お客様の個人情報が漏れたかも…会社がやることを順番に｜報告義務・期限・お詫びの出し方

01この記事でわかること（3行まとめ）

• まず社内の責任者に知らせ、被害の広がりを止めます。そのうえで事実を調べ、どの範囲の人に影響したかを確かめます。
• 4つの場合は、個人情報保護委員会への報告と本人への通知が義務です。要配慮個人情報、財産的被害のおそれ、不正の目的のおそれ、1,000人超のどれかに当たるときで、「漏れたおそれ」の段階でも対象です。
• 期限があります。速報は知ってからおおむね3〜5日以内、確報は30日以内（不正アクセスなど不正の目的のおそれがあれば60日以内）です。

報告義務は個人情報保護法第26条に書かれています。義務を負う「個人情報取扱事業者」は、法第16条で「個人情報データベース等を事業の用に供している者」と決められていて、人数や会社の規模の条件はありません。小さな会社でも、上の4つに当たれば報告します。

02どんな漏れ方がある？メール誤送信・紛失・不正アクセス・委託先

個人情報保護委員会の「漏えい等の対応」のページは、漏えい等が起きる例として次のようなものを挙げています。

• 紛失・盗難：USBメモリや書類をなくす、書類や機器を盗まれる。
• 誤送信：BCCで送るべきメールをCCで送ってしまい、ほかのお客様のメールアドレスが見える、など。
• 不正アクセス・ランサムウェア：サーバーやシステムに入られる。データを暗号化されて使えなくされる（ランサムウェア）。
• 従業者の持ち出し：社員が顧客データを持ち出して第三者に渡す。
• ホームページの改ざん：入力フォームが書き換えられ、お客様が入力した内容が第三者に送られる。
• 設定ミス：システムの設定の誤りで、個人データがインターネット上で見られる状態になる。

ガイドラインは、書類の誤送付やメールの誤送信も「漏えい」の例に挙げています。一方で、第三者に見られないうちに全部を回収できた場合は漏えいに当たらないとしています。Q&A（Q6-2）は、誤送信の相手がメールを読まずに削除したと確認できた場合を例に挙げつつ、確認できなければ漏えい（または漏えいのおそれ）に当たりうるとしています。

サイトが乗っ取られた場合の技術的な対応はホームページが乗っ取られたときの記事、社員が怪しいメールを開いてしまった場合は変なメールを開いてしまったときの記事にまとめています。

03気づいた直後にやること：止める・調べる・記録する

ガイドライン（通則編）3-5-2は、漏えい等またはそのおそれが分かったとき、会社がとるべき措置を5つ挙げています。

1. 社内での報告と、被害の拡大を止めること：責任ある立場の人にすぐ報告し、被害が広がらないようにします。Q&A（Q6-5）は、不正アクセスやウイルス感染が疑われるなら、その端末のLANケーブルを抜く、無線を切るといった対応をすぐ行うことを例に挙げています。
2. 事実関係の調査と原因の究明：何が、いつ、どうして起きたかを調べます。
3. 影響範囲の特定：Q&A（Q6-6）は、漏れた人の数、漏れた内容、原因、漏えい先などから範囲を特定することを例に挙げています。
4. 再発防止策の検討と実施
5. 委員会への報告と本人への通知（次の節から説明します）

「責任ある立場の人」の役職は決められていません。Q&A（Q6-4）は、あらかじめ社内の規程などで、発覚したときの報告と連絡の体制を整えておく必要があるとしています。

記録を残す：後で書く報告フォームには、発生日、発覚日、発見者、事実の経過を書く欄があります。気づいた時刻、誰が気づいたか、何をしたかをその場でメモしておくと、報告を書くときに困りません。不正アクセスが疑われるときの証拠の残し方は、ホームページが乗っ取られたときの記事で説明しています。調べてもらう会社は事故対応（インシデント対応）のサービスで探せます。

04報告義務があるのはどんなとき？4つの場合と「おそれ」

個人情報保護委員会規則第7条は、報告が必要な場合を次の4つに決めています。どれか1つに当たれば報告します。

要配慮個人情報とは、病歴や健康診断の結果など、扱いに特に配慮が必要な情報のことです。3つ目の「不正の目的」の相手には、自社だけでなく委託先や、自社が使っている外部サービスも含まれます。行為をした人には外部の第三者だけでなく、従業者も含まれます。

「おそれ」でも対象です：ガイドラインは「おそれ」を、その時点で分かっている事実から漏えいが疑われるものの確証がない場合としています。サイバー攻撃では、データを盗み出した痕跡がある、情報を盗むウイルスへの感染が確認された、公的機関や専門家から根拠のある連絡を受けた、などが例に挙がっています。人数が確定できないときも、最大で1,000人を超えるなら4つ目に当たります。最初は1,000人以下でも、後で超えたらその時点で対象になります。

報告が要らない場合：漏れたデータに高度な暗号化がされ、元に戻す手段もきちんと管理されている場合は報告を要しません（Q6-19）。また、Q&A（Q6-11）は、住所、電話番号、メールアドレス、SNSアカウントだけの漏えいは、それだけで2つ目（財産的被害）には当たらないとしています。ただし、ほかの3つに当たるかは別に考えます。4つに当たらない漏えいも、任意で報告できます（Q6-18）。

05報告の期限：速報は3〜5日、確報は30日・60日

報告は「速報」と「確報」の2段階です（規則第8条）。

期限の数え始めの「知った」時点は、会社の場合、どこかの部署が知った時点です。Q&A（Q6-24）は、部署内のある従業者が知った時点で「部署が知った」と考えるとしています。社長が後で聞いた日ではありません。

確報の30日・60日は、知った日を1日目として土日・祝日も含めて数えます。最終日が土日・祝日・年末年始（12月29日〜1月3日）なら翌日が期限です。3つ目に当たれば、ほかの場合にも当たっていても60日です。確報の時点でどうしても分からない項目があれば、分かっている内容を報告し、判明したら追加します。速報の時点で全部が分かっていれば、1回で速報と確報を兼ねられます。

06報告先と報告書（報告フォーム）の書き方：9つの項目

報告先：民間の会社は、原則として個人情報保護委員会のホームページの報告フォームから報告します（Q6-27）。マイナンバーを含む場合や含むか分からない場合は、専用のフォームを使います。報告者の欄には担当者個人ではなく会社名を書くよう案内されています。

業種によっては事業所管大臣へ：個人情報保護委員会が報告を受ける権限を事業所管大臣（その業種を所管する大臣）に委任している業種では、その大臣に報告します。期限は同じです。どの業種が対象かは、委員会の「権限の委任」のページの一覧で確かめます。報告方法はその報告先のサイトで確かめるよう案内されています。なお同ページは、漏れたのが自社の従業員の管理情報や株主の情報なら、委員会に報告する必要があるとしています。

報告書に書く9つの項目（規則第8条、ガイドライン3-5-3-3）

1. 概要：発生日、発覚日、何が起きたか、発見者、4つの場合のどれに当たるか、委託元・委託先の有無、事実の経過
2. 漏れた（おそれがある）個人データの項目：媒体や種類（顧客情報か従業員情報か）とともに
3. 本人の数
4. 原因：起こしたのが自社か委託先かも
5. 二次被害またはそのおそれの有無と内容：Q&A（Q6-25）は、カードの不正利用、ポイントの不正利用、漏れたメールアドレスへの詐欺メールを例に挙げています
6. 本人への対応の実施状況：通知を含む
7. 公表の実施状況
8. 再発防止のための措置：実施済みのものと、今後実施する予定のものに分けて
9. その他参考となる事項：Q&A（Q6-26）は、警察への申告など他の機関への報告状況、上場会社なら適時開示の状況などを例に挙げています

07本人への通知：伝えること・伝え方・連絡がつかないとき

報告が必要な場合は、本人への通知も義務です（法第26条第2項）。時期は「事態の状況に応じて速やかに」です。全部が分かるまで待つ必要はありません。ただし、掲示板などに載ったデータの削除依頼が済んでおらず通知でかえって被害が広がるおそれがある場合などは、その時点で通知する必要があるとはいえない例として挙げられています。

伝えること：報告の9項目のうち、①概要、②漏れた項目、④原因、⑤二次被害の有無と内容、⑨その他参考となる事項の5つです。⑨は、本人が自分を守るためにとれる対策などを指します。委員会に報告した細かい内容まで伝える必要はなく、本人に関係する内容を選んで伝えてかまいません。

伝え方：本人に直接伝わる方法で行います。例は郵便で文書を送る、メールを送るです。口頭も可能ですが、後で確認できるよう書面やメールを併用するのが望ましいとされています（Q6-29）。

連絡がつかないとき：連絡先を持っていない、連絡先が古くてつながらない場合は、代わりの措置で対応できます。例は「事案の公表」と「問い合わせ窓口を設けて連絡先を公表し、本人が自分のデータが対象か確かめられるようにすること」です。住所に送った手紙が戻ってきても電話番号を持っていれば電話するなど、手段が複数あれば1つ失敗しただけでは「困難」とはいえません（Q6-30）。

公表は義務？：代わりの措置として公表する場合を除き、公表は義務ではありません。ただし内容に応じて公表が望ましいとされています（Q6-33）。公表するときは、特定の個人が分かる事柄は載せないようにします（Q6-32）。

08委託先で漏れたとき：委託元と委託先の義務

顧客データの入力、メール配信、ネットショップの仕組みなどを外部に任せていて、そこで漏れた場合です。ガイドラインは、委託元と委託先の双方が報告義務を負うのが原則としています。この場合、連名で報告することもできます。

ただし、委託先が委託元に9項目のうち分かっていることを通知すれば、委託先は委員会への報告と本人への通知の義務を免除されます。委託先から委託元への通知の目安も、知ってからおおむね3〜5日以内です。通知を受けた委託元は、遅くともその時点で「知った」ことになり、速やかに報告します。委託先は、委託元の報告や本人への通知に協力することが求められます。

委託先から連絡が来たら、その日から自社の期限が動き出すと考えて準備してください。実際の例として、ネットショップの仕組みのショップサーブの件やメール配信のCuenote FCの件があります。サービス側が連名での報告を案内した例はStudioの件にまとめています。

なお、クラウドサービスの事業者が個人データを扱わない契約になっている場合は、利用する会社が報告義務を負い、報告をクラウド事業者に代行させることもできます（Q6-22）。供給網を通じた被害の考え方はサプライチェーン攻撃の用語ページにあります。

09報告しなかったらどうなる？勧告・命令・罰則

個人情報保護法の条文（e-Gov法令検索）で確かめた流れは次のとおりです。報告しなかったことで、いきなり罰金になるわけではありません。

「個人情報 漏洩 報告義務 違反」で調べる人は多いですが、罰則が直接つくのは主に命令に違反した場合と、委員会からの報告の求めに応じない・嘘をついた場合です。勧告の前に、委員会が指導や助言をすることもあります（第147条）。速報は、その時点で分かっていることだけで足ります。

10お詫び・お知らせの出し方（構成例）

お詫びの文面に法律上の決まった様式はありません。ガイドラインは、本人に分かりやすい形で通知するのが望ましいとしています。事実の部分は、本人への通知事項（概要・項目・原因・二次被害・本人がとれる対策）に沿うと抜けがなくなります。以下は当サイトで作った構成例です。

1. 件名：「個人情報の漏えい（またはそのおそれ）に関するお詫びとお知らせ」など、中身が分かるもの
2. お詫び：ご迷惑とご心配をおかけしたことへのお詫びを短く
3. 概要：いつ、何が起きて、いつ気づいたか
4. 漏れた（おそれがある）情報の項目：氏名、住所、メールアドレスなど。その人に関係する項目だけ
5. 原因：誤送信、紛失、不正アクセスなど。攻撃の細かい手口は書かなくてよい
6. 二次被害の有無：現時点で確認されているか。確認中ならそう書く
7. お願いしたいこと：不審なメールや電話への注意、カード明細の確認、パスワードの変更など、本人がとれる対策
8. 会社の対応と再発防止：委員会への報告、警察への相談など
9. 問い合わせ窓口：担当部署、電話番号、メールアドレス、受付時間

誤送信でメールアドレスが漏れた場合は、お詫びのメールを送るときにまた同じ誤り（CCでの一斉送信）をしないよう、1通ずつかBCCで送ってください。ホームページで公表する場合は、本人が特定される事柄は載せません。

11再発防止：同じことを起こさないために

報告書には「再発防止のための措置」を、実施済みと今後の予定に分けて書く欄があります。原因ごとに、続けやすいものから決めます。

• 誤送信：外部へ送る前の確認、一斉送信はBCCや配信の仕組みを使う。誤送信対策の機能はメールセキュリティのサービスにもあります。
• 紛失・盗難：持ち出すデータを減らす、媒体やパソコンを暗号化する。高度な暗号化をして鍵を正しく管理していれば、漏えいしても報告を要しない場合があります（Q6-19）。
• 不正アクセス：ソフトを最新に保つ、多要素認証を使う、バックアップを取る。
• 委託先：委託先の管理の仕方を見直す。委員会は「委託先管理に関する着眼点」という資料を公開しています。
• 体制：発覚したときに誰に報告し、誰が判断するかを決めておく（Q6-4）。社内ルールの作り方は社内ルールのページにあります。

事故に備えた費用の手当てとして、サイバー保険を検討する会社もあります。会社の情報漏えい対策の全体は情報漏えいの悩みのページにまとめています。

12困ったときの相談先

• 個人情報保護法相談ダイヤル（個人情報保護委員会）：03-6457-9849。受付は9時30分〜17時30分（土日祝日と年末年始を除く）。法律や制度についての質問を受け付け、ガイドラインやQ&Aに沿って助言します。違法かどうかの判断を求める相談には応じていません。漏えいの報告そのものは電話ではなく報告フォームから行います。
• 警察：不正アクセスや盗難など犯罪の被害は、最寄りの警察署や都道府県警察のサイバー犯罪相談窓口へ。警察庁は全国共通のオンライン受付窓口も設けています。
• JPCERT/CC：不正アクセスやサイトの改ざんなどのインシデント（事故）の報告をWebフォームやメールで受け付けています。電話での報告は原則受け付けていません。
• IPA 情報セキュリティ安心相談窓口：03-5978-7509（10時〜17時、土日祝日と年末年始を除く）。ウイルスや不正アクセスの技術的な相談を受けます。組織からの相談は別の窓口を案内しています。

個人情報保護委員会の役割は用語ページ、個人情報保護法の全体は個人情報保護法の用語ページで説明しています。

13よくある質問