まだ何も分かっていない。それでも第一報は出すべきなのか

1．第一報は、何を解決するために出すのか

第一報の役割は、調査結果を完成させて発表することではなく、現時点の事実と必要な案内を届けることです。ただし、情報が少ない事故をすべて直ちにWeb公表すべきだという意味ではありません。

まず、誰がどのような不利益を受ける可能性があり、今知らせることで何を防げるかを考えます。注意すべき不審な連絡、利用を控えるサービス、問い合わせ先など、受け手が取れる行動があるなら、その案内が遅れる影響を確認します。

個人情報保護法上、事案の公表は、本人通知の代替措置として行う場合を除き一律の義務ではありません。一方、事案に応じた公表が望ましいとされ、公表でかえって被害が広がる場合等も考慮します。他法令・上場規則・契約上の開示や連絡は別に確認します。［1］

事故対応責任者、法務、技術調査、広報で、知らせる相手、目的、必要な内容、発信時期を判断します。文面担当だけで公表の要否を決めず、「社外に出すかどうか」の結論と、判断に必要な準備を分けて進めます。

第一報を見送る判断にも、理由と再検討の条件を残します。「調査中だから」の一言では、どの情報が判明すれば判断が変わるか分かりません。新たな被害申告、影響範囲の確認、本人が取れる対策など、次に判断を戻す条件を明確にします。

2．公表・本人通知・関係先説明を一つにまとめない

同じ事故でも、全員に同じ文書を送れば足りるとは限りません。行政への報告には報告項目があり、本人には自分に関係する情報と対策、取引先には業務への影響と連絡方法が必要です。

Webで第一報を出したことだけで、行政報告や本人通知が自動的に完了するわけではありません。本人通知が困難な場合の代替措置には条件があります。報告・本人通知の担当は、公表作業と別に要件と進行状況を確認します。［2］

個人情報保護委員会への速報は、その時点で把握した内容を報告する仕組みです。対外公表文の完成を待つことを、行政への報告の前提にしません。本人通知も、必要事項がすべて判明するまで一律に待つ扱いではありません。［2］［3］

委託先事故では、発信主体の調整も必要です。委託先が発表した範囲と自社に関係する範囲を分け、自社の説明・通知の判断を置き去りにしないようにします。

3．書く前に、第一報の材料を六つに分ける

長い謝罪文から作り始めず、確認できた材料を整理します。以下は公表文を組み立てる運用上の項目例です。本人通知の法定事項そのものを置き換える一覧ではありません。

① 何を把握したか

発覚した事象、判明している日時、情報源。発生日時と発見日時を混ぜません。

② どこまで影響が分かっているか

対象サービス、期間、情報項目、対象者の範囲。確定と確認中を分けます。

③ 何を実施したか

公開停止、アクセス制限、調査開始など、実施を確認できた対応。依頼しただけの作業を完了としません。

④ 本人は何に注意するか

現時点で案内できる対策と、公式の確認経路。事案と無関係な対策を大量に並べません。

⑤ どこへ問い合わせるか

受付窓口、受付時間、答えられる範囲、個別照会の方法。利用できる状態を確認します。

⑥ 追加情報をどこで知らせるか

続報の掲載先と見つけ方。確約できない調査完了日や通知日を約束しません。

対象人数が未確定なら、その旨と確認している範囲を記します。分かりやすさのために推定値を確定人数に変えることはしません。「影響がある可能性のある人数」と「漏えいを確認した人数」は、表すものが異なります。

本人の行動に関わる事項は、優先して確認します。例えば認証情報の変更を求めるなら、対象、必要性、安全な変更経路を担当者が確認します。窓口担当が一般的な知識だけで、全対象者に再発行や解約を勧める文面にはしません。

本文はHTMLの文字として読める形を基本にし、画像やPDFだけで重要な案内を示さないようにします。スマートフォンでも、対象範囲と問い合わせ先が探しやすい順序にします。

4．まだ書かないことは、理由と確認先を残す

未確認の原因、被害がないという断定、補償の確約は、文章の空きを埋める材料にしません。原因が未判明であることを説明したうえで、何を調べているかを必要な範囲で示します。

調査担当の「確認できたログでは痕跡がない」を、「情報は漏れていません」へ短縮しないでください。逆に、漏えいが一部確認されたのに、全体を「可能性がある」とだけ表現すると、判明した事実が伝わりません。表現の強さではなく、確認できた範囲との一致を点検します。

公開することで本人が特定される情報、攻撃を助ける未対処の技術詳細、他社の未公表情報を含めないかも確認します。個人情報保護委員会は、本人通知の代替として公表する場合にも、本人の特定や被害拡大を避ける配慮を示しています。［4］

伏せる情報がある場合も、本人が対策を取るために必要な情報まで一律に削らないようにします。技術・法務・広報の担当が、公開できる説明へ言い換えられるかを検討します。「調査に支障があるので答えない」といった説明は、根拠なく定型文として使いません。

「再発防止を徹底しました」という表現も、未実施の対策まで完了したように見せないようにします。実施済み、実施中、今後検討する対応を区別し、根拠と承認記録を残します。

5．第一報の短い文例を、事実と案内につなげる

本人が知りたいのは、謝罪の長さだけでなく、自分に何が関係するかです。お詫びの表現を置く場合も、確認状態、本人が取れる対応、問い合わせ先が埋もれない構成にします。

この文章だけで第一報が完成するわけではありません。実際のサービス名、必要な日時、確認済みの影響、本人への注意、利用できる窓口を加え、責任者が確認します。会社ごとの実態に合わない例文の丸写しを避けてください。

「今後の情報はホームページで」とするなら、会社トップから探せる入口を用意します。メールやSNSから来た人も、公式ページへたどって同じ案内を確かめられるようにします。不審なメール等のリンクを使わず、公式経路で確認することは警察庁のフィッシング対策にも示されています。［5］

通知を装う連絡への注意を促す際は、自社が求めない情報や正式な受付経路を具体的に示します。ただし、「当社から連絡することは一切ない」と、実際の本人通知や折り返しと矛盾する案内をしないようにします。

6．公開前に、事実・文面・窓口の三つをそろえる

Webに掲載できることと、掲載後の問い合わせに答えられることは別です。第一報の承認は、文章の確認だけで終わらせず、受付時間、連絡先、窓口が使う初期回答まで照合します。

承認者が不在の場合の代替者も決めます。誤りのない範囲の暫定案内を先に承認するのか、必要な注意喚起を別に行うのかを判断し、受付担当が独自に不足情報を補わないようにします。

公開する実ファイル、通知文、窓口用回答の版と適用時刻を残します。下書きに残った未確定の人数、仮の電話番号、内部用メモが公開されないかを、掲載物そのもので確認します。個人情報や機密資料を校正用の外部サービスへ無断で送らない運用も必要です。

一般案内、対象者照会、取引先・報道機関の取次ぎを分けます。本人が何度も同じ事情を説明しなくてよいよう、窓口から確認担当へ情報を渡す方法を整えます。詳細は問い合わせ窓口の設計へつなぎます。

7．続報を前提に、変わったことと残る確認を示す

第一報を出した後も、「次に何を知らせるか」を管理します。公開ページを作った担当、調査結果を受け取る担当、本人へ追加案内する担当がつながっていなければ、情報が届いても更新されません。

続報では、新たに判明したこと、前回から変わったこと、本人が取るべき対応、まだ確認中のことを分けます。前回に誤りがあれば訂正として明確にし、単に新情報へ差し替えて経過を分からなくしないようにします。

調査に時間がかかる場合は、案内できる進捗や確認状態の変化があるかを点検します。結果の確定日を約束できないときでも、掲載先と問い合わせの扱いを分かるようにします。更新予定を告知した場合は、結論が出ない場合の連絡も実行できるかを確認します。

Webの更新だけで、個別の通知や過去回答への対応が済むとは限りません。本人の行動が変わる情報は、通知担当や窓口へ戻します。FAQ更新・再案内と、本人通知の運用では、更新後に残る実務を扱っています。

窓口に届いた新たな申告が公表内容へ影響する場合も、事実と関連性を確認して責任者へ戻します。申告の件数だけで、事故による被害が確定したかのような続報を作らないようにします。

8．第一報前後のチェックと、よくある質問

「まだ全容が分からない」と「本人へ伝えられることが何もない」は同じではありません。確認できた事実と必要な案内を選び、窓口と続報につながる第一報を準備します。

続けて確認したい実務