目次[非表示]
個人情報の漏えいとは|どんなときに起こるのか
お客様や取引先から預かった個人情報が、外部に流れてしまった。あるいは、社内から持ち出されてしまった。個人情報の漏えいは、どんな会社にも起こりうる、身近なリスクです。そして、いざ起きてしまったとき、その後の対応を誤れば、会社の信用は大きく傷つきます。だからこそ、漏えいが起きたらどう動くべきかを、あらかじめ知っておくことが欠かせません。
まだ何も起きていないうちは、漏えいへの備えは後回しにされがちです。しかし、いざというときに慌てないためには、平時のうちに対応の流れを頭に入れておくことが大切です。この記事では、個人情報の漏えいが起きたときに会社がとるべき対応を、順を追って見ていきます。まずは、そもそも漏えいとは何か、どんなときに起こるのかから確認していきましょう。
個人情報の漏えいとは、会社が持っている個人情報が、本来知られるべきでない外部に流れ出てしまうことをいいます。顧客の名前や連絡先、取引に関する情報など、個人を特定できる情報が、意図せず外に出てしまった状態を指します。漏えいというと、悪意ある持ち出しを思い浮かべるかもしれませんが、実際には、そうしたケースばかりではありません。
実際、企業で起こる漏えいの多くは、外部からの攻撃ではなく、社内の何気ないミスがきっかけです。宛先を取り違えたメール、鍵をかけ忘れたファイル、持ち出したまま置き忘れた端末。どれも、日々の業務のなかでふと生じる小さなほころびです。悪意がなくても、ほんの一瞬の不注意が、取り返しのつかない漏えいにつながってしまう。この事実を、まずしっかりと受け止めておくことが大切です。
漏えいが起こる原因は、さまざまです。書類やデータを誤って別の相手に送ってしまう、機器を紛失してしまう、外部からの不正なアクセスを受けてしまう、社内の人が情報を持ち出してしまうなど、その形はいくつもあります。うっかりした不注意によるものもあれば、悪意によるもの、外部からの攻撃によるものもあります。どんな会社でも、これらのリスクと無縁ではいられません。
漏えいのきっかけとして、たとえば次のようなものが挙げられます。いずれも、特別な会社だけに起こることではなく、日常の業務のなかで生じうるものばかりです。
- 書類やデータを、宛先を誤って別の相手に送ってしまう。
- 個人情報の入った機器や書類を、外出先で紛失してしまう。
- 外部から不正なアクセスを受け、情報を抜き取られてしまう。
- 社内の人が、情報を許可なく外部に持ち出してしまう。
こうして並べてみると、漏えいの原因が、決して遠い世界の話ではないことが分かります。日々の何気ない業務のなかに、漏えいの芽は潜んでいます。だからこそ、誰にでも起こりうるという前提で、備えておくことが大切なのです。
大切なのは、漏えいは「起こりうるもの」として備えておくことです。どれだけ気をつけていても、人が関わる以上、ミスや事故を完全になくすことはできません。だからこそ、起きないようにする努力と同時に、起きてしまったときにどう対応するかを、あらかじめ考えておく必要があります。この記事を通じて、漏えいが起きたときの初動から、本人への連絡、行政への報告、そして再発防止までの流れを、弁護士の視点から整理していきます。
なお、漏えいへの対応は、一つひとつの判断が、法律上の求めや、会社の信用に深く関わってきます。だからこそ、どこかの段階で少しでも迷いが生じたら、早めに専門家の助言を求めることをおすすめします。自社だけで判断を抱え込み、後から対応の誤りに気づくよりも、はじめから確かな見通しを持って動くほうが、結局は近道になります。この記事が、その第一歩を踏み出すための手がかりになれば幸いです。
漏えいへの対応は、起きてから考え始めたのでは間に合いません。混乱のさなかで、一から手順を組み立てる余裕はないからです。だからこそ、平時のうちに全体像を頭に入れておくことに意味があります。何が起こりうるのか、起きたときにどう動くのかを知っておくだけで、いざというときの落ち着きがまるで変わってきます。この記事が、その備えの一助になれば幸いです。
漏えいが起きたときにまず会社がすべきこと
個人情報の漏えいが発覚したとき、最初の動きがその後を大きく左右します。慌てて場当たり的に動くのではなく、落ち着いて、やるべきことを順に進めることが大切です。まずは、初動として何をすべきかを見ていきましょう。
最初にすべきは、事実を正確につかむことです。何が、どこから、どれくらい漏れたのか。それを、思い込みや推測ではなく、事実にもとづいて確認します。この最初の把握があいまいだと、その後の対応もすべてぶれてしまいます。漏えいの範囲や内容を、できるかぎり正確に見きわめることが、対応の出発点になります。
会社によっては、漏えいの一報が、社外からの指摘によってもたらされることもあります。取引先や顧客から「情報が漏れているのではないか」と知らされて、はじめて気づく、という場合です。そうしたときも、慌てて否定したり、逆に鵜呑みにしたりするのではなく、まずは自社で事実を確かめることが先決です。外からの指摘は貴重な手がかりですが、最終的な判断は、自らの確認にもとづいて行う必要があります。
事実の把握で気をつけたいのは、早合点をしないことです。第一報の段階では、情報が断片的で、実際よりも軽く見えたり、逆に大きく見えたりすることがあります。分かっていることと、まだ分からないことを切り分けながら、少しずつ全体像を明らかにしていく。そうした慎重な姿勢が、その後の判断を誤らせないために欠かせません。思い込みで動くことが、最も危ういのです。
次に大切なのが、被害の拡大を防ぐことです。漏えいがまだ続いているおそれがあるなら、その流れを止めることが最優先です。たとえば、不正なアクセスが続いているなら、その経路を断つ。持ち出された情報がさらに広がるおそれがあるなら、それを食い止める手立てを講じる。被害が広がる前に、一刻も早く手を打つことが求められます。
拡大を防ぐ動きは、時間との勝負になることが少なくありません。対応が一日遅れれば、それだけ被害が広がるおそれがあります。だからこそ、原因のすべてが分からなくても、まず止められるところから止めていくことが大切です。完璧な状況把握を待っているあいだに被害が広がっては、本末転倒です。動きながら考える、という姿勢が、この場面では求められます。
被害の拡大を止めるためには、漏えいの経路をふさぐと同時に、証拠を残しておくことも忘れてはなりません。いつ、どのような操作が行われたのかを示す記録は、後の原因調査や、行政への報告の際に欠かせない手がかりになります。慌ててシステムを初期化したり、記録を消してしまったりすると、この大切な証拠が失われてしまいます。止めるべきものは止め、残すべきものは残す。この見きわめが、初動の場面では問われます。
あわせて、社内での情報共有と対応体制を整えることも欠かせません。漏えいへの対応は、一人でできるものではありません。誰が何を担うのかを決め、組織として動ける体制をつくることが、その後の対応を滞りなく進める土台になります。担当者だけが抱え込んで、経営層に情報が上がらないまま時間が過ぎる、といった事態は避けなければなりません。
体制を整えるといっても、事が起きてから役割を決めていたのでは間に合いません。誰が全体の指揮をとり、誰が事実の確認にあたり、誰が本人や行政への連絡を担うのか。こうした分担を、あらかじめ決めておくことが理想です。連絡先をまとめた一覧や、対応の手順を記した手引きが手元にあるだけで、混乱のさなかでも動きが止まらずにすみます。備えのある会社は、いざというときの初動が、まるで違ってくるのです。
初動でおさえるべきことは、突き詰めれば三つに整理できます。事実を正確につかむこと、被害の拡大を止めること、そして組織として動ける体制を整えることです。この三つを、慌てず、しかし素早く進められるかどうかが、その後の展開を大きく左右します。どれか一つでも欠ければ、対応はどこかでつまずきます。三つを一体のものとして意識しておくことが大切です。
読者のなかには、「もし今、漏えいが起きたら、うちは動けるだろうか」と不安を感じた方もいるかもしれません。初動で慌てないためには、平時のうちに、発覚したら誰に連絡し、どう動くのかを決めておくことが有効です。備えのある会社とない会社とでは、いざというときの動きに大きな差が出ます。事前の準備が、混乱を最小限にとどめてくれるのです。
漏えい発生後に会社がとるべき対応の手順
漏えいの初動を終えたら、その後は落ち着いて、必要な対応を順に進めていくことになります。全体の流れをあらかじめ把握しておくと、何をすべきかを見失わずにすみます。ここでは、発生後の対応の手順を整理してみましょう。
漏えい発生後の対応は、おおむね次のような流れで進みます。それぞれの段階を、抜け漏れなく進めていくことが大切です。
- 何がどれだけ漏れたのか、事実関係を正確に確認する。
- 被害がこれ以上広がらないよう、拡大を防ぐ手立てを講じる。
- 漏えいの原因と、影響が及ぶ範囲を調べる。
- 影響を受ける本人への連絡や、行政への報告を検討する。
- 原因を踏まえ、再び起こさないための対策を講じる。
まず、事実関係の確認です。初動でつかんだ内容を、さらに詳しく調べていきます。どの情報が、どれくらいの範囲で、どのような経緯で漏れたのか。全体像を正確につかむことが、その後の判断の土台になります。ここが不確かなままだと、対応の方向を誤りかねません。
事実関係を確認するときには、関わった人からの聞き取りだけに頼らず、記録に残された客観的な情報とつき合わせることが欠かせません。人の記憶はあいまいで、時に都合よく塗り替えられてしまうこともあるからです。メールの送信履歴や、機器へのアクセスの記録といった、動かしがたい事実を積み重ねていく。そうした地道な確認作業が、正確な全体像をつかむための近道になります。急がば回れの姿勢が、ここでは生きてきます。
次に、拡大の防止です。被害がまだ広がるおそれがあるなら、それを止めることを優先します。そのうえで、漏えいの原因を突き止め、どこまで影響が及ぶのかを調べていきます。原因が分からなければ、同じことが再び起こるのを防げませんし、影響の範囲が分からなければ、誰にどう連絡すべきかも判断できません。
そして、影響を受ける本人への連絡や、行政への報告を検討します。漏えいの内容によっては、影響を受ける人に知らせたり、行政機関に報告したりすることが求められる場合があります。この点については、次の項目でくわしく見ていきます。最後に、原因を踏まえて、再発を防ぐための対策を講じます。一連の対応を、慌てず順に進めていくことが、被害を最小限に抑える鍵になります。
この流れを頭に入れておくと、いざというときに、次に何をすべきかを見失わずにすみます。漏えいの直後は、どうしても気が動転しがちです。そんなときこそ、あらかじめ定めた手順が支えになります。手順があれば、その一つひとつを着実にたどっていくことで、混乱のなかでも道を誤らずに進めます。備えとしての手順の価値は、こうした場面で発揮されるのです。
本人への連絡と行政への報告について
個人情報の漏えいが起きたとき、影響を受ける本人への連絡や、行政機関への報告が必要になる場合があります。これらは、法律上の求めに関わる大切な対応です。どのような考え方で臨むべきかを見ていきましょう。
まず、影響を受ける本人への連絡についてです。自分の情報が漏れたことを知らされなければ、本人は身を守るための備えができません。漏えいの内容によっては、本人にその事実を知らせ、注意を促すことが求められます。連絡にあたっては、何が漏れたのか、どんなおそれがあるのか、本人はどう気をつければよいのかを、分かりやすく伝えることが大切です。
本人への連絡は、伝え方にも配慮が必要です。自分の情報が漏れたと知れば、誰でも不安になります。その不安に寄り添い、何が起きたのかを正直に、しかし徒に恐怖をあおらない形で伝えることが求められます。あわせて、本人がどんな点に注意すればよいのかを具体的に示せば、相手も落ち着いて対処できます。連絡は、単なる義務としてではなく、相手を思いやる姿勢で行うことが大切です。
たとえば、クレジットカードの情報が漏れたのであれば、カード会社への連絡や、利用明細の確認を促す。パスワードが漏れたのであれば、その変更を、あわせて同じものを使い回している他のサービスの見直しを呼びかける。このように、本人が自分の身を守るために、具体的に何をすればよいのかまで示すことが、親切な連絡というものです。ただ事実を伝えるだけでなく、その先の行動まで導いてこそ、連絡の意味があります。
次に、行政機関への報告です。個人情報の漏えいについては、一定の場合に、行政機関へ報告することが法律で求められています。報告は、漏えいの事実を把握したら、速やかに、あるいは定められた期間のなかで行うことが求められます。どのような場合に報告が必要になるのか、いつまでにどう報告するのかは、状況によって異なるため、判断に迷うときは専門家に確認するのが安全です。
これらの対応で大切なのは、誠実であることです。漏えいという不都合な事実に向き合い、必要な連絡や報告を、逃げずに行う。その姿勢が、結果として会社への信頼を守ります。反対に、報告や連絡を怠ったり、事実を小さく見せようとしたりすれば、後になってさらに大きな問題を招きます。都合の悪い事実こそ、正面から向き合うことが求められるのです。
連絡や報告の要否、その方法や時期については、細かな判断を要する場面が少なくありません。漏えいの内容や範囲によって、求められる対応は変わってきます。自社だけで判断するのが難しい場合には、企業の法務にくわしい専門家の力を借りることで、適切な対応を進めやすくなります。
漏えい対応でやってはいけないこと
漏えいへの対応には、やるべきことがある一方で、やってはいけないこともあります。対応を誤ると、漏えいそのものよりも、その後の対応のまずさが、より大きな問題として尾を引くことがあります。避けるべきことを、しっかり押さえておきましょう。
最もやってはいけないのが、事実を隠そうとすることです。漏えいが起きたことを公にしたくない、という気持ちは分かります。しかし、隠したところで、事実が消えるわけではありません。むしろ、後になって発覚すれば、隠していたこと自体が新たな問題となり、会社への信頼はいっそう大きく損なわれます。隠蔽は、事態を悪化させるだけなのです。
次に避けたいのが、対応を先延ばしにすることです。漏えいが起きたのに、どうしてよいか分からず、そのまま時間が過ぎてしまう。そうしているあいだにも、被害は広がりかねません。初動の遅れは、そのまま被害の拡大につながります。分からないなりに、まずは動き出すこと、そして早めに専門家に相談することが大切です。
また、事実を正確につかまないまま、憶測で対応を進めることも危険です。何がどれだけ漏れたのかがあいまいなまま連絡や報告をすれば、後で内容が食い違い、かえって混乱を招きます。焦る気持ちは分かりますが、まずは事実を落ち着いて確認する。そのうえで、正確な情報にもとづいて対応を進めることが、遠回りのようでいて、実は最も確実な道なのです。
もう一つ避けたいのが、責任の押し付け合いに気を取られることです。漏えいが起きると、社内では、誰のせいなのかという話になりがちです。しかし、原因を究明することと、個人を責めることは別です。まずは被害を抑え、対応を進めることが最優先であり、責任の所在の議論は、事態が落ち着いてから冷静に行うべきものです。目の前の対応から目をそらさないことが大切です。
漏えいによって会社が負う責任とリスク
個人情報の漏えいは、会社にさまざまな責任やリスクをもたらします。どんな影響がありうるのかを知っておくことは、漏えいを防ぐ意識を高め、いざというときに適切に対応するうえで役立ちます。会社が向き合うことになるものを、見ていきましょう。
まず考えられるのが、信用の低下です。個人情報を漏らした会社は、情報の管理がずさんだと受け止められかねません。積み重ねてきた信頼が、一度の漏えいで大きく揺らぐことがあります。とりわけ、その後の対応がまずければ、信用の低下はいっそう深刻なものになります。信用は、会社にとってかけがえのない財産です。それが傷つくことの重みは、決して小さくありません。
失った信用を取り戻すには、傷つけるのにかかった時間の何倍もの労力が要ります。長い年月をかけて築いた信頼が、たった一度の漏えいと、それに続く不誠実な対応によって、あっけなく崩れてしまう。そうした例は、決して珍しくありません。だからこそ、漏えいを起こさないための備えと同じくらい、起きてしまったときに信用をこれ以上損なわないための、誠実な対応が重みを持つのです。守るべきは、目の前の情報だけではありません。
信用が傷つくと、その回復には長い時間がかかります。一度失われた信頼を取り戻すのは、それを築くよりもはるかに難しいものです。だからこそ、漏えいという事態に直面したときこそ、誠実で素早い対応によって、信用の低下を最小限に食い止めることが重要になります。対応の一つひとつが、会社の信頼を守る取り組みなのだと考えておくとよいでしょう。
また、漏えいによって影響を受けた人に対して、会社が責任を問われることも考えられます。情報を預けた相手に損害が生じた場合、その回復を求められる可能性があります。こうした責任がどこまで及ぶかは、漏えいの内容や、会社の対応によっても変わってきます。日ごろから情報を適切に管理し、漏えいが起きた際にも誠実に対応することが、こうしたリスクに備えることにつながります。
さらに、漏えいへの対応そのものに、時間や労力といった負担がかかることも見過ごせません。事実の確認、原因の調査、本人への連絡、行政への報告、再発防止の取り組みなど、対応すべきことは多岐にわたります。本来の業務に割くべき力が、その対応に取られることになります。こうした目に見えにくい負担も含めて、漏えいが会社にもたらすものは大きいのだと理解しておく必要があります。
こうした負担は、規模の大きな会社よりも、むしろ人手の限られた会社にこそ重くのしかかります。ただでさえ少ない人員のなかから、漏えい対応に人を割けば、通常の業務が回らなくなってしまう。そうした苦しい状況に陥る前に、外部の専門家の力を借りることも、選択肢のひとつです。すべてを自社だけで抱え込もうとせず、頼れるところは頼る。その割り切りが、かえって被害を小さく抑えることにつながります。
こうした負担を思えば、漏えいを防ぐための日ごろの取り組みが、いかに大切かが見えてきます。事後の対応に追われるくらいなら、事前に防ぐ手立てを整えておくほうが、はるかに負担は軽くてすみます。備えにかける手間は、いざというときの大きな負担と比べれば、ずっと小さなものです。予防への投資は、決して無駄にはならないのです。
漏えいを繰り返さないために会社が取り組むこと
漏えいへの対応を終えたら、そこで気を緩めてはいけません。大切なのは、同じことを二度と起こさないよう、教訓を生かすことです。一度の漏えいを、会社の備えを強くする機会に変える。そうした前向きな姿勢が求められます。取り組むべきことを見ていきましょう。
まず行うべきは、なぜ漏えいが起きたのかを、しっかり振り返ることです。原因を突き止めなければ、対策の立てようがありません。うっかりミスによるものなのか、仕組みの不備によるものなのか、外部からの攻撃によるものなのか。原因を明らかにしてはじめて、それに応じた手立てを考えられます。表面的な処理で終わらせず、根本の原因に目を向けることが大切です。
原因を振り返るときに気をつけたいのは、担当した個人を責めるだけで終わらせないことです。ミスをした人を叱って幕引きにしてしまえば、その場は収まっても、同じ落とし穴は残ったままになります。人は誰しもミスをするものだという前提に立ち、たとえ誰が担当しても漏えいが起きにくい仕組みへと、業務そのものを見直していく。個人の注意力に頼るのではなく、仕組みで防ぐという発想への転換が、確かな再発防止の土台になります。
次に、明らかになった原因に応じて、再発を防ぐための対策を講じます。情報の取り扱いのルールを見直す、社内での意識を高める、管理の仕組みを整えるなど、原因に合わせた対策を進めていきます。一度きりの対応で終わらせるのではなく、継続して取り組んでいくことが、確かな備えにつながります。漏えいを防ぐ取り組みそのものについては、日ごろからの対策が何より重要です。
再発防止の対策は、現場に無理なく根づくものにすることが肝心です。厳しすぎるルールを課しても、守られなければ意味がありません。なぜその対策が必要なのかを、現場の人がきちんと理解し、日々の業務のなかで自然に守れる形にする。そうしてはじめて、対策は絵に描いた餅で終わらず、実際に漏えいを防ぐ力になります。仕組みと、それを使う人の理解の両方が、そろっている必要があります。
また、漏えいの経験を、会社全体で共有することも意味があります。何が起き、なぜ起き、どう対応したのかを、関わった人だけでなく、広く共有する。そうすることで、同じような危うさに対する感度が組織全体で高まります。一つの出来事を、会社みんなの学びに変えていく姿勢が、組織を強くします。
読者のなかには、まだ漏えいを経験していないけれど、備えておきたい、という方もいるでしょう。その場合は、漏えいが起きる前から、情報の管理を見直し、いざというときの対応を決めておくことをおすすめします。備えは、事が起きてからでは間に合いません。何もないうちに整えておくことが、会社を守る最も確かな方法です。対応や備えに迷ったときは、専門家に相談してみるとよいでしょう。
漏えいへの備えは、一度整えたら終わり、というものではありません。業務の内容や、扱う情報は、時とともに変わっていきます。それに合わせて、対応の手順や管理の仕組みも、折にふれて見直していく必要があります。定期的に備えを点検し、実態に合った形に保っておくこと。その地道な積み重ねが、いざというときに会社を支えてくれます。
個人情報漏えいへの対応に関するよくある質問
漏えいが起きたら、まず何をすればよいですか
まずは、事実を正確につかむことと、被害の拡大を防ぐことです。何が、どこから、どれくらい漏れたのかを、推測ではなく事実にもとづいて確認します。あわせて、漏えいがまだ続いているおそれがあるなら、その流れを止めることを優先します。そのうえで、社内で情報を共有し、組織として対応できる体制を整えます。落ち着いて、やるべきことを順に進めることが大切です。
反対に、避けたいのは、原因を自分ひとりで調べようとして時間を使ってしまうことです。初動の段階では、なぜ起きたのかを突き止めるよりも、これ以上被害を広げないことのほうが、はるかに優先されます。原因の究明は、被害を止め、体制を整えたうえで、腰を据えて取り組むべき次の段階の課題です。まずは目の前の広がりを食い止める。この順番を、取り違えないようにしましょう。
漏えいの事実は、公にしなければならないのですか
漏えいの内容によっては、影響を受ける本人への連絡や、行政機関への報告が法律上求められる場合があります。要否や方法は状況によって異なりますが、いずれにしても、事実を隠すことは避けなければなりません。隠していたことが後で発覚すれば、会社への信頼はいっそう損なわれます。不都合な事実にこそ、誠実に向き合う姿勢が求められます。
行政への報告は、いつまでにすればよいですか
個人情報の漏えいについては、一定の場合に行政機関への報告が求められており、漏えいの事実を把握したら、速やかに、あるいは定められた期間のなかで行うことが求められます。どのような場合に報告が必要か、いつまでにどう報告するかは、状況によって変わるため、判断に迷うときは専門家に確認することをおすすめします。早めに動くことで、対応が後手に回るのを防げます。
漏えいへの対応で不安があるときは、どこに相談すればよいですか
漏えいが起きた際の対応や、本人への連絡、行政への報告の要否など、判断に迷う場面では、企業の法務にくわしい弁護士に相談することをおすすめします。対応を誤ると、被害が広がったり、後に大きな問題を招いたりしかねません。平時から相談できる体制を整えておけば、いざ漏えいが起きたときにも、慌てず適切に対応を進めやすくなります。
とりわけ、日ごろから会社の事情をよく知る専門家がそばにいれば、漏えいが起きたその日から、状況に即した助言を受けられます。一から事情を説明する手間もなく、素早く対応に移れる。この差は、初動の速さが問われる漏えいの場面では、とても大きなものになります。何かが起きてから相談先を探すのではなく、平時のうちに関係を築いておくことが、いざというときの安心につながるのです。