個人データの誤共有が発覚したとき、まず答えるべきは「個人情報保護委員会への報告対象かどうか」と「いつまでに報告するか」です。民間の個人情報取扱事業者では、①要配慮個人情報が含まれる、②不正に利用されることで財産的被害が生じるおそれがある、③不正の目的をもって行われたおそれがある行為による、④本人の数が1,000人を超える、のいずれかに該当する漏洩等（またはそのおそれ）は、原則として報告対象です。ただし、対象となる個人データに高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられている場合は、報告を要しません。
報告対象の場合、速報は事態を知った後速やかに（目安は概ね3〜5日以内）、確報は原則30日以内、③に該当する事態では60日以内に行います。本人への通知も、当該事態の状況に応じて速やかに行う必要があります。この記事では、報告要否の判断基準、速報・確報の期限、本人通知の方法、そして個人情報保護委員会への報告要否の判断や確報に向けて「どこまで調べるか」を整理します。
出典：個人情報保護委員会
Contents
セキュリティインシデントとは
情報の漏洩や改ざん、破壊・消失、情報システムの機能停止、またはこれらにつながる可能性のある事象は、セキュリティインシデントと呼ばれます。個人データの誤共有やメールの誤送信も、この範囲に含まれる出来事です。
出典：独立行政法人情報処理推進機構（IPA）
個人情報保護委員会への報告対象となる4つの事態
民間の個人情報取扱事業者について、個人情報保護法施行規則第7条では、個人の権利利益を害するおそれが大きいものとして4つの報告対象事態が定められています。いずれも、実際に漏洩等が発生した場合だけでなく、そのおそれがある場合を含みます。ただし、漏洩等が発生し、または発生したおそれがある個人データについて、高度な暗号化その他の個人の権利利益を保護するために必要な措置が講じられている場合は、報告を要しません。
| 該当する事態 | 内容の例 |
| 要配慮個人情報を含む個人データの漏洩等 | 病歴、健康診断結果などを含む個人データの漏洩など |
| 財産的被害のおそれがある個人データの漏洩等 | クレジットカード番号を含む個人データの漏洩など |
| 不正目的による個人データの漏洩等 | 不正アクセスによる窃取、従業者による不正な持ち出しなど |
| 本人の数が1,000人を超える個人データの漏洩等 | メールのBCCとCCを取り違えて一括送信した場合など |
出典：個人情報保護委員会
このうち、メールの誤共有で特に見落としやすいのは「1,000人を超える漏洩等」の要件です。本来BCC欄に入力すべきメールアドレスをCC欄に入力して一括送信した場合が、具体例として挙げられています。また、これらの要件は「漏洩等」そのものだけでなく「そのおそれ」がある段階も対象に含まれる点に注意が必要です。
報告の期限：速報と確報
報告対象事態を知った場合、まず速報を速やかに行います。「速やか」の目安は、事業者が当該事態を知った時点から概ね3〜5日以内です。その後の確報は、当該事態を知った日から30日以内に行います。
ただし、個人情報保護法施行規則第7条第3号に定める、不正の目的をもって行われたおそれがある行為による漏洩等に該当する場合は60日以内です。30日・60日は報告期限であり、可能な場合はより早期の報告が望まれます。
確報時点で合理的な努力を尽くしても未判明の事項がある場合は、その時点で把握している内容を報告し、判明次第追完します。
本人への通知をどう行うか
本人への通知は、当該事態の状況に応じて速やかに、概要・個人データの項目・原因などの内容を、本人にとって分かりやすい方法で行います。通知の方法としては、文書の郵送や電子メールの送信が示されています。本人への通知が困難な場合は、ホームページ等での公表や、問合せ窓口の設置といった代替措置を講じることも可能です。
報告要否をどう判断するか（条件分岐）
誤共有が発覚した際は、次の分岐で報告要否を確認します。
| 状況 | 判断 |
| 4つの報告対象事態のいずれかに該当し、高度な暗号化等の必要な保護措置が講じられていない | 個人情報保護法上の報告対象となります |
| 4つの報告対象事態のいずれにも該当しない | 法定の報告義務はありません。 なお、任意で報告することは可能です |
| 4つの報告対象事態に該当するが、高度な暗号化等の必要な保護措置が講じられている | 報告は不要です |
なお、法的な該当性の判断は個々の事実関係によって異なるため、上記はあくまで公開情報に基づく整理であり、最終的な判断は自社の状況に照らして行う必要があります。
個人情報保護委員会への報告要否・確報のためにどこまで調べるか
個人データの漏洩等が発生した際は、単に「漏洩したか」を確認するだけではなく、個人情報保護委員会への報告要否を判断し、必要な場合に確報を行えるだけの事実関係を整理する必要があります。確報では、「概要」「対象となる個人データの項目」「本人の数」「原因」「二次被害またはそのおそれ」「本人への対応」「公表」「再発防止措置」「その他参考事項」などが報告事項となるため、これらを確認できる情報を優先して調査します。
ファイルの誤共有では、少なくとも次の情報を整理します。
- 発生日時・発覚日時
- 誤共有が発生した場所・経路と実行者
- 対象ファイルと含まれる個人データの項目
- 対象となる本人の数
- 共有・送信先と、アクセス可能だった範囲
- 閲覧・ダウンロード等の操作履歴と、二次拡散またはそのおそれ
- 誤共有が発生した原因
- 共有停止・アクセス遮断、本人への対応、公表等の実施状況
- 再発防止のために実施した措置・実施予定の措置
被害拡大を防ぐための共有停止やアクセス遮断と、ログ等の証拠保全は並行して進めます。具体的な初動対応やログ保全の手順は、別記事「ファイル共有で情報漏洩が起きたときの初動」で詳しく解説します。
報告の事実確認にFleekdriveの証跡をどう活かすか
個人データの誤共有が発生した際、個人情報保護委員会への報告要否や影響範囲を判断するには、「誰が・いつ・どのファイルに対してどのような操作を行ったか」を確認できる記録が重要です。閲覧・ダウンロード等の記録は、漏洩等の概要や影響範囲、二次被害のおそれを確認する際の裏付けになります。
Fleekdriveでは、ログインからログアウトまでの操作記録を証跡として保存し、特定のユーザや操作を抽出して確認できます。証跡は過去5年分が蓄積されるため、誤共有が発生した際の事実関係や影響範囲の確認に活用できます。ただし、共有方法によって取得・確認できる情報は異なり得るため、「誰が閲覧・ダウンロードしたか」を自社の運用でどこまで確認できるかは事前に確認しておくことが重要です。なお、異常なユーザアクションを自動検知・通知する「監査」は有償オプションです。
よくある質問（FAQ）
Q. 漏洩の「おそれ」の段階でも報告は必要ですか？
要配慮個人情報が含まれる場合などの各要件は、「漏洩等」だけでなく「そのおそれ」がある場合も対象に含まれます。ただし、対象となる個人データに高度な暗号化その他の必要な保護措置が講じられている場合は、報告を要しません。
出典：個人情報保護委員会
Q. 報告先はどこですか？
個人データの漏洩等が個人情報保護法上の報告対象事態に該当する場合は、原則として個人情報保護委員会へ報告します。なお、報告を受理する権限が事業所管大臣に委任されている場合は、当該事業所管大臣が報告先となります。犯罪性がある場合は警察への相談・届出を検討します。ウイルス感染や不正アクセスについては、IPAが届出を受け付け、届出への協力を求めています。
出典：独立行政法人情報処理推進機構（IPA）
Q. 本人への通知が難しい場合はどうすればよいですか？
ホームページ等での公表や、問合せ窓口の設置といった代替措置を講じることが可能とされています。
出典：個人情報保護委員会
まとめ
個人データの誤共有が発覚したら、まず4つの報告対象事態への該当性と、高度な暗号化等の必要な保護措置が講じられている場合に当たらないかを確認します。報告対象の場合、速報は事態を知った後速やかに、確報は原則として当該事態を知った日から30日以内に行います。ただし、個人情報保護法施行規則第7条第3号に該当する事態の確報期限は60日以内です。本人への通知も、当該事態の状況に応じて速やかに行います。
調査では、対象ファイル、共有相手、対象となる本人の数、閲覧・ダウンロードの有無、二次被害またはそのおそれ、原因、本人対応、再発防止措置など、報告要否の判断や確報に必要な事実を整理します。こうした事実関係を確認できる証跡を平時から残しておくことが、漏洩等が発生した際の迅速な判断につながります。
