個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

この記事は、個人情報の漏えい等が起きたときの報告の要件と期限、そして委託先である制作会社が委託元に知らせる流れを扱います。

「報告はお客様の会社がするもの」で止まっていないか

「漏えいの報告って、サイトの持ち主がするんですよね。うちは制作会社なので」

半分は正しく、半分は危険な理解です。
報告をするのは、多くの場合、顧客である委託元です。

けれど、委託元が報告の期限に間に合うかどうかは、制作会社がいつ知らせるかで決まります。
制作会社の一報が遅れれば、顧客の報告も遅れるのです。

漏えい等の報告とは、一定の事態を知った事業者が、個人情報保護委員会に速報と確報を出し、本人に通知する義務である

黒字化の外科医です。漏えい等の報告の要件と、制作会社の役割を解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

個人情報保護法第26条と施行規則、個人情報保護委員会のガイドライン（通則編）で確認できた要点を整理します。

制作会社がこの仕組みを知るべき理由は、三つあります。

第一に、報告の対象になる事態が決まっているから。
施行規則第7条は、報告対象を次の4つに分けています。要配慮個人情報が含まれる漏えい等、不正に利用されることで財産的被害が生じるおそれがある漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が千人を超える漏えい等です。いずれも「発生したおそれがある」段階も含まれます。

第二に、期限があるから。
施行規則第8条は、事態を知った後「速やかに」速報を、知った日から30日以内（不正の目的による事態は60日以内）に確報を出すことを求めています。ガイドラインは、速報の「速やか」の目安を、知った時点から概ね3〜5日以内としています。

第三に、委託先には「委託元への通知」という道があるから。
法第26条第1項ただし書により、委託を受けた事業者は、委託元に事態を通知すれば、自らの報告義務を免れます。施行規則第9条とガイドラインは、この通知も「速やかに」行うこととし、目安を委託先が知った時点から概ね3〜5日以内としています。

2024年4月の改正で、ウェブサイトの改ざんが報告対象に入りやすくなった

施行規則の改正（2024年4月1日施行）で、不正の目的による事態の対象に、事業者が「取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が加わりました。

ガイドラインは、ウェブサイトの入力ページが第三者に改ざんされ、入力された個人情報が第三者に送信された場合を、この類型の事例として示しています。
フォームや決済画面を作り、保守する制作会社にとって、他人事ではない改正です。

手口と予防は、こちらで扱っています。

▶ ウェブスキミングとは、顧客サイトの入力画面が気づかないまま盗み見られること──制作会社が保守で止める改ざん検知・外部スクリプト・管理画面の守り

今すぐ試せる：報告対象かどうかを整理するプロンプト

私はWeb制作会社の経営者です。顧客サイトで起きた事案について、
委託元に伝えるための事実の整理を手伝ってください。

【分かっている事実】
・気づいた日時と、きっかけ：〔　　〕
・影響がありそうな画面・データ：〔　　〕
・含まれる可能性のある項目（氏名、住所、カード番号、病歴等）：〔　　〕
・影響がありそうな件数の見込み：〔　　〕
・第三者による不正な行為の疑いの有無と、その根拠：〔　　〕

1. 施行規則第7条の4つの類型のうち、該当する可能性があるものを挙げる。
2. 判断に足りない情報を列挙する。
3. 委託元への第一報に書く内容を、事実と推測に分けて下書きする。

法的な判断を断定しないこと。「委託元と専門家が判断する」前提で書くこと。

報告の流れ工場：制作会社から委託元へ、委託元から委員会へ

流れ図

【制作会社（委託先）】
 事態を知る
  ↓（概ね3〜5日以内が目安。実務では当日中の一報を目指す）
 委託元へ通知（把握している事項）
  ↓
【顧客（委託元）】
 速報：委員会へ（概ね3〜5日以内が目安）
 確報：委員会へ（30日以内／不正の目的による事態は60日以内）
 本人への通知：状況に応じて速やかに

速報・確報で求められる9項目

1 概要
2 漏えい等が発生し、又は発生したおそれがある個人データの項目
3 本人の数
4 原因
5 二次被害又はそのおそれの有無と、その内容
6 本人への対応の実施状況
7 公表の実施状況
8 再発防止のための措置
9 その他参考となる事項

ガイドラインによれば、報告は原則として委員会のウェブサイトの報告フォームから行い、速報の時点では把握している内容を報告すれば足りるとされています。

制作会社が「その日のうちに」すること

□ 社内の責任者に報告した
□ 気づいた日時・きっかけを記録した
□ 被害の拡大を止める措置（画面の停止等）を、委託元と相談した
□ ログやファイルを消さずに保全した
□ 委託元の窓口へ、電話とメールで第一報を入れた

構造的なリスク

逆説を指摘しておきます。

「確定してから伝えよう」という誠実さが、一番の遅れを生みます。
原因が分からない段階でも、分かっていることと分かっていないことを分けて、まず伝えてください。

速報は、把握している内容で足りるとされています。完璧な報告より、早い一報が顧客を守ります。

よくあるQ&A

Q. 委託元が「報告しなくていい」と言ったら？

報告の判断は、委託元と専門家が行うものです。制作会社は、事実を記録し、通知した日時と内容を残しておいてください。

Q. 制作会社自身が報告する場面はあるか？

制作会社が自ら個人データを取り扱う事業者として事態を起こした場合など、委託元への通知の道を使わないなら、自社の報告義務が問題になります。判断は専門家に確認してください。

Q. 第一報の文例や、時系列の記録シートはあるか？

有料の記事に、そのまま使える型をまとめました。

▶ 個人情報の漏えい対応、制作会社の最初の72時間キット──初動チェックリスト、委託元への第一報、時系列記録、報告9項目の整理表、再発防止策の型

最後に

報告の期限は、委託元だけの問題ではありません。

報告の4類型と期限を知り、事態を知ったその日に委託元へ一報を入れられる制作会社だけが、事故のときにも顧客から信頼され続けるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #個人情報保護法 #漏えい等報告 #情報漏えい #個人情報 #委託先 #制作会社経営 #中小企業 #セキュリティ #リスク管理