個人情報漏えい対応は「発覚後」では遅い
個人情報漏えいが発生したとき、企業に求められるのは単なる謝罪や再発防止策の発表だけではありません。個人情報保護委員会への報告、本人への通知、委託先との情報連携、証跡の保全、契約上の責任分担まで、短時間で複数の判断を進める必要があります。
特に近年は、クラウドサービス、外部委託、SaaS、生成AI、ECサイト、ランサムウェアなど、個人情報が社外のシステムや委託先を通じて扱われる場面が増えています。漏えいの発生場所が自社内とは限らない以上、対応フローも「社内で起きた事故」を前提にするだけでは不十分です。委託先で発生した漏えいであっても、委託元の管理責任や本人対応が問われる可能性があります。
個人情報漏えい時に確認すべき報告対象事態
個人情報保護法では、個人データの漏えい、滅失、毀損などが発生し、個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人通知が必要になります。法令上は、安全管理措置、従業者の監督、委託先の監督、漏えい等の報告等がそれぞれ定められており、漏えい対応は情報システム部門だけで完結するものではありません。
報告が必要となる代表的な類型は、主に次の4つです。第一に、病歴、健康診断結果、犯罪歴などの要配慮個人情報が含まれる個人データの漏えい等です。第二に、クレジットカード番号や決済サービスのID・パスワードなど、不正利用により財産的被害が生じるおそれがある個人データの漏えい等です。第三に、不正アクセスや盗難など、不正の目的をもって行われたおそれがある行為による漏えい等です。第四に、本人の数が多数に及ぶ漏えい等です。個人情報保護委員会は、報告が必要な場合としてこれらの類型を示しています。
ここで重要なのは、「実際に悪用されたかどうか」だけで判断しないことです。漏えいした可能性がある、第三者に閲覧された可能性がある、攻撃者がアクセスできた可能性があるという段階でも、報告対象に該当することがあります。反対に、高度な暗号化等により実質的に外部へ漏えいしていないと判断できる場合や、第三者に閲覧される前にすべて回収できた場合などは、報告を要しない場合として整理されています。ただし、報告不要と判断する場合でも、判断根拠を記録し、原因調査と再発防止策は残すべきです。
速報・確報・本人通知の進め方
漏えい対応で最も失敗しやすいのが、初動の遅れです。個人情報保護委員会は、発覚後まず速報を速やかに行うことを求めており、目安として発覚日から3〜5日以内、確報は原則として発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と整理されています。
速報の段階では、すべての事実が確定していないこともあります。そのため、初動で完璧な報告書を作ることよりも、現時点で把握している事実、漏えいした可能性のある情報項目、対象人数の見込み、発生原因の仮説、すでに実施した拡大防止策を整理することが重要です。報告を先延ばしにすると、後から「いつ知ったのか」「なぜ報告が遅れたのか」が問われやすくなります。
本人通知も同じです。本人に通知すべき事項は、単に「漏えいしました」という事実だけではありません。どのような情報が対象となるのか、どのような二次被害のおそれがあるのか、本人が取るべき対応は何か、企業として何を実施しているのかを、過不足なく伝える必要があります。曖昧な表現で不安を広げるのも問題ですが、確定していないことを断定するのも避けるべきです。
委託先で漏えいが起きた場合の責任分担
実務上、個人情報漏えいの難しさは、発生場所と責任主体が一致しない点にあります。たとえば、給与計算、ECサイト運用、配送業務、顧客管理システム、問い合わせ対応、クラウド保守などを外部に委託している場合、漏えいの発生地点は委託先であっても、顧客や従業員から見れば委託元企業の管理体制が問われます。
個人情報保護委員会のFAQでは、委託先で漏えい等が発生した場合、原則として委託元と委託先の双方が報告義務を負うとされています。ただし、委託先が委託元に対して速やかに必要事項を通知した場合、委託先の報告義務が免除される場合があります。つまり、委託先が黙っていてよいわけではなく、むしろ委託元への迅速な通知が極めて重要になります。
このため、契約書や業務委託基本契約で「漏えい発生時は速やかに報告する」とだけ書いていても足りません。何時間以内に、誰へ、どの方法で、どの項目を、どの粒度で報告するのかまで決めておく必要があります。特に休日・夜間の連絡体制、一次報告の期限、ログ保全、再委託先からの報告ルートは、事故が起きてから整えようとしても間に合いません。
契約書に入れておきたい責任分担の実務ポイント
委託先との契約では、平常時の秘密保持義務だけでなく、インシデント発生時の行動義務を具体化することが大切です。最低限、次の観点は契約条項や別紙のセキュリティ基準に落とし込むべきです。
まず、事故発生時の通知義務です。「漏えいのおそれを認識した時点」で通知対象とするのか、「漏えいが確定した時点」で足りるのかでは、初動の速さが大きく変わります。実務上は、確定前でも疑いがある段階で一次報告を求める設計が望ましいといえます。
次に、報告項目の明確化です。発生日時、発覚日時、漏えいした可能性のある情報項目、対象人数、原因、影響範囲、拡大防止策、ログの有無、再委託先の関与、本人通知への協力可否などを、事前にフォーマット化しておくと混乱を抑えられます。
さらに、証跡保全と調査協力も重要です。漏えい事案では、アクセスログ、操作履歴、メール送信履歴、ファイル共有履歴、端末利用記録などが原因究明の手がかりになります。委託先がログを短期間で削除している場合、委託元は報告や本人説明に必要な事実を把握できません。ログ保存期間、提出期限、調査協力義務、第三者調査への協力は、契約段階で定めておくべきです。
損害賠償条項についても、単に上限額を置くだけでは不十分です。本人対応費用、通知費用、コールセンター費用、調査費用、専門家費用、システム復旧費用、再発防止策の費用を誰がどの範囲で負担するのかを整理しておく必要があります。ただし、委託先に過大な責任を押し付ければよいわけではありません。現実的に履行できるセキュリティ水準と、事故時に協力できる体制を確認することが、結果的に委託元を守ります。
漏えい対応を社内体制として設計する
個人情報漏えい対応は、法務部門だけでも、情報システム部門だけでも完結しません。法務、総務、人事、情報システム、広報、カスタマーサポート、経営層が連携しなければ、報告、本人通知、問い合わせ対応、原因究明、再発防止が分断されます。
個人情報保護委員会も、漏えい等事案が発覚した場合に講ずることが望ましい措置として、内部報告と被害拡大防止、事実関係の調査と原因究明、影響範囲の特定、再発防止策、本人への連絡、公表を挙げています。これは、事故後に場当たり的に対応するのではなく、平常時から手順化しておくべき項目です。
特にランサムウェアや不正アクセスの場合は、個人情報保護委員会への報告だけでなく、警察、IPA、所管官庁、取引先、保険会社などとの連携が必要になることもあります。個人情報保護委員会のページでも、ランサムウェア事案について共通様式による報告ができることが示されており、サイバー事故と個人情報漏えい対応は切り離せなくなっています。
個人情報漏えいを防ぐには「契約」と「運用」をつなぐ
多くの企業では、契約書には秘密保持条項があり、社内規程には個人情報管理ルールがあります。しかし、実際の事故対応では、契約書と現場運用がつながっていないことが問題になります。
たとえば、委託先がどのクラウドを使っているのか、再委託先が存在するのか、誰が管理者権限を持っているのか、退職者アカウントが削除されているのか、ログは何日残るのか。こうした情報は、平常時に確認しておかなければ、漏えい発生時にすぐ把握できません。
契約書は「責任を追及するための文書」ではなく、「事故時に迷わず動くための設計図」として使うべきです。通知期限、報告様式、連絡先、証跡保全、再委託管理、調査協力、費用負担、本人対応への協力を具体化しておくことで、法的リスクだけでなく、顧客からの信頼低下も抑えやすくなります。
まとめ：個人情報漏えい対応は、報告フローと責任分担の事前設計が重要
個人情報漏えいが発生したとき、企業は短期間で多くの判断を迫られます。報告対象事態に該当するか、速報・確報をいつ出すか、本人通知をどう行うか、委託先からどの情報を集めるか、再発防止策をどう説明するか。これらを事故後に一から考えるのは危険です。
特に委託先が関与する漏えいでは、委託元と委託先の情報共有が遅れるほど、報告遅延、本人通知の不備、原因究明の遅れにつながります。個人情報漏えい対策は、セキュリティ対策だけでなく、契約設計、社内フロー、委託先管理、証跡保全を一体で整えることが重要です。
平常時に報告フローと責任分担を見直しておくことが、万一の事故時に企業と顧客の双方を守る現実的な備えになります。
コメント