個人情報が漏えいしたときの報告と本人通知の手順

義務になったのは2022年4月から

2022年4月1日に施行された改正個人情報保護法で、個人データの漏えい等が起きたとき、一定の場合には個人情報保護委員会への報告と、本人への通知が義務になりました。それ以前は努力義務でした。

会社の規模は関係ありません。個人情報を事業に使っている会社は、従業員数人でも対象です。顧客名簿、問い合わせフォームの記録、通販の注文データ、社員の名簿も個人データにあたります。

ここでの「漏えい等」は、漏えい(外部に流出すること)、滅失(なくなること)、毀損(内容が変わったり使えなくなったりすること)を含みます。ランサムウェアで顧客データが暗号化されて使えなくなった場合も、毀損にあたります。

報告が必要になる4つの類型

報告と本人通知が必要なのは、次の4つのどれかにあたる事態が「発生した」場合と、「発生したおそれがある」場合です。確定していなくても、おそれがあれば対象になります。

1. 要配慮個人情報が含まれる場合 病歴、健康診断の結果、犯罪の経歴、人種、信条などです。社員の健康診断の結果が入ったファイルを誤送信した場合が該当します。件数が1件でも対象です。
2. 不正に利用されると財産的な被害が生じるおそれがある場合 クレジットカード番号、ネットバンキングの ID とパスワードの組み合わせなどです。これも1件から対象です。
3. 不正の目的をもって行われたおそれがある場合 不正アクセス、ランサムウェアなどのマルウェア感染、従業員による持ち出しなどです。1件から対象です。2024年4月の規則改正で、Web サイトの入力フォームが改ざんされて入力途中の情報が盗まれる場合のように、まだ自社のデータベースに入る前の個人情報もこの類型に含まれるようになりました。
4. 本人の数が1,000人を超える場合 1〜3にあたらない誤送信や紛失でも、1,000人を超えれば対象です。

逆に、メールの誤送信で取引先の担当者数名の氏名と会社のメールアドレスが漏れた、という場合は、1〜3にあたらず人数も少ないので、報告の義務はありません。それでも、誤送信した相手への削除の依頼と、漏れた本人への連絡は必要です。

また、漏えいしたデータに高度な暗号化がされていた場合など、本人の権利や利益を守るのに必要な措置が講じられていれば、報告の対象外になります。パスワード付きの ZIP ファイルで送っていたから報告は不要、とは考えない方が安全です。

速報と確報の期限

報告は2段階です。

期限の起点は、会社が事態を知った日です。漏えいが起きた日ではありません。通則ガイドラインでは、個人情報取扱事業者のいずれかの部署が事態を知った時点を基準とする考え方が示されています。担当者が気づいたのに上に上げなかった期間も、期限に含まれます。

速報の時点で原因や件数が分からなくても構いません。分かっている範囲で出し、確報で埋めます。確報の時点でまだ全部が判明していなければ、その時点の情報で報告し、判明した時点で追加します。

報告の方法と報告する項目

報告は、個人情報保護委員会のWebサイトにある漏えい等報告のフォームから行います。業種によっては、報告先が事業を所管する省庁になる場合があります。委員会のWebサイトに報告先の案内が載っているので、報告の前に確認します。

報告する項目は、施行規則で次のように定められています。

• 概要
• 漏えい等が発生し、または発生したおそれがある個人データの項目
• その個人データに係る本人の数
• 原因
• 二次被害またはそのおそれの有無と、その内容
• 本人への対応の実施状況
• 公表の実施状況
• 再発防止のための措置
• その他参考となる事項

業務を委託している場合、委託先で起きた漏えいについては、委託先が委託元(自社)に通知すれば、委託先の報告義務はなくなり、委託元が報告します。自社が委託先の立場なら、まず委託元に連絡します。

本人への通知

報告の対象になる事態では、本人への通知も必要です。期限は「状況に応じて速やかに」とされています。通則ガイドラインでは、ネット上に流出したデータの削除依頼などの初期対応が終わる前に通知すると、かえって被害が広がるおそれがある場合の例が挙げられており、そうした場合は通知の時期を状況に応じて判断できます。

通知に書く内容は、次のとおりです。

• 概要
• 漏えい等が発生し、または発生したおそれがある個人データの項目
• 原因
• 二次被害またはそのおそれの有無と、その内容
• その他参考となる事項(問い合わせ先、本人が取れる対策など)

通知の方法は、手紙、メール、電話など、本人に確実に届く方法を選びます。連絡先が分からない、件数が多すぎるなど、通知が難しい場合は、事案を公表したうえで問い合わせ窓口を設けるといった代わりの措置を取ります。

クレジットカード番号が漏れた場合なら「カード会社に連絡して再発行を依頼する」、パスワードが漏れた場合なら「同じパスワードを使っている他のサービスで変更する」のように、本人が取れる対策を具体的に書きます。謝罪の文章より、この部分の方が本人の役に立ちます。

気づいた直後にやること

漏えいに気づいた最初の数時間で、次の順に動きます。

1. 被害を止める 不正アクセスなら該当するアカウントを止める、感染したパソコンをネットワークから外す、誤送信なら相手に削除を依頼する、公開されてしまったファイルの共有を止める、などです。
2. 記録を残す いつ、誰が、何に気づいたかを時刻つきで書き留めます。期限の起点になる日付で、後で報告に書く内容でもあります。ログやメールは消さずに保全します。感染したパソコンの電源は切らずにネットワークから外すと、調査の材料が残ります。
3. 社内の責任者に上げる 社長か、個人情報の管理責任者に、その日のうちに伝えます。小さな会社では、ここで止まると速報の期限に間に合いません。
4. 4類型にあたるかを判断する 漏れた項目に要配慮個人情報やカード番号があるか、不正アクセスや持ち出しの可能性があるか、人数は何人か。判断に迷うときは「おそれ」があるものとして扱い、速報を出します。報告が不要だったと後で分かる方が、出し遅れるより問題は小さくて済みます。
5. 影響の範囲を調べる どのデータが、何件、いつからいつまで漏れた可能性があるかを調べます。この結果が確報の中身になります。

普段から準備しておくこと

事故が起きてから手順を調べると、最初の数日がそれで終わります。次の2つは、今のうちに用意できます。

• 自社が持っている個人データの一覧(どこに、何の項目が、何件あるか)
• 漏えいに気づいたときの連絡先と、上の5つの手順を書いた1枚の紙

個人データの一覧があれば、4類型の判断と本人の数の把握が、事故当日にすぐできます。顧客情報の持ち方と管理の状態は、顧客データの自己診断で点検できます。漏えいの原因として多い誤送信や不正アクセスへの備えは、組織の自己診断の設問でも確認できます。

確認に使えるツール

• 顧客データの自己診断: 顧客情報の保管、権限、漏えい時の備えを点検します
• 組織の自己診断: 事故が起きたときの連絡体制を含めて点検します
• セキュリティ診断の入口: 外からの実測と自己診断の一覧です