不正アクセスのニュースでは、会社が「個人情報保護委員会へ第一報を入れた」と書くことがよくあります。これは会社の好意ではなく、個人情報保護法で決められた報告です。報告には速報と確報の2回があり、それぞれ期限があります。
ニュースを見て「自分の情報も漏れたのでは」と不安になっても、会社からの連絡がいつ来るのかは、発表に書かれていないことがほとんどです。決まりを知っておくと、待つ間に何をすればいいかが分かります。
10月19日にも、家電量販店のジョーシンが不正アクセスで一部のサービスを止め、委員会へ第一報を入れたと発表しました。くわしくはジョーシン 不正アクセスにまとめています。
先に結論
- ✓ 速報は、知ってから3〜5日以内が目安
- ✓ 確報は、知った日から30日以内。不正アクセスなどは60日以内
- ✓ 本人への連絡は「状況に応じて速やかに」で、日数の決まりはない
報告しないといけない4つの場合
| 中身（施行規則7条） | |
|---|---|
| 1 | 病歴など要配慮個人情報が漏れた、または漏れたおそれがある |
| 2 | クレジットカード番号など、お金の被害につながるおそれがある情報が漏れた |
| 3 | 不正の目的で行われたおそれがある行為（不正アクセスなど）で漏れた |
| 4 | 漏れた人の数が1,000人を超える |
出典：個人情報保護法26条1項、個人情報保護法施行規則7条（e-Gov法令検索、10月19日確認）。どれか1つに当たれば報告が必要です。「漏れたおそれ」の段階でも対象になります。
速報と確報の期限
| 期限 | 中身 | |
|---|---|---|
| 速報 | 知ってから速やかに（目安は3〜5日以内） | その時点で分かっていることだけでよい |
| 確報 | 知った日から30日以内（3の不正目的は60日以内） | 概要・漏れた項目・人数・原因・二次被害・本人への対応・公表・再発防止策など9項目 |
出典：施行規則8条、個人情報保護委員会「ガイドライン（通則編）」3-5-3-3・3-5-3-4（個人情報保護委員会）。会社では、どこか1つの部署が知った時点から数えます。確報は知った日を1日目として土日も数え、最後の日が土日・祝日・年末年始なら翌日が期限です。
ジョーシンは10月16日に不正アクセスに気づき、17日の時点で第一報を入れていました。仮に不正目的の場合（3）に当てはめると、確報の期限は16日を1日目として60日目の12月14日（月）になります。ただし、これは委員会への報告の期限で、私たちへの発表の期限ではありません。
本人への連絡はいつ来る？
会社は、漏れた人本人にも知らせる義務があります（法26条2項）。ただし期限は日数ではなく「状況に応じて速やかに」です。誰の情報が漏れたのか調べ終わる前は、知らせようがないこともあります。知らせる中身は、概要、漏れた項目、原因、二次被害のおそれ、その他の参考になることです（施行規則10条）。
連絡先が分からないなど本人に知らせるのが難しいときは、代わりに事案を公表したり、問い合わせ窓口を作って「自分が対象か」を確かめられるようにしたりします（ガイドライン3-5-4-5）。会社のホームページに「お問い合わせ先」が載るのは、このためです。
読者
連絡が来ないうちに、自分でできることはある？
おかあさん同じパスワードをほかのサービスでも使っていたら、先に変えておくのがいちばん効くよ。会社をかたる「確認のお願い」メールやSMS（ショートメッセージ）のリンクは開かないこと。メールアドレスがどこかで漏れていないかはメールアドレス 流出チェックで調べられます。
最近は、毎週のように会社の漏えいが発表されています。ここ数週間で発表された会社の一覧は情報漏洩 最近多いにまとめています。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント