何が問題になるか
場面
取引先や外部の専門家から、顧客情報が外部に出ているようだと指摘を受ける場面です。指摘が本当かどうか、その時点では分からないことがあります。社内では、報告・本人への通知・公表をどの順番で進めるかが問題になります。画面に異常がなくても、ウェブシステムの API・管理機能の不備を突いて情報が取り出されている場合があります。その確認の仕方は会員サイト・予約システムから顧客情報が抜き取られたと指摘されました。画面は何も変わっていません。何を確認すべきですかで扱っています。
法律の整理
順番は、事実確認、拡大防止、委員会への速報、本人への通知（または公表）、確報です。指摘の真偽が分からなくても、漏えいのおそれがあれば速報の対象になります。
個人情報保護委員会の資料は、不正アクセスの例として「不正検知を行う専門家等の第三者から漏えいのおそれについて連絡を受けた場合」を挙げています。報告の要件も「漏えい等（又はそのおそれ）」と書かれています。
委員会への報告は、速報と確報に分かれます。速報は発覚から数日のうちに行い、確報はその後の期限までに行います。不正目的のおそれがあるときの確報について、資料は「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」としています。報告先について、資料は「原則として、漏えい等が発生した場合の報告先は、個人情報保護委員会です。」と書いています。権限が事業所管大臣に委任されている分野では、委任先の省庁に報告します。
本人への通知は速やかに行います。連絡先が分からないときは、公表などの代替措置をとります。
取引先の法人情報や営業秘密の漏えいは、個人情報保護法の報告対象ではありません。ただし、契約上の通知義務と損害賠償の問題になります。
速報と確報に分けて報告
会社が備えること
確認すること
- 指摘の内容と、指摘した人の連絡先
- 漏えいのおそれがある情報の種類と件数
- 外部からの不正アクセスなど、不正な目的によるものか
- 自社の業種が、権限委任の分野に当たるか
- 取引先から預かった情報が含まれるか、契約に通知の定めがあるか
対応
事実確認と拡大防止を先に行います。そのうえで委員会へ速報し、本人に通知します。確報は、調査で分かった内容を加えて提出します。端末の紛失の場面は、パソコン紛失のときの対応で整理しています。
公表文には、次の事項を書きます。
- 事実（判明している範囲）
- 対象となる情報と人の範囲
- 原因
- 二次被害の防止策
- 問い合わせ窓口
推測や断定は避けます。分かっていないことは、調査中と書きます。
判明している範囲と、調査中の事項
ご相談で伺うこと
- 指摘を受けた日時と、その内容
- 現時点で判明している範囲と、とった措置
- 漏えいのおそれがある情報の種類と件数
- 取引先との契約に、事故時の通知の定めがあるか
- 公表文や本人への通知文の案