情報漏えい時の開示判断を事前に決めておく
この教材でわかること：お客様の個人情報が関わるインシデントが起きた場合に生じうる報告・開示に関する義務の概要と、「誰が公表の判断をするか」をあらかじめ決めておく大切さです。
このカテゴリでは、「サイト運営者が負っている責任とは」と「個人情報保護法とサイト運営者の義務（基本編）」で、技術的な対応だけでなく法律上の責任があることを見てきました。この教材では、実際にインシデントが起きたときの「開示・公表」に関わる判断を、事前にどう準備しておくかを取り上げます。
「技術的な対応」だけでは終わらない
サイトへの不正アクセスや情報漏えいが起きたとき、原因を調べて被害を止めるという技術的な対応に加えて、「誰に、何を、いつ伝えるか」という判断が必要になる場面があります。お客様の個人情報が関わる場合、この判断には法律上の義務が関係してくることがあります。
個人情報が関わる場合の開示義務（概要）
教材「個人情報保護法とサイト運営者の義務（基本編）」で解説しているとおり、個人データの漏えい等が発生し、本人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告が必要になる場合があります。あわせて、本人への通知が必要になる場合もあります。どのような場合に報告が必要になるか、報告の期限といった具体的な基準は、法律やガイドラインによって細かく定められているため、実際にインシデントが起きた場合は、上記の教材や個人情報保護委員会の公式情報を確認するか、専門家に相談してください。この教材では、報告が必要になる「場合がある」という前提のもとで、事前に準備しておきたいことを取り上げます。
「誰が公表の判断をするか」を事前に決めておく
インシデントの最中は、原因調査や復旧作業に追われ、落ち着いて判断するのが難しい状況になります。そのような状況の中で、「お客様に伝えるべきか」「公表すべきか」「誰が最終的に決めるのか」をその場で初めて考えるのは、大きな負担になります。
- 誰が最終判断をするか：経営者が判断するのか、特定の担当者に権限を委ねるのかを、事前に決めておく
- 誰に相談しながら決めるか：管理会社、必要に応じて弁護士など、相談する相手をあらかじめ把握しておく
- 連絡先をまとめておく：個人情報保護委員会など、報告が必要になった場合の連絡先を、落ち着いて探せる場所に整理しておく
「その場の判断」ではなく「事前に決めた流れに沿って判断する」ことができれば、混乱した状況でも対応の質を保ちやすくなります。インシデントに気づいてから相談するまでの基本的な流れは、教材「インシデント対応とは何か（全体像をつかむ）」でも紹介しています。
何をすべきか（まとめ）
- 個人情報が関わるインシデントでは、報告・開示の義務が生じる場合があることを知っておく
- 「誰が公表の判断をするか」を、インシデントが起きる前に決めておく
- 相談先・報告先の連絡先を、あらかじめ整理しておく
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものであり、法律の専門的な解釈や個別の法律相談に代わるものではありません。具体的な報告義務の有無・期限は、個人情報保護委員会の公式情報を直接確認するか、専門家にご相談ください。