「個人情報が漏えいしてしまった際に行うべき対応って何？報告は必要？」 このような疑問をお持ちの企業ご担当者様は、少なくないのではないでしょうか。

企業として万全の対策を講じていても、個人情報の漏えいは残念ながら発生してしまうことがあります。実際に2023年には、誤交付や誤送付といったヒューマンエラーによる漏えい事案が増加し、その発生件数は過去最多を記録しました。

万が一自社で個人情報が漏えいしてしまった場合、企業のご担当者様は速やかな対応と報告が求められます。

なぜなら、事業者が取り扱う個人情報が漏えいした場合、法律やガイドラインに基づき、個人情報保護委員会や所轄官庁への報告が義務付けられているからです。

本記事では、個人情報の漏えい発覚後の具体的な報告方法や、そもそもどのような事案が個人情報漏えいに該当するのかといった基本を解説していきます。

この記事を読み終えれば、予期せぬ個人情報漏えいにも迅速かつ的確に対応できる万全の準備が整います。

1.報告義務の背景と意義

2022年4月の個人情報保護法改正により、個人情報漏えい時の報告は「努力義務」から「義務」へと格上げされました。これは、デジタル社会の進展に伴い、個人情報の価値が高まり、漏えいによる被害が深刻化していることを踏まえたものです。

報告義務の意義は以下の通りです。

• 被害の早期把握と拡大防止
  漏えいが発覚した時点で速やかに報告することで、被害の拡大を最小限に抑えることができます。
• 企業の説明責任の履行
  社内外への透明性を確保することで、企業としての信頼性を維持します。
• 個人の権利利益の保護
  漏えいによる個人の被害を速やかに把握し、必要な救済措置を講じることが可能となります。

2.報告対象となる事案

報告が必要となるのは、以下のようなケースです。

1. 要配慮個人情報が含まれる場合
2. 財産的被害が生じるおそれがある場合
3. 不正の目的をもって行われた漏えい等が発生した場合
4. 1000人を超える漏えい等が発生した場合
5. その他報告が必要な情報漏えい

(1)要配慮個人情報が含まれる場合

要配慮個人情報とは、人種、信教、性的指向、障害、遺伝情報、病歴、犯罪歴など、差別につながるおそれのある情報のことです。これらの情報が漏えいした場合、個人が差別や偏見の対象となる可能性が高まり、深刻な人権侵害につながる恐れがあります。

【具体的な事例】

• 従業員の病歴情報が外部に漏えいし、雇用差別につながった：健康診断の結果や治療歴といった病歴情報が外部に漏えいし、その情報に基づいて雇用を拒否されたり、昇進の機会を奪われたりする可能性があります。
• 顧客の宗教情報が差別的なマーケティングに利用された： 顧客の宗教情報が、特定の宗教に対する偏見に基づいた商品やサービスの勧誘に利用された場合、顧客は大きな精神的な苦痛を受ける可能性があります。

(2)財産的被害が生じるおそれがある場合

財産的被害が生じるおそれがある情報とは、クレジットカード番号、銀行口座番号、暗証番号などの金融情報や、個人識別番号（PIN）などの個人識別情報のことです。これらの情報が漏えいした場合、不正利用されることで経済的な損害が発生するおそれがあります。

【具体的な事例】

• クレジットカード情報の漏えい：漏えいしたクレジットカード情報を使って、不正に商品を購入されたり、キャッシングが行われたりする可能性があります。
• ネットバンキングのパスワードの漏えい：漏えいしたパスワードを使って、ネットバンキングに不正ログインされ、預金が盗まれる可能性があります。

(3)不正の目的をもって行われた漏えい等が発生した場合

ハッキングや不正アクセスなど、悪意を持って行われた行為により個人情報が漏えいした場合を指します。

【具体的な事例】

• ウェブサイトへの不正アクセス：ハッカーにより、ウェブサイトの脆弱性を悪用され、顧客情報が大量に盗まれた場合。
• 故意のデータ持ち出し：私的な目的で、内部従業員により顧客情報を外部に持ち出した場合。
• フィッシング詐欺：偽のウェブサイトが作られ、個人情報を不正に入手された場合。

(4)1000人を超える漏えい等が発生した場合

漏えい対象が1000人を超える場合、社会的影響が大きいため報告が義務付けられます。

【具体的な事例】

• 紙媒体の廃棄ミス：個人情報が記載された書類が適切にシュレッダー処理されずに廃棄され、大量の個人情報が外部に流出した。
• 誤送信：大量の顧客リストが、誤ったメールアドレス宛に送信され外部に漏えいした。
• クラウドサービスの設定ミス：クラウドサービスの設定ミスにより、顧客情報が誤って公開設定になってしまい、多数の顧客情報が外部に漏えいした。

(5)その他報告が必要な情報漏えい

付与機関がプライバシーマーク付与適格性審査基準における重大な違反があると認めた事態も漏えい等に該当します。

これらの漏えいが発覚した場合、直ちに報告をしなければなりません。

3. 報告先と通知義務

漏えい等を認知した場合の手順は以下の通りです。

(1)社内初動と報告経路の確認

1. 個人情報保護管理者または個人情報保護事務局へ速やかに報告
2. 担当部署は事実関係、被害範囲、影響度を整理
3. 経営層へ報告し、対応方針を決定

(2)付与機関への報告

プライバシーマーク付与機関へ書面で報告します。報告書には以下を明確に記載します。

• 発生日時・場所
• 発生原因・経緯
• 漏えいした情報の件数・内容・影響範囲
• 応急措置・再発防止策
• 被害対象者への通知状況

必要に応じて、速報・続報・確報の区分を設け、段階的に報告を行います。

Pマーク（プライバシーマーク）取得企業の個人情報漏えいについては、下記のコラムで詳しく説明しています。

Pマークのルールに違反するとどうなる？その後の対応方法も合わせて解説！

(3)関係先・本人への連絡

漏えい内容に応じて、取引先、委託元、本人へ連絡します。特に要配慮個人情報や財産的被害が想定される場合は、速やかに本人通知を行います。

4.報告の期限

個人情報漏えいの報告は、「速報（新規報告）」と「確報（続報）」の2段階で報告することが義務付けられています。

(1)速報（新規報告）

早期に状況を把握し、被害拡大を防ぎ、関係機関への連絡や対策の開始を促すために行います。

• 目的：早期把握と被害拡大防止
• 報告期限：漏えいを知った日から原則5日以内
• 報告内容：漏えい概要（日時・内容・影響範囲など）

(2)確報（続報）

漏えいに関する詳細な情報を把握し、再発防止策を講じるために行います。

• 目的：詳細把握と再発防止策策定
• 報告期限：漏えいを知った日から原則30日以内（不正目的の場合は60日以内）
• 報告内容：速報で報告した内容を詳細に調査し、以下の事項について報告します。

1. 漏えい原因の詳細分析
2. 影響を受けた人数
3. 再発防止策（実施時期・担当者）
4. 調査報告書
5. その他必要事項（損害賠償情報など）

(3)報告遅延の回避

報告の遅延は、付与機関や審査機関から「管理体制上の不備」と判断される可能性があります。

報告体制を平時から明確にし、緊急時に迷わず行動できるよう、社内手順書・連絡網を整備しておくことが重要です。

(4)特定個人情報（マイナンバー）が含まれる場合

漏えい対象にマイナンバーが含まれる場合は、「速報」として審査機関に報告をしなければなりません。

【速報が必要な事故等】

1. 情報提供ネットワークシステム等からの漏えい、滅失、き損
2. 不特定多数の者に閲覧された
3. 不正の目的による漏えい、滅失、き損
4. 100人を超える場合
5. その他、付与機関がプライバシーマーク付与適格性審査基準における重大な違反があると認めた事態

※いずれも事故等が発生したおそれがある事態も含める

引用：たいせつにしますプライバシー　プライバシーマーク制度

5.初期対応の実務ポイント

漏えいが発生した際の初期対応は、被害の拡大を防ぎ、関係者への信頼を守るために非常に重要です。

個人情報保護委員会の報告までに行っておきたい、初期対応をご紹介します。

1. 事態の把握と拡大防止
2. 関係者への連絡
3. 証拠の保全
4. 法律専門家への相談

(1)事態の把握と拡大防止

まずは、漏えいの事実を正確に把握し、影響範囲を特定することが求められます。漏えいの経路を特定し、外部への流出を阻止するための措置を講じるとともに、内部への拡散を防ぐための対策も検討する必要があります。

具体的には、漏えいした個人情報の種別、件数、漏えい経路などを詳細に調査し、影響を受ける可能性のある個人を特定します。漏えいの原因となったシステムへのアクセスを制限し、さらなる漏えいを防止するなどの措置も必要です。

漏えい発生直後の対応は、被害を最小限に抑えるために極めて重要です。迅速かつ的確な判断と行動が求められます。

(2)関係者への連絡

関係者（従業員、顧客、取引先など）に状況を説明し、必要な対応を行います。 関係者への丁寧かつ迅速な情報提供は、信頼回復につながり、二次被害を防止する上でも不可欠です。特に、被害を受けた個人に対しては、誠意をもって対応し、不安を解消する必要があります。

(3)証拠の保全

証拠となるデータを消去したり改ざんしたりせず、適切に保管します。 証拠の保全は、後の調査や法的対応において不可欠です。また、再発防止策の検討にも役立ちます。

(4)法律専門家への相談

法的な問題が発生する可能性がある場合は、弁護士などの専門家へ相談しましょう。 専門家のアドバイスを受けることで、適切な対応を取ることができます。

6.本人への通知をする必要がある場合

漏えいの内容に応じ、本人通知が必要です。

【通知内容】

• 事態の概要
• 漏えい個人データの項目
• 原因
• 講じた対応措置

【通知方法】

• 文書郵送や電子メールなど、内容を明確に伝えられる方法
• 本人通知が困難な場合は、ウェブサイト公表や問い合わせ窓口設置でも代替可能

7.個人情報を漏えいさせた企業への影響

個人情報漏えいは、企業に多大な損害をもたらします。顧客や取引先、さらには社会全体からの信頼を損なう結果となり、企業の存続に関わる深刻な影響を与えることもあります。以下では、具体的な影響について詳しく説明します。

(1)企業イメージの低下

個人情報漏えいは、企業の信頼性を大きく損ない、ブランドイメージの低下を招きます。一度傷ついたイメージを回復するには多大な時間がかかります。特に、SNSやインターネットを通じて情報が拡散する現代では、漏えいに関するネガティブな評判が瞬く間に広がり、企業への批判が高まる可能性があります。このような状況は、既存顧客だけでなく、潜在顧客や将来的な取引先にも悪影響を及ぼします。

(2)顧客からの信頼喪失

個人情報を適切に管理できない企業だという印象を与えることで、顧客からの信頼を失う恐れがあります。特に、漏えいが直接的に顧客に被害を与える場合、顧客が取引を中止したり、競合他社に乗り換えたりする可能性が高まります。また、口コミやレビューサイトでの評価が悪化し、新規顧客の獲得も困難になるでしょう。

(3)法的責任

刑事罰や行政処分を受ける可能性があり、場合によっては民事上の損害賠償請求を受けることもあります。特に、大規模な漏えい事件では、多額の賠償金を支払う必要が生じ、企業財務に大きな影響を与える可能性があります。

(4)金銭的な損失

漏えいの対応には多額のコストが伴います。例えば、被害者への謝罪や補償、漏えい原因の調査および対策の実施、外部専門家への相談費用などです。また、ブランド価値の低下により顧客離れが進むと、売上減少にもつながります。

(5)Pマーク付与の取り消し

Pマークは、企業が個人情報を適切に管理している証として、取引先や顧客からの信頼を得る重要な指標です。しかし、漏えいが発生した場合、このPマークの付与が取り消される可能性があります。これにより、取引先との契約が見直されるリスクが高まり、新規のビジネスチャンスを逃すことにもつながります。

8.平時からの備え

個人情報漏えい対応は、発生後の「事後対応」だけでは十分ではありません。被害を最小限に抑えるためには、平時からの準備と体制構築が不可欠です。以下の観点を押さえておくことで、緊急時に迅速かつ的確な対応が可能になります。

(1)インシデント対応マニュアルの整備

• 詳細なフローの策定：漏えい発覚から報告・通知・再発防止までの流れを明文化。
• 役割分担の明確化：経営層、情報システム部門、法務部門、広報部門など、誰がどのタイミングで何をするかを定義。
• チェックリスト化：初期対応（事態把握、証拠保全、関係者連絡）を漏れなく実施できるよう、チェックリストを作成。

(2)定期的な訓練（模擬漏えい対応演習）

• シナリオ演習：誤送信、ハッキング、内部不正など複数のケースを想定し、模擬訓練を実施。
• クロス部門参加：情報システム部門だけでなく、総務・人事・広報・経営層も参加させ、全社的な対応力を高める。
•  振り返りと改善：演習後に課題を洗い出し、マニュアルや体制に反映。

(3)セキュリティ体制の強化

• アクセス権限管理：最小権限の原則を徹底し、不要な権限付与を防止。
• 暗号化の徹底：保存データ・通信経路の暗号化を標準化。
• 監査ログの活用：アクセス履歴を定期的に監査し、不審な挙動を早期発見。
• 脆弱性診断：外部専門機関による定期的なセキュリティ診断を実施。

(4)外部専門家との連携体制構築

• 法律専門家：弁護士と事前に連携し、法的リスクや報告義務の判断を迅速化。
• セキュリティベンダー：インシデント発生時に即応できる外部セキュリティ企業と契約。
• 広報コンサルタント：社会的信用を守るため、危機広報の専門家と連携。
• 保険会社：サイバー保険の活用により、漏えい時の金銭的リスクを軽減。

(5)組織文化の醸成

• 従業員教育：定期的な研修で「情報を守る意識」を浸透させる。
• 通報制度の整備：内部不正やセキュリティリスクを早期に発見できるよう、匿名通報制度を導入。
• 経営層のコミットメント：トップが情報保護の重要性を発信し、全社的な優先課題として位置づける。

【ポイント】

「平時からの備え」は単なるセキュリティ対策にとどまらず、マニュアル・訓練・技術・外部連携・組織文化の5つの柱をバランスよく整えることが重要です。これにより、漏えい発生時の初動スピードと対応品質が格段に向上します。

9.まとめ

個人情報漏えいは、企業の存続に関わる重大なリスクです。改正個人情報保護法により報告義務が強化された今、事業者は「迅速な報告」「誠実な通知」「徹底した初期対応」を行うことが求められます。

漏えい発生時には、速報・確報の二段階報告を期限内に行い、本人通知や公表を通じて透明性を確保することが不可欠です。さらに、平時からの備えとして、インシデント対応体制を整え、訓練やセキュリティ強化を継続的に行うことが、企業の信頼を守る唯一の道です。

•