企業で情報漏洩が起きたときの初動｜確認・報告・本人への連絡

責任ある立場の人へ直ちに報告し、被害の拡大を防ぐ対応と事実関係の整理を進めましょう。対象となる個人データと発覚日を確認し、委員会への報告・本人への通知が必要かを検討します。確認済みの事実と未確認の項目を分け、公表や外部相談も別々の作業として管理してください。

責任者への報告と被害の拡大防止

このページは、民間企業で個人データの漏洩等が起きた、または疑われる場合の確認を整理する入口です。個人情報保護委員会の通則編は、責任ある立場の人へ直ちに報告することを挙げています。担当者だけで情報を持ち続けず、分かっている状況を責任者へ共有しましょう。個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編） ｜個人情報保護委員会』

最初の共有は、内容を完璧に整えることより、確認できたことと未確認のことを分けて行う形を考えてください。社内で整理するためのメモとして、発覚した日時、把握している出来事、関係する情報、いま確認している項目を並べる方法があります。

被害の拡大防止についても、誰が何を確認しているかが分かる形にしましょう。ランサムウェアの被害が疑われる場合は、ランサムウェア被害時の初動で、侵害されたシステムの切り離しと相談先を確認できます。ほかの事案に同じ操作を一律に当てはめず、自社の状況と担当者への確認を分けて整理してください。

事実関係を整理する

通則編の報告事項には、個人データの項目、二次被害またはそのおそれの有無と内容、その他参考となる事項などが挙げられています。まず、どの項目について事実が分かり、どの項目が調査中なのかを整理しましょう。個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編） ｜個人情報保護委員会』

記録の方法として、項目ごとに「分かった内容」「確認した時点」「まだ分からないこと」を分けて書くと見直しやすくなります。人数や情報の種類が確定していない場合は、確認前の数字を確定値として扱わず、現時点の説明が何を意味しているかを明確にしてください。

本人への案内については、委員会は概要、個人データの項目、原因などを、状況に応じて速やかに、本人に分かりやすい方法で伝えるよう案内しています。社内で使う言葉をそのまま並べず、対象者が何を確認できる説明にするかを考えましょう。個人情報保護委員会『漏えい等報告・本人への通知の義務化について ｜個人情報保護委員会』

社内の確認メモと、本人へ伝える文章は分けて準備してください。未確認の原因について結論を先に書くのではなく、いま伝えられる事実と、追加で確認する項目を整理します。文章を確認する人と、事実を確認する人の作業が分かるようにすることも、社内の管理方法として検討しましょう。

委員会への報告と本人への通知

個人情報保護委員会は、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正な目的で行われたおそれがある場合、本人の数が1,000人を超える場合など、対象となる個人データの漏洩等について報告義務を案内しています。人数だけで判断せず、それぞれの条件に照らして確認しましょう。個人情報保護委員会『漏えい等の対応とお役立ち資料』

報告対象となる事態では、委員会への報告と本人への通知が必要です。速報は速やかに、概ね3〜5日以内という案内が示されています。確報は発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内とされています。期限の詳細と報告方法は委員会への報告ガイドを参照してください。個人情報保護委員会『漏えい等報告・本人への通知の義務化について ｜個人情報保護委員会』 個人情報保護委員会『漏えい等の対応とお役立ち資料』

社内での作業整理では、「報告対象かを確認すること」「速報を準備すること」「確報に向けて確認すること」「本人への通知を準備すること」を分けて記録しましょう。調査と連絡の作業を一つの完了欄にまとめず、どこまで進んだかが見える形にしてください。

本人への通知は、本人に分かりやすい方法で行うという案内に沿って検討します。通知が困難な場合の代替措置も示されていますが、自社の事情がその要件に当たるかは通則編で確認してください。公表の準備だけを理由に、本人への通知についての確認を省かないようにしましょう。個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編） ｜個人情報保護委員会』

公表の扱いを分けて考える

通則編では、事案の状況に応じ、速やかに公表することが望ましいとされています。「望ましい」という対応と、報告対象事態で必要となる委員会への報告・本人通知は、分けて整理してください。個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編） ｜個人情報保護委員会』

公表文を準備する場合は、確認済みの事実、対象となる情報、本人へ案内する内容を照らし合わせましょう。社内メモにある仮説を、そのまま公表文の確定した原因に置き換えないようにします。誰が何を確認したかを残し、文章の確認と事実の確認を別々に進めてください。

相談先を確認する

IPAは、サイバーセキュリティに関する相談・届出窓口の一覧を公開し、連絡先に迷う場合の入口として安心相談窓口を案内しています。相談先を探す作業は、委員会への報告や本人通知の確認と分けて管理しましょう。IPA（情報処理推進機構）『サイバーセキュリティ 相談・届出窓口一覧 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構』

相談するためのメモには、事案の概要、分かっている情報、すでにした対応、確認したい点を整理します。最後に責任者への共有、事実確認、報告・通知、公表の検討という各項目を見直し、まだ決まっていない判断と次の担当を明確にしてください。

社内で担当が変わる場合も、未確認の項目が誰に引き継がれたかを残しておきましょう。