メールの誤送信、端末の紛失、不正アクセスなどによって個人情報が外部へ漏れた可能性がある場合は、事実が確定するまで待たず、社内の責任者へ報告してください。
発覚直後は、確認できた事実と、まだ確認できていない内容が混在しやすい状況です。推測で説明せず、分かっている範囲を記録しながら、被害の拡大を防ぐための対応を進めます。
発覚時の状況を記録してください
その後の調査や報告では、いつ、どのような経緯で、どの情報に影響した可能性があるかを確認します。発見時には、次の内容を分かる範囲で記録してください。
- 発覚した日時、発見者、発生した経緯
- 関係するシステム、端末、記憶媒体
- 漏えいした可能性がある情報の種類と人数
- 要配慮個人情報、認証情報、決済情報が含まれる可能性
- 第三者による取得や不正利用の可能性
- アクセス停止や誤送信先への削除依頼など、すでに行った対応
紛失した端末の遠隔ロックや、誤送信先への削除依頼が必要な場合は、社内規程と利用しているサービスの手順に沿って対応してください。調査に必要となるメールやアクセスログは削除せず、保存場所と保存期間を確認します。
報告と本人通知の要否を確認してください
個人情報保護委員会は、個人の権利利益を害するおそれがある漏えい等について、委員会への報告と本人への通知が必要になる場合を示しています。要配慮個人情報を含む場合、不正利用や財産的被害のおそれがある場合、一定規模を超える場合などが対象になり得ます。
必要な報告の時期や通知内容は、事案によって異なります。原因の確定を待つことで連絡が遅れないよう、社内の個人情報保護・法務担当者と、個人情報保護委員会の最新案内を早めに確認してください。
委託先で起きた事故も確認が必要です
個人データを預けている委託先やクラウドサービスで事故が起きた場合も、自社の顧客や従業員の情報が影響を受ける可能性があります。調査、行政への報告、本人対応を誰が担当するのか、契約内容と社内規程を確認してください。
問い合わせを受ける可能性がある場合は、社内の窓口と回答方法を決めます。確認できていない内容を断定せず、判明した事実と今後の連絡予定を分けて案内してください。