情報が漏れたときに動く5工程｜報告と通知の期限を知る

「宛先の欄に、複数の取引先の連絡先をそのまま入れて送ってしまった」「お詫びと削除の依頼は出したが、その先が分からない」——事故の直後に必ず出てくる言葉です。情報が漏れたときの対応は、謝って回収を頼めば終わる話ではありません。報告と本人への通知には期限があり、迷っている時間がありません。この記事では、発覚から報告までの工程と、平時に決めておくことを整理します。

メールの誤送信は、いちばん多い漏えいの原因

最初に、この話が他人事ではないことを確かめます。情報の漏えいというと、外部からの攻撃を想像しがちです。実際には、社内の誤りによるものが大きな割合を占めます。

その中でも多いのが、メールの誤送信です。宛先を間違える。本来は個別に隠すべき宛先を、全員に見える欄に入れてしまう。添付するファイルを間違える。

マーケの部門は、この危険が高い部署です。名簿を扱い、一斉に配信する業務を持っているためです。1回の操作で、数千人分の情報が外に出ます。

防ぐ手段はいろいろありますが、完全にゼロにはできません。だからこそ、起きたときの手順が要ります。

そして、起きたときにいちばん困るのが、何をすべきか分からないことです。お詫びをする。削除を依頼する。そこまでは思いつきますが、法令上の義務があるかどうかは、知らないと分かりません。

2022年4月から、一定の場合に報告と通知が義務化されました。この記事では、どんな場合に義務になり、いつまでに何をするかを整理します。

なお、具体的な事案の判断は法務や専門家に確かめてください。ここで示すのは、確かめるべき論点の整理です。

報告が義務になる4つの事態

ここから、制度の中身に入ります。最初に確かめるのは、自社に起きた事態が報告の対象になるかどうかです。この判断を誤ると、期限を過ぎてから気づくことになります。

対象になる事態は、法令で4つに定められています。件数で決まるものと、内容で決まるものがあります。件数が少ないから対象外、とは限りません。

自社が扱っている情報がどの事態に当たりやすいかを、平時に把握しておいてください。事故のときに、判断が速くなります。

すべての漏えいで報告が義務になるわけではありません。定められた4つの事態に当たる場合が対象です。

事態	内容	マーケの現場での例
1	要配慮個人情報が含まれる事態	健康や信条に関する情報を含む名簿の流出
2	財産的被害が生じるおそれがある事態	決済に関する情報を含む記録の流出
3	不正の目的をもって行われた漏えい等	外部からの攻撃、内部の者による持ち出し
4	1,000人を超える漏えい等	配信の名簿の誤送信や誤った公開

マーケの部門でいちばん該当しやすいのが、4番目です。配信の名簿は、数千件になることが珍しくありません。1,000人を超えれば、それだけで報告の対象になります。

3番目も注意が必要です。件数に関わらず、不正の目的をもって行われた場合は対象になります。退職する人が名簿を持ち出した、といった場合です。

1番目と2番目は、件数に関係ありません。1件でも該当すれば、報告の対象です。扱っている情報の種類を、平時に確かめておいてください。

これらに当たらない場合でも、本人への連絡や、社内での記録は行います。義務がないことと、何もしなくてよいことは違います。

2段階の報告と、その期限

対象になると分かったら、次は期限です。ここが、この制度でいちばん実務に効く部分になります。期限は、想像よりずっと短く設定されています。

報告は一度で終わりではありません。2段階に分かれており、それぞれ別の期限があります。この構造を知っていないと、調査が終わるまで待ってしまいます。

報告は、2段階で行います。速報と確報です。それぞれ期限が定められています。

速報は、事態を知った後、速やかに行います。目安として、概ね3日から5日以内とされています。

この段階では、分かっている範囲で報告します。すべてが判明していなくても構いません。調査が終わるのを待って遅れるほうが問題です。

確報は、事態を知った日から30日以内です。ただし、不正の目的をもって行われた漏えい等の場合は、60日以内とされています。

確報では、調査の結果を踏まえた内容を報告します。原因、被害の範囲、再発の防止のための措置などです。

期限の起算点は、事態を知った時点です。発生した時点ではありません。気づくのが遅れた場合、その遅れ自体も問題になり得ます。

3日から5日という期間は、調べているとすぐ過ぎます。判断に迷って数日を使うと、速報の期限に間に合いません。

本人への通知

委員会への報告と並行して、もうひとつの義務があります。情報が漏れた本人に、直接伝えることです。こちらを忘れる会社が少なくありません。

報告は行政に対するもの、通知は本人に対するもの。片方だけでは、義務を果たしたことになりません。

報告と並んで求められるのが、本人への通知です。情報が漏れた相手に、直接伝えます。

通知の時期は、事態の状況に応じて速やかに、とされています。報告と同じ日程で進めるのが実務的です。

内容は、概要、漏れた個人データの項目、原因などを、本人にとって分かりやすい方法で伝えます。

専門用語を並べた文面では、要件を満たしません。何が起きて、自分のどの情報が出たのか、そして何に気をつければよいのかが伝わる形にします。

方法の例として、文書の郵送と電子メールの送信が挙げられています。配信の名簿からの漏えいであれば、電子メールで通知するのが自然です。

二次的な被害が生じるおそれがある場合は、その内容も伝えます。不審な連絡が来る可能性があるなら、その旨を書いておきます。

通知は、確報の時点までに完了させるか、完了の見込みを立てておく必要があります。後回しにできる作業ではありません。

通知が困難な場合の代替

通知の義務があっても、実際に届けられない場合があります。この場合の扱いも定められています。連絡先が分からないから何もしない、では済みません。

なお、通知が面倒だからという理由で代替の措置を選ぶことはできません。本人への通知が困難であることが前提です。

本人への通知ができない場合もあります。連絡先が分からない、すでに使われていない連絡先しかない、といった場合です。

この場合、代替の措置が認められています。ホームページなどでの公表と、問合せの窓口の設置です。

公表する場合は、見つけやすい場所に置きます。サイトの下層に埋もれた頁では、公表したとは言いにくくなります。

問合せの窓口は、実際に応答できる体制で設けます。連絡先を書いただけで、誰も出られない状態では意味がありません。

窓口には、想定される質問への回答を用意しておきます。自分の情報は含まれていたか。どんな被害が考えられるか。何をすればよいか。

この準備がないと、対応する担当者が場当たりの回答をすることになり、事態が悪化します。

発覚から報告までの5工程

2番目の記録が、後のすべてを左右します。慌てて対応を進めると、何が起きたかを正確に説明できなくなります。

3番目で迷ったら、義務がある前提で進めてください。後から義務がなかったと分かれば、報告を取り下げれば済みます。逆は取り返しがつきません。

1番目の送信の取り消しは、使っている仕組みによって可否が変わります。平時に、取り消せるかどうかを確かめておいてください。

平時に決めておくこと

手順が分かったところで、準備の話に移ります。ここまで読んで気づいたと思いますが、事故の後に考え始めては、期限に間に合いません。

準備といっても、大がかりなものは要りません。決めるべきことを決め、文面を用意しておくだけです。半日あれば整います。

事故が起きてから手順を考えていては、期限に間に合いません。平時に決めておくべきことを挙げます。

• 事故に気づいた人が、誰に連絡するか
• 報告の義務があるかを判断するのは誰か
• 委員会への報告を実際に行うのは誰か
• 本人への通知の文面の雛形
• 問合せの窓口の担当と、想定問答
• 取引先や上位の組織への連絡の要否と順序
• 記録を残す様式

1番目がいちばん重要です。気づいた人が誰に言えばよいか分からないと、報告が遅れます。叱責される空気があると、隠される危険もあります。

報告した人を責めない方針を、明示しておいてください。早く報告することが、会社にとって最も有利だからです。

4番目の雛形は、事前に作っておく価値があります。事故の直後に文面を考えると、時間がかかるうえ、書くべきことが抜けます。

6番目も忘れずに。委託を受けて扱っている情報であれば、委託元への連絡が必要になります。契約に定めがあることも多いので、確かめておいてください。

委託している場合の扱い

自社で起きた事故だけを想定していると、抜けが出ます。外部に業務を任せている場合、そちらで起きた事故も自社の問題になり得ます。

マーケの部門は、配信の道具、名簿を管理する道具、分析を頼む支援の会社など、外部に個人データを預ける場面が多い部署です。

外部の事業者に業務を委託していて、そちらで漏えいが起きた場合はどうなるか。

委託している場合、個人データの取扱いに関する責任は委託した側にも残ります。委託先の監督が求められているためです。

そのため、委託先で事故が起きた場合も、委託元として対応が必要になることがあります。契約の中に、事故が起きた場合の連絡の義務を定めておいてください。

連絡の期限も定めます。委託先が数週間後に連絡してきたのでは、こちらの報告の期限に間に合いません。「直ちに」あるいは「24時間以内に」といった形で定めます。

配信の道具や、名簿を管理する道具を使っている場合、その事業者が委託先に当たることがあります。契約の条件を確かめてください。

委託先の選定のときにも、この観点を入れておきます。事故が起きたときの連絡の体制が整っている事業者を選ぶ、ということです。

誤送信を減らす仕組み

ここまでは、起きた後の話でした。当然ながら、起こさないほうがはるかに安く済みます。報告の手順を整えるのと並行して、予防も進めてください。

予防の対策は、人の注意に頼るものと、仕組みで防ぐものに分かれます。効くのは後者です。注意を促す掲示では、事故は減りません。

報告の手順を整えるのと並行して、そもそも起こさない工夫も進めます。

いちばん効くのが、宛先の欄の扱いです。複数の相手に送る場合、全員に見える欄に入れない。配信の仕組みを使えば、この危険はなくなります。

次が、送信の前の確認です。一定の人数を超える送信は、別の人の承認を必要とする。この仕組みを入れている会社があります。

送信を数分遅らせる設定も有効です。送信の直後に気づくことが多いためです。多くの仕組みに、この機能があります。

添付するファイルの確認も、手順に組み込みます。開いて中身を確かめてから添付する。似た名前のファイルを取り違える事故が防げます。

これらは、すべて費用がかからない対策です。設定と運用の変更だけで実施できます。

• 一斉の配信は、必ず配信の仕組みを使う。個別のメールの一斉送信は避ける
• 送信を数分遅らせる設定を有効にしておく
• 名簿を含むファイルは、社外に送る前に別の人が確認する

記録の残し方

予防と並行して整えておきたいのが、記録の様式です。事故のときは、誰もが動転しています。その状態で「何を書けばよいか」を考える余裕はありません。埋めるだけの様式を、先に作っておいてください。

記録は、報告のための材料であると同時に、会社を守る材料でもあります。適切に対応したことを示せるのは、記録だけです。

事故の対応では、記録が最も重要な資産になります。何を残すかを決めておきます。

残す項目は7つです。発生の日時。気づいた日時。気づいた人。何が起きたか。漏れた情報の項目と件数。取った対応と、その日時。そして、判断の根拠です。

特に、気づいた日時が重要です。報告の期限は、この時点から起算されるためです。

判断の根拠も残してください。報告の義務がないと判断した場合、なぜそう判断したかを書いておく。後から問われたときに説明できます。

記録の様式は、事前に作っておきます。事故の直後に何を書けばよいか考えていると、抜けが出ます。

様式に沿って埋めるだけの形にしておけば、動転している状況でも記録が残ります。

お詫びの連絡で気をつけること

報告と通知の義務とは別に、取引先への説明が必要になる場面があります。ここでの文面が、その後の関係を左右します。

急いで出したい気持ちは分かりますが、急いで出した文面の誤りが、二次の問題を生みます。確認の時間は確保してください。

本人への通知とは別に、お詫びの連絡を出す場面があります。取引先への説明などです。

この文面で気をつけたいのが、事実と異なることを書かないことです。「被害はありません」と断定するのは危険です。その時点で確認できていないことを書くと、後から訂正することになります。

書けるのは、確認できた事実と、現在行っている対応と、今後の予定です。

原因が分かっていない段階で、原因を書かないでください。推測で書いて、後から違う原因だったと分かると、信頼をさらに損ないます。

お詫びの連絡は、法務の確認を経てから出すのが安全です。急ぐ気持ちは分かりますが、誤った内容を出すほうが害が大きくなります。

連絡の履歴も記録に残します。誰に、いつ、何を伝えたか。問い合わせが来たときに、この記録がないと対応できません。

やってはいけない対応

• 社内で処理できると判断し、上長に報告しない
• 報告の義務があるかを調べているうちに、期限を過ぎる
• 原因が分からない段階で、推測の原因を対外的に説明する
• 被害がないと断定して連絡する
• 報告した担当者を叱責し、次から報告しにくい空気を作る
• 記録を残さず、口頭のやり取りだけで対応を進める

1番目と5番目は、つながっています。叱責される空気があると、現場は隠すようになります。隠された結果、期限を過ぎてから発覚するのが最悪の展開です。

2番目を防ぐには、迷ったら報告する方針にすることです。義務があるかどうかを完全に判断してから動くのではなく、準備を進めながら判断する。この順序にしてください。

6番目は、後から効いてきます。数か月後に問い合わせが来たとき、何をしたかを説明できない状態になります。

社内への周知

手順を作っても、知られていなければ機能しません。周知の方法を考えます。

伝えるべき相手は、個人の情報を扱うすべての従業員です。マーケの部門だけではありません。

伝える内容は3点に絞ります。事故に気づいたら、直ちに決められた窓口に連絡すること。自己判断で対応を進めないこと。そして、報告した人を責めない方針であること。

細かい法令の内容を全員に教える必要はありません。判断は、決められた担当が行います。現場に求めるのは、速やかに連絡することだけです。

周知の方法は、1枚の紙が効果的です。連絡先と、この3点を書いた紙を見える場所に置く。

年に一度、実際に起きた場合を想定した確認を行うと、手順が形骸化しません。訓練という形でなくても、会議で手順を読み合わせるだけで足ります。

配信の名簿を扱う部門の備え

ここからは、マーケの部門に特有の話をします。扱う件数が多いため、1回の事故で報告の対象になりやすい部署です。1,000人を超える名簿を持っている時点で、当事者になり得ます。

だからこそ、他の部門より一段厚い備えが要ります。以下は、名簿を扱う部門で特に確かめておきたい項目です。

マーケの部門に特有の備えを挙げます。扱う件数が多いぶん、影響が大きくなりやすいためです。

まず、名簿の件数を把握しておきます。1,000人を超える名簿がいくつあるか。この数字が、報告の義務の判断に直結します。

次に、名簿の保管の場所を絞ります。各担当者の端末に写しが散らばっている状態は危険です。どこに何があるかが分からないと、事故のときに範囲を特定できません。

書き出しの記録を残す運用も有効です。誰が、いつ、どの名簿を書き出したか。この記録があると、事故のときに追跡できます。

配信の仕組みの権限も見直します。全員が一斉配信できる状態だと、誤った操作の危険が高まります。配信の実行は、限られた人に絞ってください。

試験の配信の運用も決めます。本番の名簿で試験を行うと、誤って全員に送る事故が起きます。試験用の名簿を別に用意しておいてください。

再発の防止として書くこと

対応の最後に来るのが、再発の防止です。確報に含める内容でもあり、社内で次に活かす材料でもあります。ここを形だけで済ませると、同じ事故が繰り返されます。

この節の内容は、事故が起きていない平時にも使えます。他社の事例を見たときに、自社なら何を変えるかを考える練習になります。

確報には、再発の防止の措置を含めます。ここで何を書くかも、考えておく価値があります。

避けたいのが、「注意を徹底する」という書き方です。人の注意に頼る対策は、同じ事故を防げません。

書くべきは、仕組みの変更です。承認の工程を追加した。権限を絞った。配信の仕組みに切り替えた。こうした具体的な変更を書きます。

実施の時期も明記します。いつまでに何を行うか。予定だけを書いて実施しない状態は、後から問題になります。

社内での共有も、再発の防止の一部です。何が起きたかを部門に共有すると、同じ操作をしそうな人が気づきます。

ただし、担当者の名前を出す必要はありません。起きた事象と、そこから学ぶべきことを共有すれば足ります。

よくある質問

宛先の欄に複数の連絡先を入れて送った場合、報告は必要ですか

件数と情報の内容によります。1,000人を超えれば、その事態に該当します。それ以下でも、要配慮個人情報が含まれる場合などは対象です。件数が少なくても、記録は必ず残してください。判断に迷う場合は、専門家に確かめてください。

送信を取り消せた場合も報告が必要ですか

取り消しが確実に成功し、相手が内容を見ていないことが確認できれば、扱いが変わる可能性があります。ただし、確認は容易ではありません。取り消せたと思い込まず、状況を記録したうえで判断してください。

委託先で起きた事故の報告は、どちらが行いますか

状況によって異なります。委託元と委託先の双方に義務が生じる場合や、一方が報告することで足りる場合があります。契約の中で連絡と報告の分担を定め、実際の事案では専門家に確かめてください。

本人への通知で、お詫びだけを書けばよいですか

足りません。概要、漏れた個人データの項目、原因などを、本人にとって分かりやすい方法で伝える必要があります。二次的な被害のおそれがあれば、その内容と対処も書いてください。

まとめ

メールの誤送信は、どの会社でも起きます。重要なのは、そのあとの動きです。4つの事態に当たる場合、委員会への報告と本人への通知が義務になります。

期限は決まっています。速報は知ってから概ね3日から5日以内。確報は30日以内、不正の目的による場合は60日以内。判断に迷っている時間はありません。

平時に決めておくのは3つです。誰に連絡するか。誰が判断するか。そして、報告した人を責めない方針であることの明示です。この3つがあれば、初動が遅れることはありません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。