1件の漏えいと10万件の漏えい、どちらが重大なのか

1．「何件か」を答える前に、何を数えたかを確かめる

最初にそろえるのは数の単位です。対象者数は本人の人数、レコード数はシステム上の行や記録の数、ファイル数は文書や添付の数です。同じ人の複数の記録、一つの文書に含まれる家族や関係者の情報があるため、どれも自動的に同じ数にはなりません。

担当部署は、数えた情報源、対象期間、条件、重複の除き方、集計日時、集計者を残します。事故の影響を受けたデータを確定する作業と、名簿から本人を照合する作業も区別します。同一人物か不明なものを無理に統合したり、照合のために不要な個人情報を新たに集めたりしません。

経営報告では、確認できた人数、条件付きの最大可能数、調査中の推計を別欄にします。最大可能数を出すなら、その範囲まで影響し得る理由を書きます。データベースの全登録数を、根拠なく「漏えい人数」に置き換えないようにしてください。

数が変わったときは、追加流出が確認されたのか、重複を除いたのか、抽出条件が変わったのかを説明します。数値と根拠資料の版を結び付け、以前の説明・通知対象への影響を確認します。これらは本記事の運用案で、法定の集計様式を示すものではありません。

2．件数を含む六つの観点を並べて確認する

事故の影響は、一つの点数に集約せず、判断を変える条件を横に並べます。人数が少なくても特定の人への深刻な不利益が懸念される場合があり、多人数なら通知・照合・記録の正確さを維持するための体制が必要です。人数と影響を対立するものとして扱いません。

氏名だけか、連絡先と利用履歴が組み合わされているか、認証情報や決済情報が使える状態か、本人確認書類の画像・番号、マイナンバー、健康情報が含まれるかを分けます。一般的な情報に見えても、特定の施設・サービスの利用と結び付くことで、本人への不利益が増す可能性があります。

一方、「機微に感じる情報」はすべて法令上の要配慮個人情報である、という意味ではありません。定義への該当と実務上の慎重な取扱いを分け、該当する情報項目を個人情報管理担当が確認します。［1］

子ども、患者、社員、被害者等という区分だけで影響を決めず、本人が案内を安全に受け取れるか、利用停止で生活に支障が出ないか、代理人等への開示条件はどうかまで検討します。背景を詳しく聞くほどよいのではなく、対応に必要な範囲で配慮事項を記録します。

3．「回収した」「削除した」の後に、残る範囲を確認する

Web公開、誤送信、紛失、内部持ち出し、不正アクセスでは、確認できる証拠が異なります。公開設定の期間、送信先、閲覧・ダウンロードの記録、媒体の所在、外部送信の痕跡などを、技術担当や情報の管理部署が確認します。閲覧できたことと、実際に取得されたことは区別しますが、取得の証拠がないだけで影響を否定しません。

アクセスを止める、送付先へ回収や削除を依頼する、認証情報を無効化する等の措置は重要です。ただし、停止した時点と、それ以前に作られた複製や再送の有無は別です。相手からの「削除しました」という回答も、その回答を受けた事実と、会社が直接確認できた範囲を分けます。

通則編には、第三者に閲覧される前に個人データをすべて回収した場合は漏えいに該当しないという整理があります。「回収できた」の一言で適用せず、閲覧前であることや全回収の確認根拠を責任者が点検します。既に閲覧・複製された後の削除とは条件が異なります。［1］

復旧できたことも、情報の流出や本人への不利益が解消したこととは別です。データの利用不能が業務や生活に与える影響を確認し、原因への対処と安全な復旧を進めます。復号やバックアップからの復元だけで、調査・通知・問い合わせ対応を終了しないようにします。［5］［6］

4．法定報告の基準と、会社の重大性評価を分ける

民間事業者の個人情報保護法上の報告対象は、人数の条件だけではありません。次は通則編の報告対象を確認するための概要です。どれか一つに当てはまるかを検討し、件数の条件に当てはまらないから他も不要、とは判断しません。［1］［2］

したがって、1,000人以下でも他の類型に該当すれば報告等が必要になり得ます。「件数」は行数でなく、人数を条件にする類型であることにも注意してください。人数が未確定なら、推計の根拠と、おそれの判断に使った事実を残して検討します。

暗号化されていたという名称だけで対象外にはできません。読取りを困難にする技術的措置に加え、復号鍵が適切に管理されていたか等を確認します。漏えいと同時に鍵や認証情報も取得された疑いがある場合を、保護されていた場合と同じに扱いません。［3］

報告対象の判断、本人通知、公表の判断は、それぞれ目的と条件を確認します。法律の報告対象でないという結論が出ても、契約上の連絡や本人への安全案内が不要と決まるわけではありません。マイナンバー、業法、海外法令は別途専門家へ確認します。

制度確認日は2026年11月7日です。成立・公布済みの改正や検討案を、施行済みの報告基準として混ぜていません。実際の判断時には、最新の公式法令・ガイドラインと施行状況を再確認してください。［4］

5．急ぐ個別対応と、全体を正確に処理する体制を分ける

評価の目的は、事故に名前や点数を付けることではなく、必要な対応を決めることです。まず緊急に止める被害や、先に本人へ届ける案内を検討し、同時に通知・照合・問い合わせを処理する体制を組みます。

窓口の規模は、対象人数に一定の率を掛けて断定するのではなく、情報の種類、通知方法、本人確認の難しさ、案内の分かりやすさ、回答に必要な専門判断、想定される時間帯から組み立てます。問い合わせが少ないことを、そのまま本人への影響が小さい証拠にしません。

同じ事故でも、情報項目や利用状況が異なる対象者には、同一のFAQが当てはまらないことがあります。対象区分別の回答条件と確認先を用意し、共通の案内に個別の情報を混ぜません。通知後の申告から新たな影響が分かれば、評価担当へ戻す経路を設けます。

優先対応の選別は法定の報告・通知等を遅らせる理由にはしません。すべてを調べ切るまで連絡を止めるのでも、未確認のまま全員へ同じ行動を指示するのでもなく、確認済みの範囲で案内し、残る照会と再連絡を追います。

6．経営報告は、数字と一緒に判断してほしいことを示す

経営向けの報告では、対象数、本人への影響、業務への影響、法令・契約上の判断、現在の措置、未確認事項を区分します。広報上の注目や取引への影響も重要ですが、本人の安全や不利益と同じ欄で相殺しないことが大切です。

報告の末尾には、増員、外部専門家、通知範囲、代替業務、次の公表など、承認してほしい事項を具体化します。必要費用や人員の根拠、判断を保留する場合の影響、次に見直す時点を示すと、単なる件数報告から実行に移りやすくなります。

これは実際の事故や実績の紹介ではなく、報告文の構造例です。使用する場合は、既に確定した情報を「確認中」へ戻さず、自社の根拠と承認事項に合わせます。「少数なので軽微」「報道されていないので影響はない」という結論を数字に添えないでください。

社外へ説明するときも、調査範囲と集計時点を短く添えます。同じ件数の他社事故と対応が異なる理由を聞かれた場合は、他社の実情を推測せず、自社の対象情報・確認状況・必要な案内に基づく説明へ戻します。

7．新しい事実で評価を更新し、残る仕事を引き継ぐ

人数の増減だけでなく、認証情報の有効性、外部取得の証拠、別の情報項目、二次被害の申告、回収・停止の結果が変わったときも評価を見直します。更新のきっかけ、変えた判断、使った根拠、承認者、次の確認を版として残します。

被害の申告は、新しい確認の入口です。申告が自社事故による被害と確定したかは分けて扱い、関連が不明だから受付を打ち切ることも、すべて自社の被害として集計することもしません。緊急性の高い申告は定期会議を待たず共有する運用にします。

評価を下げる場合も、何が確認できて不確実性が減ったかを説明します。削除依頼を出した、通知を送った、一定期間問い合わせがなかったという作業結果だけで、「影響なし」へ自動変更しないでください。過去の強い説明が誤りだった場合は、訂正・再案内の要否を判断します。

事故の評価書が承認されても、本人への通知・未達、未回答、再発防止、監視、契約上の連絡が残ることがあります。終了会議では、それぞれの完了条件と残務担当を確認します。記録は必要な範囲に限って保管し、不要な対象者情報を評価表へ複製し続けない運用にします。

8．実務チェックと、よくある質問

担当と残る仕事を確かめる6項目

• 人数、記録数、ファイル数、情報項目を区別し、集計の条件と版を残した。
• 確定数、最大可能数、推計とその根拠・未確認事項を分けた。
• 六つの観点で本人への影響を確認し、点数一つで結論を出していない。
• 法定報告・本人通知・公表・契約上の連絡を別々に検討した。
• 緊急の個別対応と、全体の通知・窓口処理の体制を用意した。
• 再評価の条件、承認、FAQへの反映、未達・未回答と終了後の担当を残した。

件数は、事故の規模を知る大切な情報です。そこに本人への影響と回復の条件を重ねて、何を急ぎ、どの体制を用意し、何を確認し続けるかを決めてください。評価の完了ではなく、その評価に基づく対応の完了まで管理することが重要です。