目次
はじめに
個人情報の漏えいが発生した場合、企業は、被害拡大の防止や原因調査を進めるとともに、関係者への報告・通知を検討しなければなりません。
もっとも、報告先は個人情報保護委員会だけではありません。事案の内容や自社の立場によっては、次のような相手への対応が必要になります。
|
・社内の責任者、経営陣 ・個人情報保護委員会または事業所管大臣 ・漏えい対象となった本人 ・委託元、顧客、取引先 ・警察、セキュリティ専門機関、保険会社 ・業界団体、監督官庁、決済事業者等 |
これらの報告は、法律上の義務に基づくものだけではありません。契約上の報告義務、業法上の届出、被害拡大を防止するための連絡、企業としての説明責任に基づく公表など、それぞれ根拠や目的が異なります。
また、事実関係がすべて判明するまで報告を待っていると、法令上または契約上の期限に間に合わないおそれがあります。そのため、漏えいの可能性を把握した段階から、誰に、何を、いつまでに報告する必要があるかを整理し、並行して対応を進めることが重要です。
本記事では、個人情報が漏えいした場合の報告先ごとに、報告の要否、報告時期、報告内容および実務上の注意点を解説します。
まず確認するべきこと
個人情報の漏えいが疑われる場合、直ちに外部への報告要否だけを判断するのではなく、対象となる情報、発生した事態、影響範囲を確認する必要があります。
(1) 対象となる情報
個人情報保護法上の漏えい等報告は、原則として、個人情報取扱事業者が取り扱う「個人データ」を対象とします。個人データとは、検索できるよう体系的に整理された個人情報データベース等を構成する個人情報です。ただし、不正目的の行為による漏えい等のうち、個人情報保護法施行規則第7条第3号に該当する事案では、事業者が取得し、または取得しようとしている個人情報で、取得後に個人データとして取り扱う予定のものも、報告対象に含まれます。
(2) 発生した事態
確認すべき事態は、外部への流出である「漏えい」に限られません。次のような「滅失」や「毀損」、またはそれらが発生したおそれも含まれます。
・書類や記録媒体の紛失・誤廃棄
・データの改ざん
・ランサムウェア等により個人データが暗号化され、復元できなくなった場合
・復元キーを喪失し、個人データを復元できなくなった場合
(3) 法定報告の対象となるか
個人情報保護委員会等への報告が義務となるのは、次のいずれかに該当する場合です。
|
・要配慮個人情報を含む個人データの漏えい等 ・不正利用により財産的被害が生じるおそれのある個人データの漏えい等 ・不正の目的をもって行われたおそれがある事業者に対する行為による個人データ等の漏えい等 ・本人の数が1,000人を超える個人データの漏えい等 |
いずれも、実際に漏えい等が確認された場合だけでなく、発生したおそれがある場合を含みます。もっとも、高度な暗号化など、本人の権利利益を保護するために必要な措置が講じられている情報は、法定報告の対象から除かれることがあります。
なお、法定報告の対象外であっても、社内報告、本人への説明、委託元への契約上の報告などが必要となる場合があります。法定報告の要否だけで対応を終了させないことが重要です。
報告先①―社内の責任者・経営陣
個人情報の漏えい等またはそのおそれを把握した場合、まず、社内の責任ある立場の者に直ちに報告し、被害の拡大防止に着手する必要があります。「責任ある立場の者」の役職は一律に決まっていないため、自社の規程や事故対応体制に従い、個人情報保護管理者、情報セキュリティ責任者、法務部門、担当役員、経営者などへ速やかに情報を集約します。
初動の社内報告では、少なくとも次の事項を、判明している事実と未確認情報とに分けて伝えます。
・事案を把握した日時・経緯
・漏えい等の原因と発生状況
・対象となる情報・人数
・二次被害の可能性
・既に講じた拡大防止措置
・今後必要となる調査・外部報告
報告を受けた責任者は、関係部門を招集し、アクセス停止、誤送信先への削除依頼、ログや端末の保全など、事案に応じた初動対応を検討します。また、社内外への説明内容が食い違わないよう、情報を一元管理する担当者を定めることも有効です。
この段階ですべての事実が確定している必要はありません。担当者限りで「軽微な事故」と判断して様子を見ると、行政報告や本人通知の判断が遅れるおそれがあります。平時から報告先、連絡手段、休日・夜間の対応者、意思決定権限を規程や対応フローで明確にしておくことが重要です。
報告先②―個人情報保護委員会または事業所管大臣
前記の報告対象事態に該当する場合、個人情報取扱事業者は、個人情報保護委員会等への報告を行わなければなりません。報告には「速報」と「確報」があり、それぞれ期限と求められる内容が異なります。
(1) どこに報告するのか
報告先は、原則として個人情報保護委員会です。ただし、個人情報保護委員会が報告を受理する権限を事業所管大臣に委任している業種では、個人情報保護委員会ではなく、指定された府省庁等に報告します。
権限委任の対象となる業種や報告窓口は更新されるため、過去の事故対応マニュアルや報告先一覧だけに依拠せず、実際に報告する時点で最新の情報を確認する必要があります。権限委任先に報告する場合も、報告期限は個人情報保護委員会に報告する場合と変わりません。
(2) まず「速報」を行う
報告対象事態を知った場合、事業者は速やかに速報を行います。「速やか」の具体的な日数は事案によって異なりますが、報告対象事態を知った時点から、おおむね3～5日以内が目安です。
法人の場合、報告期限の起算点は、必ずしも代表者や担当役員が報告を受けた日ではありません。原則として、社内のいずれかの部署が報告対象事態を知った時点が基準となります。そのため、現場担当者から責任者への報告が滞ると、社内で対応を開始する前から法定期限が進行していることがあります。
速報時点では、原因、対象人数、影響範囲などのすべてが判明している必要はありません。その時点で把握している情報を報告すれば足りるため、調査の完了を待って報告を遅らせないことが重要です。
(3) 調査後に「確報」を行う
速報後は、原則として、報告対象事態を知った日から30日以内に確報を行います。ただし、不正アクセス、内部者による不正な持ち出しなど、不正の目的をもって行われたおそれのある行為による漏えい等については、60日以内となります。
確報の期限は、事態を知った日を1日目として計算し、土曜日、日曜日および祝日も日数に含まれます。期限日が行政機関の休日に当たる場合は、その翌開庁日が期限となります。なお、速報段階ですべての報告事項を把握している場合は、1回の報告で速報と確報を兼ねることもできます。
(4) 何を報告するのか
報告事項は、次の9項目です。
|
・事案の概要 ・漏えい等した、またはそのおそれがある個人データの項目 ・対象となる本人の数 ・発生原因 ・二次被害またはそのおそれの有無・内容 ・本人への対応状況 ・公表の実施状況 ・再発防止措置 ・その他参考となる事項 |
報告は、原則として所定の報告フォームを利用して行います。確報では、合理的な調査を尽くしたうえで、上記の全項目を報告することが求められます。もっとも、期限までに一部の事項が判明しない場合は、その時点で把握している内容を報告し、判明後に追完します。
行政報告では、速報、確報、本人通知、公表文の間で説明内容に不整合が生じないよう注意が必要です。その一方で、後日の調査により事実関係が変わることもあるため、速報では、確定した事実、推測、調査中の事項を区別して記載することが重要です。
報告先③―漏えい対象となった本人
個人情報保護委員会等への報告が必要となる事態を知った場合、個人情報取扱事業者は、原則として、漏えい等の対象となった本人にも通知しなければなりません。すべての個人情報漏えいについて一律に法定通知が必要となるわけではなく、前述した報告対象事態に該当するかを確認する必要があります。
本人への通知は、事案の状況に応じて速やかに行います。行政機関への確報のような一律の期限はありませんが、原因調査が完了するまで通知を先送りしてよいわけではありません。一方、直ちに通知すると漏えい情報の拡散や混乱を招く場合には、削除要請などの必要な初期対応を行った後に通知することも考えられます。
本人に通知する主な事項は、次のとおりです。
・事案の概要
・漏えい等した個人データの項目
・発生原因
・二次被害またはそのおそれの有無・内容
・本人が被害を防止するために参考となる事項
例えば、パスワードの変更、カード利用明細の確認、不審なメールや電話への注意など、本人が具体的に取るべき対応を示すことが重要です。すべての調査結果が判明するまで待つ必要はなく、その時点で把握している情報を、本人の権利利益を保護するために必要な範囲で通知します。本人ごとに漏えい項目が異なる場合は、その本人に関係する内容に限定して通知します。
通知方法について法定の様式はありませんが、本人が内容を認識できる合理的かつ適切な方法で行う必要があります。一般的には、郵送や電子メールなどが用いられます。
本人の連絡先を保有していない、連絡先が古く連絡できないなど、直接の通知が困難な場合には、次のような代替措置を講じます。
・事案をウェブサイト等で公表する
・問い合わせ窓口を設け、対象者が自ら確認できるようにする
公表により本人が特定されたり、被害が拡大したりしないよう、公表内容は慎重に検討する必要があります。
【注】
2026年7月に改正個人情報保護法が成立しました。
本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務を緩和する旨規定されましたが、執筆時点では改正規定は施行されておらず、具体的な適用要件については、今後制定される政令、個人情報保護委員会規則及びガイドラインを確認する必要があります。本記事は、執筆時点の現行法を前提としています。
報告先④―委託元・顧客・取引先
個人データの取扱いを受託している事業者で漏えい等が発生した場合は、委託元への連絡が必要です。報告対象事態に該当するときは、原則として、委託元と委託先の双方が個人情報保護委員会等への報告義務を負います。
ただし、委託先が、報告義務を負う委託元に対し、所定の事項のうち、その時点で把握している内容を速やかに通知した場合、委託先は個人情報保護委員会等への報告義務と本人への通知義務を免れます。この場合は、委託元が行政報告と本人通知を行い、委託先は調査や情報提供に協力します。委託元への通知は、事案を知った時点からおおむね3～5日以内が目安ですが、契約上、より短い期限が定められている場合があります。
委託元への第一報では、判明している範囲で、主に次の事項を伝えます。
・事案の概要、発覚日時
・漏えい等した情報の項目
・対象者数またはその概数
・原因と調査状況
・二次被害の有無・可能性
・実施済みの拡大防止措置
・本人通知、公表等の対応状況
・今後の調査予定と連絡窓口
すべての事実が判明するまで連絡を待つのではなく、第一報後に調査結果を追加報告する方法が適切です。
また、契約書、SLA、個人情報取扱特約等に、次のような義務が定められていないかを確認します。
・発覚後直ちに、または24時間以内に報告する義務
・ログ、調査報告書、再発防止策を提出する義務
・委託元の承諾なく本人通知や公表を行わない義務
・再委託先で発生した事故も報告する義務
再委託先で漏えい等が発生した場合は、再委託先から委託先、委託先から委託元へ情報を迅速に伝達しなければなりません。
なお、すべての顧客・取引先に対し、個人情報保護法上当然に報告義務を負うわけではありません。委託関係の有無、漏えい情報の帰属、サービスへの影響、契約条項等を確認し、報告の要否と内容を個別に判断する必要があります。
報告先⑤―警察、セキュリティ機関、保険会社等
不正アクセス、ランサムウェア、従業員による不正な持ち出し、端末の盗難など、犯罪の可能性がある場合は、警察への通報・相談を検討します。警察への連絡は、個人情報保護委員会等への報告とは目的が異なり、捜査や被害拡大の防止につなげるための対応です。個人情報が漏えいしたからといって、常に警察への通報が必要となるわけではありませんが、犯罪行為が疑われる場合は早期に相談することが重要です。
サイバー攻撃が関係する場合は、フォレンジック調査会社やセキュリティベンダーへの連絡も検討します。また、JPCERT/CCなどの専門機関にインシデントを報告し、技術情報の共有や関係者間の調整を依頼できる場合もあります。
外部へ連絡する前後を通じて、次の対応が重要です。
・アクセスログ、通信記録、メール等の保存
・感染端末や記録媒体の隔離・保全
・不用意な初期化やデータ消去の回避
・調査・連絡の経緯に関する記録の作成
サイバー保険等に加入している場合は、保険会社または代理店にも遅滞なく事故を通知します。約款によっては、調査会社の選定、費用の支出、被害者との示談等について事前承認が必要なことがあります。自社の判断だけで対応を進めず、補償対象、通知期限、必要書類および付帯サービスの内容を早期に確認する必要があります。
報告先⑥―業界団体・監督官庁・決済事業者等
「4．報告先②」で説明した事業所管大臣は、個人情報保護委員会から権限の委任を受け、個人情報保護法上の漏えい等報告を受理する機関です。これに対し、ここでいう監督官庁への報告は、業法、監督指針等に基づき、個人情報保護法上の報告とは別に求められるものを指します。したがって、個人情報保護委員会または権限委任先への報告を行っただけでは、必要な対応が完了しない場合があります。
例えば、次の報告先を確認する必要があります。
・金融機関における金融庁・財務局等の監督当局
・カード情報が漏えいした場合のカード会社、アクワイアラー、決済代行会社
・官公庁等からの受託業務における委託元
・加盟規則等に事故報告の定めがある業界団体
・マイナンバーを含む場合の個人情報保護委員会
金融分野では監督上の報告が求められることがあり、カード情報についても、加盟店契約やセキュリティに関する業界ルールに基づく連絡が必要となる場合があります。また、マイナンバーを含む特定個人情報については、番号法に基づく報告制度を別途確認しなければなりません。
事故発生時には、業法、監督指針、委託契約、加盟店契約および業界団体の規則を確認し、報告先、期限、様式を整理する必要があります。複数の報告が必要な場合は、報告内容に矛盾が生じないよう、社内で一元的に管理することが重要です。
社会への公表は必要か
個人情報の漏えい等が発生しても、個人情報保護法上、必ずウェブサイトや報道発表による公表が義務付けられるわけではありません。個人情報保護委員会等への報告、本人への通知、社会一般への公表は、それぞれ別の対応として判断する必要があります。
もっとも、本人への直接通知が困難な場合には、本人の権利利益を保護するための代替措置として、事案の公表や問い合わせ窓口の設置を行うことがあります。また、本人通知の代替措置として公表する場合でなくても、次のような事情がある場合には、二次被害の防止、対象者への情報伝達及び企業としての説明の必要性を踏まえ、公表の要否を検討する必要があります。
・多数の本人に影響する可能性がある場合
・不正利用や詐欺への注意喚起が必要な場合
・個別通知だけでは対象者への情報伝達が不十分な場合
・サービス停止など利用者に広く影響が生じている場合
・既に報道やSNS等で事案が公になっている場合
公表する内容としては、事案の概要、漏えい等した情報の項目、対象人数、原因、二次被害の可能性、実施済みの対応、再発防止策および問い合わせ窓口などが考えられます。本人通知の代替措置として公表する場合は、本人に通知すべき事項を基本として内容を決定します。
公表に際しては、調査中の事項を確定した事実のように記載せず、本人の特定や攻撃手法の拡散につながる情報を安易に開示しないことが重要です。行政報告、本人通知、取引先への説明との整合性を確保しながら、公表の時期と内容を慎重に判断する必要があります。
報告漏れを防ぐためのチェックリスト
個人情報の漏えい等が発生した場合は、行政機関への報告だけでなく、本人、委託元、監督官庁等への連絡も並行して検討する必要があります。対応漏れを防ぐため、少なくとも次の事項を確認します。
|
□社内の責任者、経営陣へ直ちに報告したか □漏えい等した情報の内容と対象人数を確認したか □漏えい、滅失、毀損またはそのおそれに該当するか □個人情報保護委員会等への法定報告の対象か □報告先が個人情報保護委員会か権限委任先か □速報・確報の期限を記録し、担当者を定めたか □漏えい対象となった本人への通知が必要か □委託元、顧客、取引先への報告義務があるか □契約書、SLA、個人情報取扱特約を確認したか □業法や監督指針に基づく追加報告が必要か □警察、専門機関、保険会社への連絡を検討したか □ログ、メール、端末等の証拠を保全したか □社会への公表が必要または相当か □各報告・通知内容に矛盾がないか |
法定報告の対象事態では、事実関係がすべて判明するまで待たず、その時点で把握している内容により速報を行う必要があります。対応状況、判断理由、報告日時も記録し、後から経緯を確認できる状態にしておくことが重要です。
まとめ
個人情報の漏えい等が発生した場合、報告先は個人情報保護委員会等だけではありません。法定報告の対象となる事案では、原則として本人への通知も必要となり、さらに、委託契約、業法、保険契約等に基づく連絡が求められる場合があります。
事実関係がすべて判明するまで対応を待つのではなく、社内で情報を集約し、各報告先、期限および報告内容を速やかに確認することが重要です。平時から報告体制や連絡手順を整備しておくことが、報告漏れと被害拡大の防止につながります。
リーガルブレスD法律事務所のサポート内容
個人情報の漏えい等が発生した場合、限られた時間の中で、事実関係の調査、被害拡大の防止、行政機関への報告、本人や取引先への説明などを進める必要があります。
このとき、報告の要否だけでなく、次のような判断も求められます。
・現時点で何を報告し、何を調査中とするか
・本人や取引先に、いつ、どこまで説明するか
・公表を行うか、どのような表現を用いるか
・委託元・委託先間で、調査や費用をどのように分担するか
対応が遅れることは避けなければなりませんが、十分な確認をしないまま説明や公表を行うと、後に判明した事実との不整合や、不要な混乱を招くおそれがあります。法令上の期限を踏まえながら、確定した事実と未確認事項を区別し、段階的に対応することが重要です。
リーガルブレスD法律事務所では、個人情報漏えい等が発生した事業者に対し、主に次の法務支援を行っています。
|
・個人情報保護委員会等への報告要否・期限の検討 ・行政報告書、本人通知文、公表文、取引先向け報告文の作成・確認 ・委託契約、SLA、業法等に基づく追加報告義務の確認 ・本人、顧客、委託元等からの苦情・損害賠償請求への対応 ・漏えい対応規程、社内フロー、契約条項の整備・見直し |
個人情報の漏えい等が発生し、報告先や対応方針の判断に迷っている場合、本人通知や公表の内容を確認したい場合、又は関係者との間で責任や費用負担の問題が生じている場合は、リーガルブレスD法律事務所までご相談ください。
ご相談内容やご希望に応じて、「法律相談サービス」「スポットサービス」「法律顧問サービス」をご利用いただけます。
(1) 法律相談サービス
法律相談サービスは、個人情報の漏えい等が発生した場合に、まず報告の要否や今後の対応方針を整理したい事業者を対象とするサービスです。
個人情報漏えいへの対応では、漏えいした情報の内容、対象人数、発生原因、自社が委託元・委託先のいずれであるかなどによって、必要な報告先や対応が異なります。また、個人情報保護法上の報告だけでなく、契約、業法、保険約款等に基づく連絡が必要となる場合もあります。
ご相談に際しては、事故の概要、社内調査資料、契約書、ログ、本人や取引先とのやり取り等のうち、問題となる事項に関係する資料を確認し、次の点を整理します。
・現時点で確認できている事実
・追加で確認、調査すべき事項
・報告、通知が必要となる相手
・対応期限と優先順位
・本人、取引先等への説明方針
個人情報保護委員会等への報告が必要か判断できない場合、本人通知や公表の内容を検討したい場合、又は委託元・委託先との対応方針を整理したい場合には、法律相談サービスをご利用いただけます。
|
ご相談内容例 |
・個人情報を含むメールを誤送信したが、個人情報保護委員会への報告や本人通知が必要か、いつまでに何を行うべきか相談したい ・不正アクセスにより個人情報が漏えいした可能性があり、本人通知やウェブサイトでの公表をどの段階で、どのような内容で行うべきか相談したい ・再委託先で個人情報漏えいが発生したため、委託元への報告内容、行政報告の担当、原因調査や費用負担について相談したい |
|
サポート内容例 |
・漏えい等した情報、発生原因、対象人数、暗号化の方式・強度及び復号手段の管理状況等を確認し、法定報告や本人通知の要否、速報・確報の期限、当面実施すべき対応を整理します ・調査状況、二次被害の可能性、本人が講じるべき対策等を踏まえ、本人通知や公表の時期、記載内容、問い合わせ対応に関する方針を助言します ・委託契約、個人情報取扱特約、SLA等を確認し、委託元・委託先・再委託先の報告義務、役割分担、追加調査、本人対応及び費用負担に関する検討事項を整理します |
|
相談者が得られるメリット |
・誰に、何を、いつまでに報告すべきかを整理しやすくなる ・直ちに対応すべき事項と、調査後に判断すべき事項を区別しやすくなる ・本人通知、取引先への説明、公表の内容に不整合が生じるリスクを抑えやすくなる ・契約上、業法上の報告義務の見落としを防ぎやすくなる ・今後、調査報告書や通知文の作成、交渉対応等を依頼すべきか判断しやすくなる |
|
弁護士費用 |
1回（90分以内）15,000円（税別） |
|
実施方法 |
①ご予約（お問い合わせフォーム又はお電話にて日程調整） ②事前準備（関係資料を共有いただきます） ③相談実施（オンライン又は対面） ④対応方針の提示（法的な問題点、追加で確認すべき事項及び今後の対応方針を具体的にご提示） ⑤別途サービスのご案内（ご希望に応じて、別途契約の上、書面作成、交渉代理、訴訟対応または継続支援に移行します） |
お問い合わせはこちら＞＞
(2) スポットサービス（個別案件対応）
個人情報の漏えい等について、個別の事案に即した調査、法的評価、報告書・通知文等の作成まで依頼したい場合には、スポットサービスをご利用いただけます。
法律相談サービスが、相談時間内で報告の要否や対応の方向性を整理するものであるのに対し、スポットサービスでは、対象となる事故や作成する書面を特定し、関係資料を確認したうえで、具体的な成果物の作成・レビューまで対応します。
個人情報漏えい対応では、行政機関への報告、本人通知、委託元への説明、公表など、提出先や目的によって記載すべき内容が異なります。その一方で、各書面の事実関係や説明内容には一貫性が必要です。スポットサービスでは、確定した事実と調査中の事項を区別し、関係者への影響にも配慮しながら、事案に応じた書面を作成します。
例えば、次のようなご依頼に対応しています。
|
・個人情報保護委員会等に提出する速報・確報の作成またはレビュー ・漏えい対象者に送付する通知書、謝罪文、注意喚起文の作成 ・ウェブサイトに掲載する公表文、FAQ、問い合わせ対応文案の作成 ・委託元、顧客、取引先に提出する事故報告書・経過報告書の作成 ・事故の経緯、対象情報、原因、対応状況を整理した調査報告書の作成・レビュー ・行政報告、本人通知、公表文、取引先向け報告書の記載内容の整合性確認 ・漏えい事故後の再発防止策、改善計画、社内向け報告書の作成 ・相手方からの損害賠償請求、補償要求、契約違反の主張に対する回答書の作成 ・委託元・委託先間の責任分担、調査協力、費用負担に関する契約条項や合意書の作成・修正 |
ご依頼内容を簡単にお伺いしたうえで、確認する資料、作成または確認する書面、対応範囲、納期および費用を整理し、お見積書をご提示します。
個人情報保護委員会等への報告書を作成したい場合、本人通知や公表文の表現を確認したい場合、事故調査の結果を報告書として整理したい場合、又は委託元・顧客等への回答書を作成したい場合は、リーガルブレスD法律事務所までお問い合わせください。
お問い合わせはこちら＞＞
(3) 法律顧問サービス（顧問弁護士サービス）のご案内
個人情報の漏えい等に適切に対応するためには、事故が発生してから報告先や社内の担当者を確認するだけでは十分ではありません。漏えい等の事案では、限られた時間内に事実関係を把握し、個人情報保護委員会等への報告、本人通知、委託元への連絡、社会への公表などを並行して検討する必要があります。
また、取り扱う個人情報、利用するシステム、委託先・再委託先、サービス内容、契約条件等は継続的に変化します。以前作成した事故対応規程や連絡網が、現在の組織体制や業務内容に適合しなくなっていることもあります。そのため、平時から事故対応体制を整備するとともに、事業やシステムの変更に応じて定期的に見直すことが重要です。
リーガルブレスD法律事務所では、個人情報を取り扱う事業者を対象に、漏えい等の予防、事故発生時の初動対応、契約上のリスク管理及び社内体制の改善に関する継続的な法務支援を行っています。個人情報に関する問題を随時相談できる体制を整えたい場合や、複数の委託先・サービスを含めた管理体制を構築したい場合にご利用いただけます。
|
ご依頼内容例 |
・個人情報漏えい等が発生した場合の社内報告ルート、意思決定者、行政報告、本人通知及び公表の手順を整備し、定期的に見直したい ・新規サービスの開始、クラウドサービスの導入、個人情報取扱業務の委託・再委託に際し、契約や情報管理体制について継続的に法務確認を受けたい ・ヒヤリ・ハット、誤送信、端末紛失等の発生状況を定期的に確認し、社内規程、従業員教育及び再発防止策を改善したい |
|
サポート内容例 |
・個人情報漏えい対応規程、緊急連絡網、報告要否の判断フロー及び報告書式を確認し、組織体制や業務内容に応じた事故対応体制の整備・更新を支援します ・新規事業やシステム導入の都度、個人情報の取得・利用方法、委託先の管理体制、委託契約、SLA、個人情報取扱特約等を確認し、導入前に対応すべき事項を助言します ・事故・ヒヤリ・ハットの記録、対応経緯及び原因を定期的に確認し、アクセス権限、確認手順、従業員教育、委託先管理等の改善事項を整理します |
|
依頼者が得られるメリット |
・事故発生時に、誰が、何を、どの順序で行うかを明確にしやすくなる ・法令上の報告だけでなく、契約上・業法上の報告義務も確認しやすくなる ・新規サービスやシステム導入の段階で、個人情報に関する問題を把握しやすくなる ・委託先・再委託先を含む情報管理上の責任分担を整理しやすくなる ・事故やヒヤリ・ハットを踏まえ、社内規程や運用を継続的に改善しやすくなる ・個人情報漏えい等が発生した場合に、初動対応から行政報告、本人対応、取引先対応まで継続して相談できる |
|
実施方法 |
①お問い合わせ後、オンライン面談（30分程度、無料）を実施し、ご要望事項の聞き取りやプランの説明を行います ②ご提案書（見積書）の提示 ③顧問契約の締結 ④窓口の開設（専用メール、チャットの提供） ⑤サービス開始 ・日常的な対応（契約書レビュー、相談に即応（即日～数日以内対応可）） ・ミーティング（必要に応じて経営課題、法務リスクを総点検） ・追加支援（必要に応じて交渉代理、訴訟対応、研修実施などを提供） |
お問い合わせ
＜2026年7月執筆＞
※本記事は、執筆時点における一般的な法的整理を示すものであり、個別案件への適用は具体的な事情により異なります。
