データ漏えい事故の
通知義務

データ漏えい事故の際の被害者への通知義務は、謝罪文や広報対応だけの問題ではありません。日本の個人情報保護法では、一定の個人データについて漏えい、滅失、毀損、またはそれらのおそれが生じた場合、個人情報保護委員会等への報告と、対象者本人への通知が問題になります。

ここでいう本人とは、漏えい等の対象となった個人データによって識別される個人です。一般には被害者、対象者、利用者、顧客、従業員などと呼ばれますが、制度上は本人が自分の権利利益を守るための情報を受け取れるかが中心になります。

次の重要ポイントは、データ漏えい事故の通知義務で最初に確認する全体像を表しています。なぜ重要かというと、報告対象事態に当たるか、本人が自衛措置を取れるか、事業者が期限内に対応できるかが、初動の設計を左右するためです。読者は、4類型、期限、本人通知の目的をまず押さえてください。

次の一覧は、事故発覚後に確認する順番を表しています。なぜ重要かというと、個人データ該当性、漏えい等の有無、4類型該当性、本人通知の可否を分けて考えないと、通知漏れや過剰な公表につながるためです。上から順に、判定の前提を積み上げて読むと実務の流れが分かります。

本人通知が必要かどうかは、まず報告対象事態に当たるかを確認して考えます。個人情報保護委員会規則上の代表的な4類型は、要配慮個人情報、財産的被害のおそれ、不正目的による行為、本人の数が1,000人を超える漏えい等です。

次の比較表は、報告対象事態の4類型を整理したものです。なぜ重要かというと、人数が少なくても該当する類型と、規模によって該当する類型が混在しているためです。左から類型、判断の焦点、典型例を確認し、1つでも当たり得るものがないかを見ます。

次の横棒グラフは、4類型のうち実務上の注意度を相対的に示したものです。なぜ重要かというと、単純な件数だけでなく、情報の性質や攻撃性によって優先度が変わるためです。割合の長さは対応判断で早く確認したい度合いを示しており、長い項目ほど初動で優先的に確認します。

本人通知には、個人情報保護委員会への報告事項をすべて書く必要はありません。本人の権利利益を保護するために必要な範囲で、事故概要、対象データ、原因、二次被害のおそれ、本人が取るべき対応、問い合わせ窓口を平易に伝えることが重要です。

次の比較表は、本人通知に含める主な事項と実務上の説明を整理したものです。なぜ重要かというと、対象者ごとに漏えい項目が違う場合、一律の最大リスク通知では過度な不安や誤解を招くためです。左列で通知事項、右列で本人に伝えるべき実務内容を確認してください。

次の一覧は、本人通知文の標準構成を表しています。なぜ重要かというと、事実、リスク、本人の対応、事業者側の対応を分けて書くことで、本人が必要な行動を取りやすくなるためです。順番は読み手が理解しやすい流れを示しています。

本人通知は、本人に直接知らしめることが基本です。郵送や電子メールが典型ですが、口頭で伝える場合でも、本人が後から内容を確認できるように書面または電子メール等を併用することが望ましい場面があります。公表は二次被害防止や類似事案防止の観点で重要な場合がありますが、本人通知の代替措置として認められるかは、本人への通知が困難かどうかを含めて慎重に整理します。

本人通知文の一般的な構成例

以下は一般的な構成例です。実際の事案では、漏えい項目、原因、本人が取れる対応、補償や支援策、問い合わせ体制を個別に調整する必要があります。

件名 ― 個人データの漏えい等に関するお知らせ

〇〇様

このたび、当社が管理する個人データの一部について、第三者による不正アクセスにより外部に流出したおそれがあることが判明しました。

1. 事案の概要
当社は、〇年〇月〇日、当社システムに対する不正アクセスの痕跡を確認しました。直ちに外部からのアクセスを遮断し、専門機関の協力を得て調査を開始しています。

2. 対象となる情報
〇〇様について対象となる可能性がある情報は、氏名、メールアドレス、電話番号です。現時点で、クレジットカード番号、金融機関口座情報、本人確認書類画像は対象に含まれていないことを確認しています。

3. 二次被害のおそれ
現時点で不正利用の事実は確認していません。ただし、不審なメール、SMS、電話等を受けた場合には、本文中のリンクを開かず、認証情報や決済情報を入力しないようご注意ください。

4. お問い合わせ窓口
〇〇株式会社 個人データ事故対応窓口
メール ― privacy-incident@example.co.jp
受付時間 ― 平日〇時〜〇時

事故発覚後は、通知文作成だけに集中すると証拠保全や被害拡大防止が遅れるおそれがあります。初動では、システム遮断、権限停止、ログ保全、委託先照会、報告対象事態の暫定判定、本人に直ちに自衛措置を促す必要性の評価を同時に進めます。

次の一覧は、事故発覚後に社内で整備すべき体制を表しています。なぜ重要かというと、データ台帳や通知文の型がないと、対象者の特定、通知内容の切り分け、期限管理、問い合わせ対応が遅れるためです。4つの項目を平時から準備できているか確認してください。

次の比較表は、業種・情報類型ごとの注意点を整理しています。なぜ重要かというと、医療情報、決済情報、従業員情報、未成年者情報、マイナンバーでは、本人への影響や関係法令が大きく異なるためです。左列の場面ごとに、通知内容と支援策を変える必要があるかを見てください。

本人通知義務違反それ自体が、常に直ちに刑事罰へ直結するわけではありません。ただし、報告徴収・立入検査への不対応、虚偽報告、命令違反などは別途問題になり得ます。通知の遅延や説明不足は、民事上の損害賠償請求、契約違反、取引先対応、監査、株主・投資家対応、採用・人事上の信頼低下にもつながるため、事故後の説明品質が重要です。

1,000人未満なら本人通知は不要ですか

一般的には、1,000人超は報告対象事態の一類型にすぎないとされています。要配慮個人情報、財産的被害のおそれ、不正目的類型に該当する場合、人数が少なくても報告や本人通知が問題になる可能性があります。ただし、情報の内容、原因、暗号化状況、委託関係によって判断が変わるため、具体的な対応は資料を整理したうえで弁護士等の専門家へ相談する必要があります。

公表すれば個別の本人通知は不要ですか

一般的には、公表は本人通知そのものとは別の対応とされています。本人への通知が困難で、本人の権利利益保護のため必要な代替措置を講じる場合には公表が代替措置となることがあります。ただし、連絡先の有無、連絡手段、対象者の特定状況によって結論が変わる可能性があります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

暗号化していれば報告や本人通知は不要ですか

一般的には、高度な暗号化等に該当するかは、事故時点の技術水準、暗号方式、鍵管理、復号可能性、鍵の漏えい有無などから具体的に判断されます。単なるパスワード保護だけで常に安全といえるわけではありません。具体的な対応は、技術資料と事故状況を整理したうえで弁護士等の専門家へ相談する必要があります。

本人通知は確報後まで待てますか

一般的には、本人通知は確報まで待つ制度ではなく、当該事態の状況に応じて速やかに行うものとされています。ただし、通知時点の情報の確度、本人が取れる自衛措置、通知による弊害、二次被害の切迫性によって適切な時期は変わります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。