■ タイムズカーは何日で動いたか
まず、運営会社が公表した経過を振り返ってみます。
・9月25日 午前9時07分：不正アクセスを検知。同日に第1報を公表
・9月26日 午前7時25分：不正アクセスの経路を遮断
・9月28日 ：第2報（約660万件の漏えいを公表）
・9月29日 ：第3報（免許証画像など約160万件の漏えいを公表）
検知と同じ日のうちに第1報を公表していることが分かります。そして被害の全容は、数日かけて段階的に明らかにされています。実は、これは法律が企業に求めている対応の流れそのものです。
■ 件数が少なくても、国への報告が必要です
個人情報保護法では、一定の漏えいが起きた場合、個人情報保護委員会（国）への報告が義務付けられています。
報告が必要になるのは、主に次の4つの場合です。
1． 病歴など、特に配慮が必要な情報が漏れた場合
2． クレジットカード番号など、財産的な被害につながるおそれがある場合
3． 不正アクセスやランサムウェア、従業員による持ち出しなど、不正な目的によるおそれがある場合
4． 漏えいした人数が1,000人を超える場合
中小企業の経営者の方にぜひ知っていただきたいのは、3番目です。
不正アクセスや従業員による持ち出しの場合は、たとえ漏れたのが数十人分であっても報告義務が生じます。「うちは顧客が少ないから大丈夫」とは言えないのです。
また、報告義務は「漏えいが確定した場合」だけではなく、「漏えいしたおそれがある場合」にも生じます。
■ 期限は「おおむね3〜5日」。起算点に要注意
報告は2段階で行います。
■ 速報：漏えいを知ってから速やかに（目安は、おおむね3〜5日以内）
■ 確報：知った日から30日以内（不正アクセスなどの場合は60日以内）
ここで落とし穴になるのが、「いつから数えるか」です。
国のガイドラインでは、期限は社長が知った時からではなく、会社のいずれかの部署が知った時から数えるとされています。現場の担当者が「何かおかしい」と気付いた瞬間から、時計の針は動き出しているのです。
社内での報告が回ってくるまでに2日かかれば、社長の手元に残る時間はわずか1〜3日しかありません。
■ 報告を怠ると、どうなるのか
「報告しなければ分からないのでは」と考えるのは危険です。
報告を怠ったことが後から発覚すれば、個人情報保護委員会から報告の求めや立入検査を受け、是正するよう勧告されることがあります。勧告に従わなければ命令が出されます。命令に違反すると、違反した個人には1年以下の拘禁刑または100万円以下の罰金が科されます。さらに会社にも、最高1億円の罰金が科される可能性があります。命令に違反したことが公表されることもあります。
漏えいそのものよりも、「隠していた」という事実のほうが、取引先やお客様の信頼を大きく損ないます。報告は、会社を守るための手続きでもあるのです。
■ 速報は「分かっている範囲」で構いません
「原因も件数も分からないのに報告できない」と思われるかもしれません。しかし速報では、その時点で把握している事項を報告すればよいとされています。調査が終わるのを待つ必要はありません。
タイムズカーが第1報、第2報、第3報と段階的に公表したように、分かったことを順次知らせていくのが正しい対応です。また、報告が必要な事態では、原則として本人への通知も必要になります。
■ 初動の72時間で何をするか
法律上の目安は3〜5日ですが、実務では最初の72時間を一つの区切りとして動くことをお勧めしています。
最初の24時間は、被害の拡大を止めることに集中します。
ネットワークの遮断、パスワードの変更、そして証拠となるログの保全です。慌ててパソコンを初期化すると、原因が分からなくなってしまいます。
次の24時間で、どの情報が何人分漏れたのかの見当をつけます。原因調査の専門業者や弁護士に連絡し、不正アクセスが疑われる場合は警察にも相談します。
そして72時間までに、国への速報と、お客様への通知・公表の準備を進めます。
■ 初動の良し悪しは、賠償額にも響きます
前回ご紹介したベネッセの事件では、裁判所が賠償額を判断する際に、会社が謝罪やお詫びの金券送付などの対応を行ったことも考慮されています。
逆に、対応が遅れて被害が広がれば、賠償額が膨らむおそれがあります。
初動の速さと誠実さは、法的なリスクを左右する要素でもあるのです。
■ 業務の委託先で漏れた場合も、他人事ではありません
最後に注意していただきたいのが、業務を外部に委託している場合です。委託先で漏えいが起きた場合でも、委託元である御社にも報告義務が生じ得ます。委託先から連絡が来るのが遅れれば、御社の報告期限に間に合いません。
この点は、委託契約の内容で大きく変わります。次回詳しくお話しします。
■ 次回予告
最終回となる次回は、「法改正で何が変わる？委託先とクラウドの落とし穴」をテーマにお送りします。2027年1月から罰則が強化されるなど、7月に公布された改正個人情報保護法のポイントを、中小企業の目線で解説します。