顧客一覧を誤送信した。委託先のクラウドが侵害された。社員の端末が盗まれた。最初の会議で決めるべきなのは謝罪文の表現ではなく、発覚日時、漏えいした可能性のある情報、外部流出の経路、今も拡大しているかです。
個人情報保護委員会への速報は、報告対象事態を知った日から概ね3〜5日以内です。確報は原則30日以内で、不正目的で行われたおそれがある場合は60日以内です。本人への通知は、全事実がそろうまで待つのではなく、状況に応じて速やかに行います。
初動の合格線は「原因が判明したこと」ではなく、発覚時刻を固定し、流出を止め、報告対象4類型を判定し、未確定事項を未確定のまま速報できることです。
本記事は2026年9月8日に、個人情報保護委員会の漏えい対応ページ、個人情報保護法ガイドライン通則編、法令、施行規則、FAQ、マイナンバーガイドラインを確認しました。業種別法令、所管省庁、契約、国外法が別の期限を定める場合は、それらを重ねて扱います。
最初に三つの時計を分ける
封じ込め、法定報告、本人保護を別の締切で動かします。
一つ目は被害拡大を止める時計です。誤送信メールの取消し、公開URLの停止、侵害アカウントの無効化、端末の遠隔ロック、APIキーの失効は、報告書の作成より先に動かします。証拠を消さないよう、ログ保全と封じ込めの手順を分けます。
二つ目は法定報告の時計です。速報3〜5日、確報30日または60日を、事故を検知した機器時刻ではなく、事業者が報告対象事態を知った時点から管理します。休日や委託先との責任協議を理由に時計を止めません。
三つ目は本人保護の時計です。パスワード変更、カード停止、なりすまし警戒、相談窓口など、本人が被害を避けるために必要な情報は早く届ける価値があります。法務レビューが完了するまで危険情報を伏せる運用は、本人保護を遅らせます。
報告義務の4類型をデータと事故で判定する
件数だけでなく、情報の種類と不正目的を確認します。
報告が必要となる代表的な事態は四つあります。要配慮個人情報を含む漏えい等、財産的被害が生じるおそれがある漏えい等、不正目的で行われたおそれがある漏えい等、本人の数が1,000人を超える漏えい等です。
健康診断結果が10人分なら人数が少なくても要配慮個人情報の類型を検討します。クレジットカード番号や送金に使える認証情報なら財産的被害を見ます。攻撃者による持出しや内部者の不正販売なら不正目的を見ます。氏名とメールアドレスだけでも1,000人を超えれば人数類型に入ります。
個人データが実際に第三者へ渡ったと確定していなくても、漏えい等が発生した「おそれ」がある場合を含みます。外部公開されたストレージへアクセスログが残らないから対象外、と早期に結論づけません。
「機微な情報ではない」「件数がまだ分からない」という理由だけで対象外にせず、情報の種類、被害可能性、不正目的、最大対象人数を四列で判定します。
発覚日の根拠を分単位で残す
期限起算を後から再現できる事故記録にします。
発覚日は、後から都合よく選ぶ日付ではありません。顧客の通報を受けた時刻、監視アラートを担当者が確認した時刻、委託先から事故連絡を受けた時刻、社内調査で対象データを特定した時刻を、証跡とともに並べます。
アラートが深夜に発生し、翌朝に担当者が内容を確認した場合、どの時点で「報告を要する事態を知った」と評価したかを記録します。単なる機器通知、人的確認、報告対象の合理的認識を区別すると、期限起算を説明できます。
事故台帳には発見者、受信経路、原文、時刻、タイムゾーン、最初の判断者、判断理由を残します。チャットの断片だけでは担当者退職後に追えないため、インシデント番号へ集約します。
発覚日の根拠と各対応の実施時刻を、後から再現できる形で残します。
速報は未確定を隠さず3〜5日で出す
確認済み、推定、調査中を分けて早期報告します。
速報では、概要、漏えい等が発生または発生したおそれがある個人データの項目、本人の数、原因、二次被害のおそれ、本人対応、再発防止など、判明している事項を報告します。すべての欄が確定するまで提出を待つ制度ではありません。
対象人数は「調査中、最大12万人、現時点で確認済み8,200人」のように、最大範囲と確認済みを分けます。攻撃経路も「VPN侵害と断定」せず、「不正認証のログを確認、侵入経路は調査中」と事実と推測を分けます。
速報提出後に数字や原因が変わること自体は、初動が失敗した証拠ではありません。更新履歴を残し、重大な新事実が判明したら続報へ反映します。最初の報告で断定しすぎる方が、本人説明と確報の不整合を生みます。
速報は空欄を恐れて遅らせず、確認済み、推定、調査中を明示して提出し、後続調査で更新します。
確報30日と60日の違いを事故分類へ反映する
不正目的のおそれを早く判定し、内部締切を置きます。
確報は原則として発覚日から30日以内です。不正目的で行われたおそれがある事態は、調査に時間を要することを踏まえ60日以内です。ランサムウェア、外部攻撃、内部者の持出し、詐取目的のフォームなどは、不正目的類型を早期に検討します。
60日あるから調査開始を遅らせてよいわけではありません。ログの保存期間、攻撃者の残存、本人被害は待ちません。30日と60日のどちらか迷う場合は、短い期限を内部締切に置き、法務判断を後ろ倒しにしない運用が安全です。
確報では、対象範囲、原因、二次被害、本人通知、再発防止策を、証拠と責任者まで具体化します。「教育を徹底する」だけで終わらせず、公開権限の初期値、持出し制御、多要素認証、レビュー頻度、監査ログ、委託先通知期限へ落とします。
本人通知は本人が取れる行動を書く
会社説明ではなく、被害を避ける手順を届けます。
本人通知には事故の概要、漏えい等した個人データの項目、原因、二次被害のおそれ、問合せ先などを、本人に分かる言葉で示します。システム名だけでは、自分の住所、健康情報、カード情報のどれが影響したか判断できません。
パスワードが影響したなら、対象サービスでの変更、同じパスワードを使う他サービスでの変更、多要素認証、偽メールへの注意を示します。カード情報ならカード会社との連携、利用明細の確認、不審取引の連絡先を示します。通知文は会社の免責説明ではなく、本人が今取れる行動の案内です。
本人への通知が困難な場合は、公表や問合せ窓口の設置など代替措置を検討します。ただし、メールアドレスが一部不明という理由で、連絡できる本人への通知まで止めません。対象者の連絡可能性を区分し、実施率と未達理由を残します。
委託先事故でも自社の判断を止めない
報告主体、ログ、通知対象を契約と事故台帳で分けます。
クラウド、コールセンター、発送会社、システム開発会社など委託先で事故が起きた場合、委託元と委託先の双方が個人データを扱う立場を確認します。委託先から必要な情報が届かないから自社の速報期限が延びる、とは限りません。
契約には、事故認識から何時間以内に連絡するか、休日窓口、対象データの特定方法、ログ提供、フォレンジック、委員会報告の役割、本人通知の文面、費用、再委託先への調査権を置きます。クラウドの責任分界を契約していても、漏えい時の報告主体とデータ保有者を別紙で具体化します。
委託先が委員会へ報告した場合でも、委託元が自社の本人対応を終えたことにはなりません。どの法人がどの本人へ何を通知したかを事故番号で突合し、二重通知と通知漏れを防ぎます。
委託元と委託先の連絡を待ち合わず、情報提供と法定対応の担当を時刻付きで分けます。
ランサムウェアは持出し不明でもおそれを判定する
復旧と漏えい可能性の調査を別に閉じます。
データが暗号化されただけに見えても、攻撃者が権限を取得し、外部送信できる状態だったかを調べます。外部通信、圧縮ファイル、認証ログ、管理者操作、攻撃者の声明、バックアップ破壊を確認し、持出し痕跡がないことと持出し不可能だったことを区別します。
ランサムウェアとバックアップ復旧では復旧時間が中心ですが、個人データ事故では対象データ、権限、外部送信可能性、本人被害を並行して追います。復旧済みという事実だけで漏えい等のおそれを否定しません。
身代金要求、ダークウェブ掲載、本人への詐欺連絡があれば、警察、保険、委員会、本人通知の窓口を分けつつ情報を同期します。捜査上の非公表要請がある場合も、法定報告と本人保護をどう両立するかを所管先と相談します。
復旧完了と漏えい調査完了は別です。暗号化端末が動き始めても、取得権限と外部送信の可能性を閉じるまで事故台帳を完了にしません。
対象人数は行数ではなく本人単位で名寄せする
確認済み人数と最大対象範囲を同時に管理します。
顧客テーブル10万行、注文テーブル80万行、問合せ履歴3万行が影響しても、本人の数は単純合計ではありません。同じ顧客ID、メール、電話、会員番号を名寄せし、重複と家族共用を区別します。
一方、名寄せで確定人数を小さくすることだけを目標にしません。IDが欠けたログ、退会者、バックアップ、テストコピー、再委託先の複製があれば最大対象範囲を残します。1,000人の境界付近では、確認済み999人という数字だけで対象外と決めません。
対象者一覧には、影響した項目、漏えい経路、通知手段、通知日、未達、再通知、問合せ、被害申告を載せます。広報用の総件数と、本人対応用の明細を同じ抽出条件から作ります。
公表・サポート・証拠保全を同時に設計する
外向け情報と調査証拠の不整合を防ぎます。
公表文、FAQ、コールセンター台本、委員会報告で数字や原因が違うと、二次被害と不信を増やします。確定済み事実、調査中、本人が取る行動、更新日時を共通データから出します。
企業向けサイバー保険を契約している場合は、外部専門家の起用前に通知条件を確認します。ただし保険会社の承認待ちで封じ込めを止めません。弁護士、フォレンジック、広報、本人支援の発注記録を残します。
ログ保全では、端末を初期化する前にディスク、メモリ、認証、ネットワーク、クラウド監査ログを確保します。個人データを含む証拠を調査会社へ渡す場合は、目的、範囲、保管、削除、再委託を決めます。
本人通知は送信件数だけで終えません。退会済みメール、転居、迷惑メール判定、法人窓口経由などで届かない人を抽出し、郵送、会員画面、電話、公表で補完できるかを情報の危険度ごとに決めます。カード番号や認証情報のように本人が直ちに対処できる情報は、問い合わせ窓口の混雑を理由に後ろへ回しません。
通知文の版番号と配信対象の抽出条件を残します。第一報後に対象項目や期間が広がったときは、誰へ何を追加通知したかを差分で追います。全員へ同じ長文を送り直すだけでは、変更点と本人が取るべき行動が伝わりません。
通知先が未成年者、従業員、取引先担当者で異なる場合は、保護者、本人、所属法人のどこへ伝えるかを契約と取得経路から決めます。
連絡不能者をゼロと見せず、未達理由、再接触日、代替手段と対応結果を事故台帳へ残します。
本人対応の完了はメール送信時ではなく、高危険度の対象者へ必要な行動が届き、未達と追加通知の残件を把握した時点です。
終了判定は報告書提出ではなく本人保護まで見る
通知残件、是正、追加被害を閉じて完了にします。
行政への確報を出した日を事故終了日にすると、未達通知、カード再発行、問合せ、追加被害、再発防止の実装が残ります。法定報告、本人対応、技術対策、委託先是正を別の完了条件にします。
再発防止は、原因となった一つの設定だけでなく、同じ権限・同じ運用がある別システムへ横展開します。公開リンクの棚卸し、多要素認証、退職者権限、データ出力、委託先アカウント、ログ保存を対象資産ごとに確認します。
三か月後に、是正策が稼働しているか、同種アラートが減ったか、通知未達者が残るか、委託先契約が更新されたかを監査します。事故報告書を保管するだけでは、次の事故の検知時間は縮まりません。
事故の終了日は、確報提出日ではなく、本人対応の残件、技術是正、委託先是正、追加被害の監視を責任者がすべて閉じた日です。
参考情報
漏えい報告と本人通知を支える公式資料です。
以下は2026年9月8日に内容と到達性を確認する一次情報です。
よくある質問
気になる質問を開くと、本文の重要点を短く確認できます。
Qメールを1人へ誤送信しただけでも委員会報告が必要ですか？
A件数だけでは決まりません。要配慮個人情報、財産的被害、不正目的、1,000人超の4類型に該当するかを判定します。義務報告に該当しなくても、回収、本人連絡、再発防止は行います。
Q漏えいしたか確定してから3〜5日を数えますか？
A確定を待つのではなく、漏えい等が発生したおそれを含む報告対象事態を知った日から管理します。発覚日時と判断根拠を事故台帳へ残します。
Q速報時点で対象人数が分からない場合はどうしますか？
A確認済み人数、最大対象範囲、調査中であることを分けて報告します。全件名寄せの完了を待って速報を遅らせません。
Q委託先が委員会へ報告すれば委託元は何もしなくてよいですか？
A自社の立場と契約を確認し、委員会報告、本人通知、問合せ対応の担当を明確にします。委託先の報告だけで自社の本人対応が完了するとは限りません。
Q本人通知は確報と同時でよいですか？
A一律に確報まで待ちません。本人がパスワード変更やカード停止など被害回避行動を取る必要がある場合は、状況に応じ速やかに通知します。
Qランサムウェアから復旧すれば漏えい対応は終了ですか？
A終了ではありません。攻撃者の権限、外部送信可能性、対象データ、本人被害を調べ、法定報告と通知、再発防止を別に完了させます。
