発覚の日から、説明の仕事が始まる（イメージ）
不審なログインが見つかった。委託先から流出の連絡が来た。その日から始まる報告・通知・公表・顧客連絡を、法律の条文と実際の公表事例に沿って整理する。
自社のシステムに不審なログインが見つかった。あるいは、委託先から「お預かりしている情報が流出した可能性がある」と連絡が来た。その日から、経営者には法律上の手続きと、顧客への説明が待っている。本稿は、個人情報保護法と同法施行規則の条文（e-Gov法令検索で確認した現行版）と、実際に公表された各社の発表に沿って、何を、いつまでに、誰に伝えるかを整理する。法的な判断に迷う場合は、弁護士や個人情報保護委員会に相談してほしい。
個人情報保護法第26条第1項は、個人の権利利益を害するおそれが大きい漏えい等が生じたときは、個人情報保護委員会に報告しなければならないと定める。どの事態が対象かは、施行規則第7条が四つに分けて示している。
| 号 | 対象となる事態（施行規則第7条の要旨） |
|---|---|
| 第1号 | 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態 |
| 第2号 | 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態 |
| 第3号 | 不正の目的をもって行われたおそれがある当該事業者に対する行為による個人データの漏えい等が発生し、又は発生したおそれがある事態 |
| 第4号 | 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態 |
第3号の「不正の目的をもって行われたおそれがある行為」は、件数を問わない。「おそれがある」段階で対象になる点も、各号に共通している。漏えいが確定するまで待つ制度ではない。
施行規則第8条は、報告を二段階で求めている。まず、事態を知った後、速やかに、その時点で把握している事項を報告する（第1項）。次に、事態を知った日から30日以内に、定められた事項を報告する。ただし第3号の事態（不正の目的によるおそれがあるもの）は60日以内である（第2項）。報告は原則として電子情報処理組織、つまりオンラインで行う（第3項）。
報告する事項は、次の九つと定められている（第8条第1項）。
実例を見ると、アララは第2報で、10月29日に個人情報保護委員会へ速報を提出し、新たに判明した事項を11月2日に報告する予定だと明記している。同日付で警察への通報も済ませたとしている。
第26条第1項にはただし書がある。個人データの取扱いの委託を受けた事業者が、委託元にその事態を通知したときは、委託先自身の報告義務は外れる。施行規則第9条は、委託先がこの通知をする場合は、事態を知った後、速やかに行うよう定めている。
つまり、委託先から通知を受けた委託元は、自社の事態として報告と本人への通知を進めることになる。委託先からの第一報を受け取った日が、自社にとっての起点になりうる。委託契約の中で、事故時に誰が、いつまでに、何を知らせるかを決めておく理由はここにある。
第26条第2項は、報告の対象となる事態が生じたときに、本人へ通知することを求めている。本人への通知が困難な場合で、本人の権利利益を保護するために必要な代わりの措置をとるときは、この限りでないとされる。施行規則第10条は、通知の中身を、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で、概要、個人データの項目、原因、二次被害又はそのおそれの有無と内容、その他参考となる事項とすると定めている。
カカクコムの11月5日の発表は、この要素を顧客の言葉に置き換えた一例として読める。対象サービスと件数、メール本文は含まれていないこと、現時点で二次被害は確認されていないこと、なりすましメールやフィッシングに悪用されるおそれがあること、身に覚えのないリンクや添付ファイルを開かないでほしいこと、当社からメールでパスワードやクレジットカード情報を尋ねることはないこと、問い合わせ窓口。顧客が次に何をすればよいかまで書かれている。
第26条が定めているのは、委員会への報告と本人への通知である。公表について同条に定めはないが、報告事項には「公表の実施状況」が含まれている。今回の事案では、多くの企業が自社サイトやプレスリリースで公表している。
参考になるのは、アララが第1報（10月29日）、第2報（11月2日）と版を重ね、第2報で「既報からの主な変更点」を表にし、精査結果は第3報で知らせると予告している点だ。TKCも第3報まで出している。調査の途中で件数が変わるのは珍しくない。分かっていることと、まだ分からないことを分けて書き、次にいつ知らせるかを示す。それが、最初の発表を急ぎながら信頼を損なわないための書き方である。