漏えい等が起きたときの初動対応｜まず社内で何を確認するか

第8話・第9話で、安全管理措置と社内管理ルールを学びました。第10話は、それでも事故が起きてしまったときの初動対応です。なお、速報・確報の要件・期限・書式などの詳細は、個人情報漏えい時の「速報」「確報」報告義務を徹底解説で扱います。本記事はその手前の「社内初動マニュアルの入口」と位置づけてお読みください。

まず結論｜「止める・集める・判断する・記録する」

漏えい等が疑われたら、初動対応の基本は次の4つです。この順番を頭に入れておくだけで、何から動けばよいか迷いにくくなります。

1. 被害拡大を止める（封じ込め）
2. 事実情報を集める（事実確認）
3. 報告・通知・公表の要否を判断する
4. 判断過程と対応内容を記録する

漏えい等とは何か

個人情報保護法でいう「漏えい等」とは、漏えい、滅失、毀損その他の個人データの安全の確保に係る事態を指します（法第26条）。漏えいだけでなく、データが失われる滅失や、改ざん・破損による毀損も含まれます。

初動対応の流れ

事故の発覚から初期対応までの流れを、ステップで整理します。すべてを一人で抱えず、各ステップで適切な部署と連携することがポイントです。

1. 発見・受付（誰かが気づき、窓口に上がる）
2. 初期封じ込め（被害拡大を止める）
3. 社内エスカレーション（法務・経営層等へ報告）
4. 事実確認（何が起きたか整理）
5. 影響範囲の把握（対象・人数・情報の種類）
6. 報告対象事態の可能性確認
7. 本人通知・公表の要否検討
8. 委託元・委託先・取引先への連絡
9. 再発防止策
10. 記録保存

まず確認すべき事実関係

初動では、事実を急いで整理する必要があります。法務・総務・情シスが最初に確認すべき事実を整理しました。分からないことを空欄で放置せず、「判明済み・未判明・調査中」に分けて管理すると、状況が見えやすくなります。

被害拡大を止めるための初期封じ込め

漏えい等が疑われたら、原因調査と並行して、被害拡大を防ぐ対応が必要です。「原因がすべて分かってから動く」のでは遅れます。事故の類型に応じて、できる封じ込めから着手します。

法務は、封じ込めと並行して、証拠保全、関係者ヒアリング、外部連絡文の確認、契約上の通知義務の確認も行います。慌ててログを上書きしたり、証拠を消してしまったりしないよう注意が必要です。

社内連絡ルートと役割分担

漏えい等対応では、誰に・いつ・何を共有するかが重要です。事故が起きてから連絡先を探すのでは遅れます。事前にインシデント対応フローと連絡網を決めておくことが、初動の速さを左右します。

報告対象事態に当たるかの入口判断

個人情報保護委員会への報告が必要になるかは、報告対象事態に該当するかで決まります。報告対象事態は、施行規則で次の4類型が定められており、いずれも「発生した場合」だけでなく「発生したおそれがある場合」を含みます。

なお、報告対象事態に当たるかは、漏えい等した個人データの内容だけでなく、高度な暗号化等により秘匿化され、第三者が内容を判読できない状態だったかなども含めて判断します（秘匿化措置が講じられていれば、報告・本人通知の対象とならない場合があります）。詳細な判断は速報・確報の記事で整理します。

本人通知・公表の入口判断

報告対象事態に該当する場合は、本人への通知も問題になります（法第26条第2項）。本人通知では、本人が被害拡大を防いだり、適切に対応したりするために必要な情報を、本人にとって分かりやすい方法で伝えることが求められます。ただし、通知の内容・方法・タイミングは、事案により検討が必要です。

なお、本人への通知が困難な場合（連絡先を保有していない、不正アクセスで通知先リストが失われた等）であって、本人の権利利益を保護するために必要な代わりの措置（ウェブサイトでの公表、問い合わせ窓口の設置など）をとるときは、個別の本人通知に代えることができます（法第26条第2項ただし書）。「連絡先が分からないので通知できず違法」と硬直するのではなく、速やかに代替措置へ切り替える判断ができるようにしておくことが実務上重要です。

なお、「公表」は、法令上の本人通知とは別に、信用・広報・取引先対応の観点から検討されることがあります。法的な通知義務と、広報上の公表は、分けて考えると整理しやすくなります。

本人通知をめぐっては「本人に謝罪すれば委員会報告は不要」という誤解がありますが、これは正しくありません。報告対象事態に該当すれば、本人対応とは別に、委員会への報告が問題になります。

委託先・SaaS・クラウドで発生した場合

委託先やSaaS・クラウドサービスで漏えい等が発生した場合でも、自社の対応が不要になるわけではありません。「委託先で起きた事故だから自社は関係ない」とは言えません。SaaS・クラウドは、委託に当たる場合、第三者提供に近い場合、提供に当たらない整理が問題になる場合などがあり得ますが、いずれの場合でも、自社が取り扱う個人データに関する事故として、事実確認・契約や利用規約の確認・報告通知の要否検討が必要です。委託の場合、委託先が委託元に所定事項を通知したときは委託先の報告義務が免除され、委託元が報告・通知の主体になり得ます。

委託契約の通知条項や役割分担は個人情報と契約条項、SaaS・クラウドの確認は第14話で扱います。

誤送信・紛失・不正アクセスなど事故類型別の初動

事故の類型ごとに、初動で押さえるポイントは少しずつ異なります。代表的な類型を整理します。

不正アクセスやランサムウェアは専門的な対応が必要になることが多く、情シスや外部専門家との連携が重要です。生成AIへの誤入力は「社内利用だから問題ない」とは言えず、入力先のサービスや設定によっては外部への提供等の論点が生じ得ます（AI法務ガイド参照）。

初動対応で残すべき記録

漏えい等対応では、対応内容と判断過程を記録することが重要です。「回収できたから記録は不要」とはなりません。記録は、後日の説明、監査、再発防止、本人対応、当局対応のすべてで役立ちます。

再発防止策の立て方

初動対応が落ち着いたら、原因分析と再発防止策に移ります。同じ事故を繰り返さないために、原因に応じた対策を講じ、社内ルール（第8話・第9話）に反映します。

事前に準備しておくべき社内フロー

漏えい等は、発生してから体制を作ると対応が遅れます。平時のうちに、次のような準備をしておくと、いざというときに落ち着いて動けます。

これらの整備状況は、第15話：個人情報保護法対応チェックリストでも総点検します。

よくある誤解と正しい理解

漏えい等対応をめぐる代表的な誤解を整理します。

企業法務担当者が最初に聞くべき質問

事業部門や情シスから「個人情報が漏れたかもしれない」と相談されたとき、法務がまず聞くべき質問を整理します。順に確認すれば、報告・通知の要否判断に必要な材料が揃います。

このシリーズでの次の学び方

漏えい等の初動対応を押さえたら、次は場面別の管理と全体の総点検に進みます。第11話・第12話では採用情報・従業員情報の管理を、第13話では営業まわりを、第14話ではSaaS・クラウド利用時のチェックを、第15話では全体をチェックリストとして整理します。

まとめ｜止める・集める・判断する・記録する

漏えい等が起きたときは、まず被害拡大を止め、事実を集め、報告・通知・公表の要否を判断し、対応記録を残すことが基本です。確定を待たず、「おそれ」の段階から動くことが大切です。報告対象事態に該当する場合は、個人情報保護委員会への報告や本人通知が必要になり得るため、初動段階から法務・情シス・総務・経営層が連携しましょう。