |
| 確報 | 原則30日以内（不正の目的による行為のおそれがある場合は60日以内） | 調査を尽くした上での、確定した範囲・原因・再発防止策を含む内容。 |
この表で見落とされがちなのは、速報に「完璧な報告」が要らないという点です。暫定的な情報で構わない設計になっているのに、内容を固めようとして時間をかけ、結果として期限そのものを超えてしまう会社があります。分かっていることと分かっていないことを分け、分かっている側だけを先に出す。速報は調査報告書ではなく、通報だと考えたほうが実態に合っています。
本人への通知という、もう一つの義務
委員会に報告すれば終わり、ではありません。
個人情報保護法は、報告の対象となる事態が生じた場合、原則としてその事態を知った後、速やかに本人へ通知することも義務づけています。委員会への報告と本人への通知は別々の義務であり、片方を済ませても、もう片方はそのまま残ります。
とはいえ、漏えいの範囲によっては、本人一人ひとりに連絡を取ること自体が現実的に難しい場合があります。連絡先が分からない、対象者が非常に多い、といった事情です。こうした場合には、個別の通知に代えて、事態を公表する、問い合わせ窓口を設置するといった代替措置をとることが認められています。ただしこれは「連絡が面倒だから公表で済ませる」という選択ではなく、個別通知が困難であることが前提になっている点に注意が必要です。
本人への個別通知が困難な場合に、それに代えて認められている対応のことです。事態の公表や、問い合わせ窓口の設置などが該当します。個別通知より簡単だからという理由で選べるものではなく、あくまで通知が現実的に難しいときの補完手段です。
公表文に問い合わせ窓口の番号を載せると、その番号は本当に鳴ります。代表番号をそのまま載せた会社では、通常の受注の電話が取れなくなりました。誰が、どの時間帯に、何と答えるのか。想定問答を一枚も用意しないまま窓口だけ開くと、答える人によって説明が食い違い、それが次の火種になります。窓口は設置するものではなく、運用するものです。
本人通知の文面をどう書くかで対応が止まってしまうことも、よくあります。謝罪の言葉と事実関係のどちらを先に置くか、何をどこまで開示するか。法律が細かく指定しているわけではないぶん、事故のさなかに社内で意見が割れます。骨格だけでも先に用意してあるかどうかで、着手から公表までの時間はまるで変わります。
加えて、通知を出す相手は本人だけではありません。同じ事実を、取引先にも、社内にも、場合によっては採用の面接に来る人にまで説明することになります。それぞれに別の話をしてしまうと、後から食い違いが表に出ます。誰に何をいつ伝えたかを一枚の表に記録しながら進めるだけで、この種の事故は避けられます。事故対応の途中で、記録を取る役を一人決めておいてください。
もう一つ悩ましいのが「速やかに」という言葉の重さです。確報のように明確な日数が示されていないので、担当者の側には「もう少し原因がはっきりしてから通知したい」という誘惑が働きます。しかし本人からすれば、自分の情報がどう扱われているかを知ることのほうが、企業側の説明の完成度より先にあります。通知の内容を完璧にすることより、分かっている事実を早く届けること。委員会への速報と同じ発想が、本人通知の側にも要ります。
実務でいちばん重いのは「範囲が絞り込めない」という事態
ここまでの制度は、原因と範囲が分かっていることを前提に組まれています。ところが実際のインシデント対応で最も苦しいのは、その前提が崩れたままの時間が続くことです。ログが残っていない、どのファイルにアクセスされたかの記録がない。この状態では、「漏れていない」ことを示す手段がそもそもありません。漏れた証拠がないことと、漏れていない証拠があることは、まったく別です。
範囲を絞り込めないとき、企業に残された道はほとんど一つしかありません。安全側に倒して、影響を受けた可能性のある人全員を対象に通知する。最大限の範囲での通知です。実際には一部の情報しか持ち出されていなかったとしても、それを示す記録がなければ、対象を限定した説明はできません。
今日5分で終わる確認があります。顧客データを置いているシステムの管理画面を開き、監査ログの保存期間だけ見てください。既定値のまま、数週間で古いものから上書きされている設定は珍しくありません。外から診断していても、この設定は見えません。けれど事故が起きた後には、この一行が通知先の人数をそのまま決めます。直すのも、たいていは一行です。
記録が自社の手元にあるとも限りません。外部のサービスに置いているデータの操作記録は、どこまでさかのぼれるかが契約や設定で決まっていて、事故が起きてから「もっと前まで見たい」と言っても増やせません。委託先に預けたデータであれば、記録の開示を頼むところから始まります。頼んでから届くまでの日数は、速報の期限を削りながら過ぎていきます。
範囲を正確に絞り込めるかどうかは、事故が起きたあとの対応力ではなく、事故が起きる前にどれだけ記録を残していたかでほぼ決まっています。アクセスログの保存や設計そのものは別の記事に譲りますが、通知範囲という法務側の論点から見ても、ログの有無が対応の重さを直接動かすことは押さえておいてください。
そして、最大限の範囲で通知すること自体にもコストがあります。実際には影響を受けていない顧客にまで連絡が届けば、問い合わせへの対応は膨らみ、取引先の受け止めも変わります。「念のため広く伝える」のは誠実な対応に見えますが、実際には記録が残っていなかったことの代償を、関係のなかった相手にまで負わせている面がある。範囲を絞り込めることは、通知を受ける側にとっても望ましい結果につながります。
平時にしか用意できないもの
速報の期限が数日というのは、事故が起きてから準備を始めるには短すぎます。事故の前に手をつけておかないと間に合わないものが、少なくとも四つあります。
誰が何を持っているかの台帳
「うちにはどんな個人情報が、どこに、どれくらいあるか」。即答できる会社は、意外なほど多くありません。紙の名簿、営業担当者のパソコン、クラウド上の顧客管理システム、委託先に渡したデータ。これらを横断して把握していなければ、漏えいが起きたときに、そもそも何が対象になりうるのかの見当すらつきません。台帳を作ること自体が、範囲を絞り込むための最初の一歩です。
委託先への連絡経路
個人情報の取り扱いを外部に委託しているなら、委託先で漏えいが起きたときの連絡経路が平時から決まっているかどうかが分かれ目になります。委託先からの一報が遅れれば、自社が知った時点もそのぶん遅れ、速報までの猶予は短くなります。委託契約の中に、発覚からどれくらいの時間で連絡するかを明記しておく。次の契約更新のときに一文足すだけで済みます。
広報文と通知文の雛形
本人への通知や公表の文面を、事故が起きてから一から書き始めると、内容を練っている間に期限が近づいてきます。謝罪の言葉、事実関係の記載順、問い合わせ窓口の案内といった骨格の部分は、業種や状況にあまり依存しません。空欄を埋めれば出せる状態にしておけば、公表までの時間を大きく縮められます。
社内での第一報のルート
現場の担当者が「おかしい」と気づいてから経営層に第一報が届くまでの経路が明確でなければ、「事態を知った時」という起点そのものが曖昧になります。個人情報保護委員会への報告期限は企業がいつ知ったかを基準に数えるため、社内で情報が止まっている時間は、そのまま期限までの猶予を削っています。
厄介なのは、現場が「経営に報告すると大ごとになる」と感じている場合です。小さな違和感の段階で声を上げられるかどうかは、規程や体制の話である以前に、日ごろの空気の問題で、規程だけ整えても人は動きません。第一報を受けた経営者が最初にやるべきことは、原因の追及ではなく、事態を知った時刻を記録し、報告と通知の期限を逆算して社内で共有することです。
四つとも、何かを買って解決する類の対策ではありません。台帳を作る、連絡経路を決める、文面の骨格を用意する。どれも社内で言葉にして決めるところから始まります。自社だけで整理しきれない場合や、委託先を含めた対応フロー全体を点検したい場合は、無償のご相談窓口をご利用ください。
いつも同じ話に行き着く理由
速報の期限、4つの類型、本人通知、代替措置。制度の名前を並べると複雑に見えますが、実務で効いてくる論点はいつも一点に集まります。「何が起きたかを、どれだけ早く、正確に把握できるか」です。把握が早ければ速報は間に合い、把握が正確であれば通知の範囲は必要最小限で済みます。遅れて曖昧なままであれば、期限に追われ、通知は広がり、説明のコストが膨らみます。
この把握する力は、事故対応の技術ではなく、平時の記録と体制で決まっています。法律が求める期限そのものは動かせませんが、その期限にどれだけ余裕を持って立てるかは、事故が起きる前にすでに決まっている。制度を「守るべきルール」としてではなく、「自社の準備状況を映す鏡」として一度読み直してみてください。関連する話題はコラム一覧でも取り上げています。
- 個人情報の漏えい等が起きた場合、個人情報保護委員会（業種によっては事業所管大臣）への報告が義務づけられている。
- 報告は速報と確報の二段構え。速報は事態を知った時からおおむね3〜5日以内、確報は原則30日以内（不正の目的による行為のおそれがある場合は60日以内）。
- 報告の対象は4類型。要配慮個人情報を含む事態、財産的被害のおそれがある不正アクセス等、不正の目的による行為のおそれがある事態、対象1,000人超の漏えい等（個人情報保護法上の基準）。
- 委員会への報告とは別に、本人への通知も義務。個別通知が難しい場合は、公表や問い合わせ窓口の設置といった代替措置が認められる。
- 範囲を絞り込めないと、安全側に倒して最大限の範囲で通知せざるを得なくなる。台帳・ログ・委託先との連絡経路といった平時の準備が、通知範囲の広さを直接左右する。
- この記事は一般的な情報提供であり法的助言ではない。最新の要件と期限は個人情報保護委員会の公表資料で必ず確認する。
参考になる公的資料
実際に対応するときの一次情報として、以下の資料が土台になります。いずれも個人情報保護委員会が公表しているものです。
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 個人情報保護委員会「個人情報の漏えい等の事案が発生した場合等の対応について」
- 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ&A」
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- NISC「サイバーセキュリティ関係法令Q&Aハンドブック」
