はじめに
個人情報漏えいが起きたとき、企業に求められるのは「謝罪文を出すこと」だけではありません。法令上の報告、本人通知、委託先との責任分担、証拠保全、再発防止、顧客対応までを短期間で整理する必要があります。
特にECサイト、クラウドサービス、外部委託、SaaS、コールセンター、物流、給与計算など、個人データの取扱いを外部に任せている企業では、「誰が報告するのか」「誰が本人に通知するのか」「費用負担はどちらか」が曖昧なままになりがちです。
本記事では、個人情報漏えい事案における法的報告フローと、委託契約で整理しておくべき責任分担を、実務で使える形にまとめます。
個人情報漏えい対応は「初動」と「責任分担」で決まる
個人情報漏えいが発覚した直後に最も危険なのは、事実確認が不十分なまま対外発表を急ぐことです。一方で、確認に時間をかけすぎて報告や本人通知が遅れることもリスクになります。
個人情報保護委員会のガイドラインでは、漏えい等事案が発覚した場合に、事業者内部での報告と被害拡大防止、事実関係の調査、原因究明、影響範囲の特定、再発防止策の検討・実施、必要に応じた報告・本人通知を行うことが示されています。
つまり、実務では次の順番をあらかじめ決めておくことが重要です。
- 誰がインシデントを受け付けるか
- 誰が個人情報保護委員会への報告要否を判断するか
- 誰が委託先・再委託先から情報を集めるか
- 誰が本人通知・公表文を作るか
- 誰が再発防止策と契約上の求償を整理するか
ここが決まっていない企業では、発覚後に法務、情シス、営業、広報、委託先がそれぞれ別々に動き、かえって混乱が広がります。
報告が必要になる個人情報漏えいの4類型
すべてのミスが個人情報保護委員会への報告対象になるわけではありません。報告対象となるのは、個人の権利利益を害するおそれが大きいものとして定められた事態です。
主な類型は、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合です。高度な暗号化など、個人の権利利益を保護するために必要な措置が講じられている場合は、報告を要しない場合があります。
実務で特に注意したいのは、次のようなケースです。
ECサイトでクレジットカード情報や決済関連情報が流出した可能性がある場合は、財産的被害につながるおそれがあります。従業員の健康診断情報、病歴、介護情報などが含まれる場合は、要配慮個人情報として慎重に扱う必要があります。
また、不正アクセス、マルウェア感染、ランサムウェア、Webスキミング、従業員による不正持ち出しなどは、「実際に漏えいしたか確定していない」段階でも、漏えいのおそれとして報告対象になり得ます。
発覚後の報告フロー｜速報・確報・本人通知の順番
個人情報漏えいが発覚したら、まず社内で事案を止めることが先です。アクセス遮断、アカウント停止、公開設定の変更、ログ保全、委託先への調査依頼など、被害拡大を防ぐ対応を行います。
そのうえで、報告対象事態に該当する可能性がある場合は、速報を行います。速報は、報告対象事態を知った後「速やかに」行う必要があり、目安はおおむね3〜5日以内です。速報では、発覚時点で把握している内容を報告すれば足ります。
その後、確報を行います。確報は原則として30日以内、不正の目的をもって行われたおそれがある事態では60日以内です。期限内にすべてが判明していない場合でも、その時点で把握している内容を報告し、判明次第追完する運用が示されています。
本人通知は、報告対象事態を知ったときに、本人の権利利益を保護するために必要な範囲で速やかに行います。通知内容は、概要、漏えい等が発生した個人データの項目、原因、二次被害のおそれ、本人が取れる対応などを、わかりやすく整理する必要があります。
ここで重要なのは、速報、本人通知、公表を同じ文面にしないことです。個人情報保護委員会への報告は行政向けの事実整理です。本人通知は、対象者が自分を守るための情報提供です。公表文は、社会的説明責任を果たすための文書です。それぞれ目的が違うため、同じ情報を使いながらも、表現と粒度を分ける必要があります。
委託先で漏えいした場合、誰が報告するのか
個人情報漏えい対応で最も揉めやすいのが、委託先で事故が起きた場合です。
個人データの取扱いを委託している場合、報告対象事態に該当すれば、原則として委託元と委託先の双方が報告義務を負います。ただし、委託先が報告義務を負う委託元に対して、当該事態が発生したことを通知した場合、委託先の報告義務が免除される仕組みがあります。委託元と委託先の連名で報告することも可能です。
このルールを実務に落とすと、委託契約で次の点を明確にしておく必要があります。
委託先は、漏えいまたは漏えいのおそれを知った時点で、何時間以内に委託元へ連絡するのか。初報で最低限伝えるべき情報は何か。ログ、証跡、影響範囲、再委託先の関与、本人通知の要否を誰が判断するのか。個人情報保護委員会への報告は委託元が行うのか、連名で行うのか。
これらを事故発生後に話し合うのは遅すぎます。平時の契約と運用ルールに落とし込んでおくべきです。
契約書に入れておきたい個人情報漏えい対応条項
委託先管理では、契約書に「個人情報を適切に管理する」と書くだけでは不十分です。事故が起きたときに動ける条項になっているかが重要です。
まず必要なのは、インシデント通知条項です。漏えい、滅失、毀損、不正アクセス、ランサムウェア感染、誤送信、誤公開、再委託先での事故などを対象に含めます。通知期限は「速やかに」だけではなく、初報は24時間以内、追加報告は判明次第、確報に必要な情報は期限を定めて提出するなど、実務で動ける形にすることが望ましいです。
次に、証拠保全条項です。アクセスログ、操作ログ、メール送信履歴、サーバーログ、問い合わせ履歴、設定変更履歴、バックアップ状況などを削除せず保全する義務を入れます。ランサムウェアや不正アクセスでは、原因調査の前にログが消えると、報告内容も再発防止策も曖昧になります。
また、再委託条項も重要です。委託元は、委託先が再委託する相手方、業務内容、取扱方法について、事前報告または承認を受ける仕組みを整える必要があります。個人情報保護委員会のガイドラインでも、委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握が必要とされています。
さらに、本人通知・公表・問い合わせ対応の役割分担も欠かせません。誰の名前で通知するのか、問い合わせ窓口はどちらが持つのか、FAQを誰が作るのか、炎上時の広報判断を誰が行うのかを決めておくと、初動の混乱を減らせます。
最後に、費用負担と損害賠償です。調査費用、通知費用、コールセンター費用、郵送費、専門家費用、システム復旧費用、再発防止対応費用を、どの範囲で誰が負担するのかを定めます。ここを曖昧にすると、事故対応の最中に委託元と委託先の関係が悪化し、顧客対応が後回しになります。
ランサムウェア事案では共通様式と報告先確認が重要
近年は、ランサムウェアによる個人データの暗号化や窃取が大きなリスクになっています。ランサムウェア事案では、個人データが復元できなくなった場合に「毀損」に該当することがあり、同時に窃取されていれば「漏えい」にも該当し得ます。
個人情報保護委員会は、漏えい等報告フォームや記入例を公開しており、ランサムウェア事案については令和7年10月1日以降、関係省庁申し合わせに基づく共通様式を使った報告が可能とされています。
ただし、業種によっては報告先が個人情報保護委員会ではなく、権限委任先省庁になる場合があります。特に金融、医療、通信、行政関連などでは、報告前に最新の報告先を確認することが必要です。
中小企業が平時に整えておくべき漏えい対応チェックリスト
中小企業では、専門の法務部やCSIRTがないことも多く、事故が起きてから体制を組むのは現実的ではありません。だからこそ、最低限のチェックリストを用意しておくことが効果的です。
まず、個人情報管理台帳を整備します。どの業務で、どの個人データを、どのシステムに、誰が、どの委託先と共有しているのかを一覧化します。EC、給与、採用、問い合わせ、会員管理、配送、メルマガ、広告運用など、個人情報が流れる業務を洗い出すことが出発点です。
次に、委託先一覧を整えます。クラウドサービス、システム会社、広告代理店、配送会社、コールセンター、印刷会社、外部ライター、保守会社など、個人データに触れる可能性がある外部事業者を整理します。
さらに、初動連絡網を作ります。代表者、個人情報管理責任者、システム担当、広報担当、委託先窓口、顧問弁護士、サイバー保険会社、セキュリティベンダーなど、連絡すべき相手を事前に決めておきます。
本人通知文と公表文のひな形も用意しておくべきです。事故発生直後は心理的負荷が高く、冷静な文章作成が難しくなります。平時にテンプレートを作り、発生概要、対象情報、原因、二次被害のおそれ、本人にお願いする対応、問い合わせ窓口、再発防止策を差し替えられる形にしておくと、対応品質が安定します。
まとめ
個人情報漏えい対応で大切なのは、事故が起きてから頑張ることではありません。報告対象の判断、速報・確報の期限、本人通知の文面、委託先との責任分担、証拠保全、再発防止策を、平時から設計しておくことです。
特に委託先やクラウドサービスを使う企業では、「委託先で起きた事故だから自社は関係ない」とは言えません。個人データの取扱いを委託している場合、委託元には委託先を必要かつ適切に監督する責任があります。
これからの実務では、個人情報漏えい対応を単なる法務対応ではなく、契約管理、情報セキュリティ、広報、顧客対応を統合したリスクマネジメントとして捉える必要があります。まずは、委託契約の通知条項、ログ保全条項、再委託条項、本人通知・公表の役割分担を見直すことから始めるべきです。
コメント