顧客一人分の情報を誤って送ってしまった。大量流出ではないので、社内の報告と謝罪で済むだろうか。個人情報漏えいの報告義務を考えるとき、件数だけで判断すると重要な条件を見落とします。
個人情報保護委員会への報告は、漏えいした情報の性質や原因によっては、本人が一人でも対象になります。一方、個人データを含む誤送信がすべて同じ報告義務になるわけでもありません。
この記事では民間企業を対象に、報告が必要な四つの類型と具体例、期限、委託先で起きた事故の扱いを整理します。「何件漏れたか」に加え、「何が、なぜ、どの状態になったか」を考えるための説明です。
個人情報漏えいの報告義務は、1件でも生じる
法律上の判断では、通常「個人データ」の漏えい等が問題になります。顧客台帳など、個人情報データベース等を構成する情報が中心です。不正な目的の行為による類型には、事業者が取得し、個人データとして扱う予定の個人情報も含まれます。
個人情報保護委員会の案内は、次の四つを報告対象として示しています。漏えいの発生だけでなく、そのおそれがある場合も対象です。
| 報告対象の類型 | 情報・事態の例 | 人数との関係 |
|---|---|---|
| 要配慮個人情報を含む | 病歴、健診結果等を含む個人データ | 一人でも対象になり得る |
| 財産的被害のおそれ | 決済に使えるカード情報、送金サービスのID・パスワード等 | 一人でも対象になり得る |
| 不正の目的の行為によるおそれ | 不正アクセス、盗難、従業員の不正持ち出し等 | 一人でも対象になり得る |
| 本人の数が1,000人を超える | 大量の名簿公開、メールアドレスの一括誤送信等 | 民間企業では1,000人超が条件 |
「1,000人を超えなければ報告不要」という理解は、最後の類型だけを見たものです。他の類型に該当すれば、少人数でも対象になります。
また、1,000件のファイルと1,000人分のデータは同じではありません。人数の条件は、情報によって識別される本人の数で考えます。
誤送信・不正アクセス・紛失の判断例
以下は対象条件を理解するための説明例です。実際の判断は、漏えいした内容、第三者に渡った状態、不正利用のおそれ等を確認して行います。
| 説明例 | 判断の着眼点 |
|---|---|
| 従業員一人の健診結果を、関係のない相手へ送った | 要配慮個人情報を含む類型を確認 |
| 一人分の決済用IDとパスワードを漏らした | 財産的被害のおそれを確認 |
| 顧客数人の個人データが、不正アクセスで取得された | 不正の目的による類型を確認 |
| 一人分の一般的な氏名・連絡先を、単純な宛先ミスで送った | 内容・原因・人数の四条件を確認。少人数の誤送信だけで一律の報告義務にはしない |
| 会員1,001人のメールアドレスを、互いに見える形で送った | 1,000人超の類型を確認 |
営業秘密と個人データも区別できます。設計図や価格情報が漏れた場合の経営上の被害は大きくても、個人データが含まれなければ、同じ法定報告要件にはなりません。漏えい全体の原因と対策は、情報漏えいが起こる理由で扱っています。
相手が削除したと言えば、漏えいではなくなるのか
委員会のQ&Aは、第三者に閲覧されないうちにすべてを回収した場合を、漏えいに該当しない例として説明しています。誤送信先で見られていないことや、アクセスログ等で確認できるかが関係します。
「削除をお願いした」ことと「閲覧前に確実に回収できた」ことは同じではありません。扱いやログを確認できなければ、漏えい又はそのおそれに該当し得ます。
暗号化されていれば、報告対象から外れるのか
ガイドラインには、高度な暗号化等により権利利益を保護するために必要な措置が講じられているものについて、対象事態から除く規定があります。
ただし、ファイルにパスワードを付けた、保存先を暗号化していた、という言葉だけでは判断できません。鍵も一緒に取得されたか、権限を使って復号できたかなど、第三者が情報を利用できる状態を確認することになります。
漏えいが確定する前でも、報告が必要になる場合がある
情報を盗まれた記録がまだ見つかっていなくても、報告対象となる漏えい等のおそれがあれば対象になります。委員会は、不正アクセス、マルウェアの不正通信、専門家からの指摘などを例示しています。
一方、外部からアクセスを試みられただけで、侵害や漏えいのおそれがないと確認できる事案を、すべて漏えいとして扱うわけではありません。アクセスの成功、閲覧可能な情報、記録、被害の範囲を確認します。
暗号化されて復元できない個人データも、単に外へ漏れたかだけではなく、滅失・毀損として問題になります。ランサムウェアの報告判断を、情報窃取の有無だけに限定しないことが重要です。
報告期限はいつまで？速報・確報・本人通知
| 対応 | 期限・考え方 |
|---|---|
| 委員会等への速報 | 事態を知った後、速やかに。目安は概ね3～5日以内 |
| 確報 | 原則、事態を知った日から30日以内 |
| 不正の目的の行為による類型の確報 | 60日以内 |
| 本人への通知 | 状況に応じて速やかに。必要な内容を本人へ知らせる |
速報は、すべての原因や人数が確定してから出すものではありません。その時点で把握した事実を伝え、調査の進展を確報等へ反映します。「調査中なので報告しない」と待ち続けると、期限と被害への対応が遅れます。
本人通知と委員会への報告は、届け先も目的も違います。また、業種によって権限委任先の省庁等が報告先になる場合があります。実際の提出には、委員会の案内・報告フォームで対象と窓口を確認できます。
委託先で漏えいした場合、自社の報告はどうなるか
顧客情報を外部へ預けていても、自社と無関係な事故になるわけではありません。委託元と委託先の双方で報告義務が問題になります。
ガイドラインには、委託先が委託元へ所定の通知を行った場合の報告義務の例外があります。単に「委託先が対応する」と決めるだけではなく、誰が何を通知・報告するかを確認することになります。
| 自社で把握したい情報 | 判断に使う理由 |
|---|---|
| 預けた個人データの種類と人数 | 報告対象の類型を確認する |
| 委託先が事態を知った時点と、自社へ連絡した時点 | 期限と対応経過を把握する |
| 現在判明した被害と未確認事項 | 速報と本人への説明を考える |
| 役割分担、報告済みの範囲 | 重複や報告漏れを避ける |
契約上の事故連絡は、法定報告より早い場合もあります。委託先のセキュリティ管理で、平時の連絡・責任分担と接続できます。
個人情報漏えいの報告についてよくある質問
1,000人ちょうどなら報告不要ですか？
人数による類型は「1,000人を超える」です。ただし、他の三類型に該当するなら、人数にかかわらず報告対象になり得ます。
法定報告の対象外なら、何もしなくてよいですか？
対象外でも、被害拡大の防止、社内調査、再発防止、契約上の連絡等は別の問題として残ります。初動はインシデント対応の手順で整理できます。
警察へ通報すれば、委員会への報告も済みますか？
警察への相談と、個人情報保護法上の報告は目的が異なります。共通様式を利用できる事案でも、必要な提出先と手続きの確認が残ります。
件数ではなく、情報・原因・状態から判断する
一人の情報でも、病歴や決済情報、不正な持ち出しが関係すれば、報告対象になり得ます。反対に、少人数の一般情報の誤送信を、条件を見ずにすべて同じ扱いにするのも適切ではありません。
まず何が、どんな原因で、誰に利用され得る状態になったかを整理する。そのうえで四つの類型と照合すると、社内判断や専門家への相談を具体的に進めやすくなります。
参考資料
- 個人情報保護委員会：漏えい等の対応とお役立ち資料 — 報告対象の四類型、例、期限、提出方法。
- 個人情報保護委員会：ガイドライン・通則編 — 3-5の報告・本人通知、暗号化、委託先の例外等。
- 個人情報保護委員会：閲覧前に回収した場合のQ&A — 誤送信先・アクセスログ等の確認。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント