個人情報漏えいの初動対応｜報告期限とやるべきことの時間軸

こんにちは。LegalAgent 代表弁護士の朝戸です。

個人データの漏えいを疑う連絡が入ったら、被害の拡大を止める作業と、法令上の報告対象に当たるかの確認を並行して進めます。報告期限の起点は、事故が発生した日そのものではなく、報告対象となる事態を知った日です。誤送信、不正アクセス、委託先からの連絡など、どの経路で発覚した場合も、誰がいつ何を把握したかを記録しておく必要があります。

二段階の報告義務と対象となる4類型

個人情報保護法26条は、個人情報取扱事業者に対し、個人の権利利益を害するおそれが大きい個人データの漏えい等が生じた場合、個人情報保護委員会へ報告することを義務付けています。同条2項では、本人への通知義務も定められています。

この報告は、速報と確報の二段階で行うことが原則です。個人情報保護委員会の運用では、発覚後まず速やかに（おおむね3〜5日以内に）判明している範囲で速報を提出し、その後に確報を提出する流れになります。すべての情報が最初から揃っている場合は1回で兼ねることも認められていますが、原因究明を待って速報を遅らせることは制度の趣旨に沿いません。

報告対象となるのは、個人情報保護法施行規則7条が定める次の4類型です。

• 要配慮個人情報が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
• 対象となる本人の数が1,000人を超える漏えい等

ここでいう漏えい等には、漏えいのほか、データの滅失・毀損と、それらが発生したおそれも含まれます。流出の確証がない段階でも、報告要否の検討を始めます。他方、高度な暗号化など個人の権利利益を保護するために必要な措置が講じられている場合には、報告を要しないことがあります。この除外は要配慮個人情報の類型だけに限られません。暗号化の方式や鍵の管理状況まで確認して判断します。

不正目的の行為による類型では、事業者が取得しようとしている情報など、個人データとして取り扱う予定の個人情報も対象に含まれます。ウェブフォームへ入力された情報を攻撃者が取得した事案では、自社のデータベースに保存される前だったという理由だけで対象外にはできません。これらの範囲は、個人情報保護委員会のガイドライン（通則編）3-5-1、3-5-3に沿って確認します。

施行規則7条4号で数えるのは、漏えい等が発生した、又は発生したおそれのある個人データに係る本人の人数です。誤送信先の人数で判断するものではありません。その本人の数が1,000人を超える場合は同号に該当し、少数の場合も、要配慮個人情報の漏えい等や不正の目的で行われたおそれのある漏えい等など、他の報告対象類型に該当すれば報告義務が生じます。

確報の期限と本人通知・公表の判断

施行規則8条により、確報の提出期限は報告対象事態を知った日から原則30日以内と定められています。ただし、施行規則7条3号の不正目的の行為による漏えい等に該当する場合は60日以内です。この類型に加え、要配慮個人情報や1,000人超の類型にも該当する場合も、確報の期限は60日以内となります。速報については、この場合も速やかな提出が求められます。

起算点となる「知った」時点は、法人の場合、いずれかの部署が報告対象事態を知った時点が基準です。経営陣や法務部門が把握した日まで起算点を遅らせることはできません。通則編3-5-3-4は、その日を1日目とし、土日・祝日も含めて数えるとしています。30日目又は60日目が行政機関の休日に当たる場合は、次の開庁日が期限となります。

確報では原則として全ての報告事項を記載します。合理的な努力を尽くしても一部が判明していない場合には、期限までに把握した内容を報告し、判明次第、追加報告する扱いです。未判明事項については、調査済みの範囲と残る調査を記録しておくと、委員会への説明にも使えます。

本人への通知は、法26条2項・施行規則10条に基づき、事態の状況に応じて速やかに行います。委員会への確報と同じ30日・60日まで待てるわけではありません。漏えいした情報の項目や二次被害のおそれなど、本人が被害を防ぐために必要な内容を知らせます。通知自体によって被害が拡大するおそれがある場合などは、把握済みの事実と通知の影響を踏まえて時期を判断します。

通知の代替措置を採れるのは、本人への通知が困難であり、本人の権利利益を保護するために必要な措置を講じる場合です。通則編3-5-4-5は、連絡先を保有していない場合や、連絡先が古く連絡できない場合を例示しています。対象人数が多いという理由だけで一律に公表へ切り替えず、通知が困難な事情と、公表や問い合わせ窓口によって本人を保護できるかを検討します。

発覚直後の初動対応と証拠保全

発覚から数日の間に着手すべき実務は、主に次の3点に集約されます。

まず、責任者へ社内報告し、被害の拡大を防ぎます。不正アクセスを受けたサーバーのネットワーク遮断や該当アカウントの停止、誤送信先へのデータ削除依頼、紛失した端末の遠隔ロックなど、事案に合う措置を直ちに講じます。復旧を担当する情報システム部門と、報告・通知を担当する部門を決め、把握した情報を同じ記録へ集めていきます。

次に、事実関係の把握を進めます。漏えいした情報項目、対象人数、発生時期、想定される原因などを時系列で書き出します。事実と推測を分け、未確認の項目は調査中と記載します。速報には、これらに加え、二次被害のおそれ、本人への対応、公表、再発防止措置の実施状況など、施行規則8条1項の各事項について判明している内容を記載します。

並行して、ログやアクセス履歴、送受信記録などの証拠保全を行います。復旧作業や設定変更によってログが上書きされてしまうと、後の原因究明が困難になります。被害防止を最優先にしつつ、客観的な記録を消去しないよう慎重に対処することが欠かせません。

本人への通知文と対外公表文は、この記録を基に作成します。調査中の原因を断定したり、確認できていない段階で「二次被害はない」と書いたりせず、確認済みの範囲と今後の案内方法を示します。社内で事実を確認する担当者と公表を決裁する担当者を決めておけば、追加の事実が分かった際にも説明を更新しやすくなります。

委託先での漏えいと行政対応

委託先で報告対象となる漏えい等が発生した場合は、原則として委託元と委託先の双方に報告義務が生じ、連名での報告も可能です。法26条1項ただし書・施行規則9条は、委託先が事態を知った後、速やかに、把握している報告事項を委託元へ通知した場合に、委託先の報告義務を免除しています。委託元へ事故の連絡をしただけで足りると考えず、通知の内容と時期を確認します。

この例外を利用した場合、委員会への報告義務を負うのは委託元です。委託契約では、疑いが判明した段階での連絡先、第一報で知らせる事項、ログの保全・提供への協力を定めておきます。公表前の協議も取り決めつつ、法令上必要な報告・通知まで相手方の承諾待ちで遅らせない扱いにしておくとよいと考えています。

確報を提出した後も、委員会から追加の質問や指導、勧告を受けることがあります。そのため、技術的な再発防止策だけでなく、なぜ発見が遅れたのかといった管理体制の課題も含めて対策をまとめておくことが実務上有効です。有事に慌てないためにも、誰が第一報を受け、誰が報告類型を判定するかといった初動の手順を平時のうちに文書化しておくことが望まれます。