情報漏えいは公表しなければならないのか――「公表」と「本人通知」は別の話

1．「公表するか」の前に、五つの目的を分ける

一つの事故でも、知らせる相手と目的は一つではありません。Webに載せるかどうかを決める会議で、行政報告や本人通知まで一括して「まだ出さない」とすると、別々に判断すべき仕事が止まってしまいます。

本記事では「公表」を、不特定多数の人が知ることのできる状態にすることとして扱います。「本人通知」は対象となる本人に直接知らせること、「行政報告」は法令上の報告先へ必要事項を届けることです。取引先説明は契約や業務上の関係を踏まえた連絡で、注意喚起は被害を防ぐ行動を促すための案内です。注意喚起は、公表や個別通知の中に含まれることもあります。［1］［2］

例えば、行政へ速報を提出していても、対象者に事故が伝わったことにはなりません。取引先に説明しただけで、その取引先が管理する本人への通知まで終わったとも限りません。担当ごとに「誰に、何のために、どの方法で」を書き分けることから始めます。

2．公表の一律義務がないことは、連絡不要という意味ではない

個人情報保護法上、漏えい等が起きたすべての事案について、一律にWeb公表が義務付けられているわけではありません。ただし、本人通知の代替措置として公表する場合は別に考えます。PPCは、事案に応じて公表が望ましいとする一方、公表によって被害が広がる可能性なども考慮しています。［1］

これとは別に、規則で定める報告対象事態では、原則として行政報告と本人通知が必要です。委託元への所定の通知による委託先の義務免除など、主体ごとの例外も確認します。漏えいが確定した場合だけでなく、そのおそれがある場合も対象になり得ます。事案の類型、対象情報、適用される制度、委託関係を法務・個人情報管理担当が確認し、公表の会議とは別に担当と期限を管理します。［2］［3］

「件数が少ないから公表も報告も不要」「まだ調査中だから何も知らせない」と人数や一つの言葉だけで決めません。自社が任意に対外説明をする判断と、法令に基づく報告・通知の判断を分けることが重要です。

本記事は民間事業者の個人情報保護法を中心にした整理です。金融・医療等の分野別ルール、マイナンバー、行政機関等、海外法令、上場規則、契約上の報告条件などが関係する場合には、担当者が適用を追加確認します。一般論としての「公表義務はない」を、そのまま自社の結論にしないでください。

3．Web公表で本人通知を代替できるかは、条件を確認する

「Webに出したから、個別の通知は要らない」とは限りません。本人への通知が困難で、本人の権利利益を保護するために必要な代替措置を取る場合に、例外が認められます。公表はその措置の例ですが、掲載したという事実だけで条件を満たしたことにはなりません。［2］

まず、対象者をどこまで把握しているか、どの連絡手段を保有しているか、連絡できない理由は何かを整理します。住所と電話番号など複数の手段があるとき、一つで連絡がつかなかっただけで、直ちに「通知困難」とするものではありません。［4］

通知できる人と連絡手段のない人が混在する場合も、全員を同じ扱いにしません。区分ごとに、通知方法、代替措置、判断理由を担当者へ確認します。法的な代替措置の判断と、郵送・配信・未達を管理する作業を区別してください。

代替措置の例には、問い合わせ先を公表し、本人が対象かどうかを確認できるようにする方法もあります。常設窓口の利用も可能とされていますが、実務では番号だけを載せず、照合する情報、本人確認、回答権限、回答待ちの扱いまで用意する必要があります。後半は窓口の運用設計としての提案です。［2］［5］

通知時期は事態の状況に応じて速やかに判断するもので、調査終了やすべての原因判明を一律の開始条件にはしません。一方、本人への通知でかえって被害が拡大する事情等も含めて、責任者・専門家が判断します。［2］

4．公表の判断では、必要性と弊害を同じ紙面で検討する

公表する理由だけでなく、何をどこまで示すと新たな被害につながるかも確認します。法務・広報・調査担当が別々に結論を出すのではなく、確認できた事実を共通にして、責任者へ判断材料を渡します。

公表の素材には、本人が特定される情報、未対処の脆弱性、攻撃者の誘導先などが含まれていないかを点検します。本人への通知の代替として公表する場合も、特定の個人が識別される事項を公表しない配慮が示されています。［6］

「原因は調査中」でも、確認できているサービスへの影響や、今すぐ必要な安全案内を分けて準備できる場合があります。逆に、確認していない被害範囲を大きく言い切って不安を広げるのも適切ではありません。保留する情報ごとに、理由と確認担当を残します。

公表を見送る場合は、「まだ分からない」で終えず、何が分かれば再判断するかを決めます。対象の拡大、二次被害の申告、通知未達、調査結果の変更など、判断を見直す材料を事務局から責任者へ戻せるようにします。これは本記事の運用提案で、すべての事案に同じ基準を当てるものではありません。

5．取引先説明と注意喚起は、公表を待つか別に判断する

取引先への説明は、公表文の送付だけでは足りないことがあります。委託契約や連絡条項、相手側の通知判断に必要な情報、業務停止や代替運用への影響を、契約・事業の担当が確認します。どの契約にも同じ期限があるとは考えません。

共有するのは、相手に必要な範囲の確認事実と未確認事項です。相手に自社名を公表してよいか、どこまで本人へ伝えるか、追加質問の窓口は誰かも整理します。ただし、相手との表現調整が終わるまで法令上必要な報告・通知を止めてよいという意味ではありません。調整が難しい点は責任者・法務へ上げます。

注意喚起は、詳細な原因説明とは別に、被害を防ぐ行動が中心です。例えば公式の確認先や、行わないでほしい手続きを案内する場合は、その内容を技術担当等が確かめます。注意喚起を出したことを、法定の本人通知や行政報告を履行したことに自動的に置き換えません。

対象外の取引先へ名簿や通知文の原本を広く送ると、追加の開示を起こすおそれがあります。共有相手、共有範囲、目的、方法を記録し、本人向けと取引先向けの資料を混在させないようにします。安全管理や第三者提供の適用は、個別の関係に応じて確認します。［2］

6．「しない」「保留する」判断にも、担当と再検討条件を残す

判断の記録は、結論だけでなく、何を根拠にどの範囲を決めたかが必要です。専用システム等で、事実の版と判断記録を参照できるようにし、窓口へは承認済みの説明を渡します。担当者全員へ原資料を配る必要はありません。

対象と目的

行政報告・本人通知・公表等の別、伝える相手と対象範囲。

根拠と結論

確認資料・時点、適用する制度や契約、実施・見送り・保留とその理由。

判断と実行

確認担当、判断者、実行担当、実行時期。専門家へ照会した未決事項も残す。

再検討と結果

次に確認する時点と条件、実施結果、残った作業、窓口への反映。

「公表不要」という結論だけが引き継がれると、後で対象範囲が変わっても判断が更新されません。理由を確認できる記録と、更新を引き受ける担当者をセットにしてください。承認待ちの間も、既に認められた案内まで止めないようにします。

7．判断が出たら、通知・窓口・FAQへ仕事として渡す

会議で承認したことと、本人や関係先に必要な情報が届いたことは別です。決定を受けた事務局は、文面、配信・発送、Web掲載、問い合わせ窓口の担当へ、対象と開始条件を渡します。

共有するのは、「公表する」という結論だけではありません。公開できる情報、まだ答えられない情報、個別確認の方法、次の更新経路をそろえます。Webと電話で違う結論を伝えないよう、最初に実際の問い合わせを想定して照合してください。

通知の未達、対象者からの追加申告、取引先の確認待ちは、実行後に残る判断材料です。事務局が集計し、必要なものを責任者へ戻します。第一報の文面を組み立てる仕事、本人通知の送付結果を追う仕事は、関連記事で詳しく扱っています。

8．判断前のチェックと、よくある質問

「公表するか」だけでなく、「誰へ何を知らせる必要があるか」を分けて決める。判断の根拠を残し、通知・窓口・再検討へつなぐところまでを一つの仕事にしてください。

続けて確認したい実務