個人情報が漏れたときの対応 | 報告義務と最初にやるべきこと

個人情報保護法では、次のいずれかにあたる漏洩（漏洩のおそれを含む）が起きた場合、個人情報保護委員会への報告と、本人への通知が必要になります。

特に 3 つ目は、人数に関係なく対象になります。不正アクセスやランサムウェアの被害で個人情報が見られたおそれがあれば、数件でも報告の対象になりうる点に注意が必要です。

速報は「全部分かってから」ではなく、「分かっている範囲で早く」出すものです。調査が終わるのを待っていると、期限を過ぎてしまいます。

1. 1被害を広げない: 不正アクセスなら該当の機器をネットワークから外す。誤送信なら送信先に削除を依頼する
2. 2記録を残す: いつ・誰が・何に気づいたか、何をしたかを時系列でメモする。証拠になるファイルやログを消さない
3. 3社内で報告する: 経営者と責任者に共有し、対応の担当を決める
4. 4範囲を確かめる: 誰の・どんな情報が・何件くらい関わるか。分からない部分は「不明」として整理する
5. 5外部に相談する: システムの管理業者、必要に応じて警察（不正アクセスの場合）や弁護士
6. 6報告と通知の準備を始める: 4 つの場合にあたるかを判断し、速報の期限を確認する

慌てて機器の電源を切ったり、ファイルを消したりすると、原因の調査ができなくなることがあります。まずは「広げない・消さない・記録する」の 3 つです。

報告の対象になる場合は、本人への通知も必要です。通知では、何が起きたか、どんな情報が関わるか、会社として何をしているか、本人に気をつけてほしいこと（不審な連絡への注意など）を伝えます。

• 事実を隠さない: 分かっていないことは「調査中」と書き、分かり次第知らせる
• 問い合わせ先を用意する: 電話やメールの窓口を決めておく
• 二次被害を防ぐ: 漏れた情報を悪用した詐欺メールが届く可能性があることを伝える

• どこに個人情報があるかを一覧にする: 顧客名簿・問い合わせのデータ・会員情報など。持っている場所が分からないと、漏れたときに範囲が分からない
• 必要以上に持たない: 使い終わった名簿や古い問い合わせのデータは消す。持っていなければ漏れない
• 連絡先と手順を紙にしておく: 担当者・管理業者・警察の相談窓口・個人情報保護委員会
• メールの誤送信を防ぐ: 宛先の確認、添付ファイルを共有リンクに変えるなどの社内ルール
• バックアップとログを残す: 何が起きたかを後から確かめられるようにする

業務システムを作るときに、扱う個人情報の種類と保存の期間を最初に決めておくと、漏れたときの影響を小さくできます。