田町駅から徒歩7分、
港区三田の弁護士事務所

このようなお問い合わせ、クレームは、個人情報の漏洩が生じていることを知るきっかけとなることがあります。
漏洩の事実を現時点で確認していないというだけでクレーマーだと決めつけてしまうと、被害の拡大に気が付かず事態が深刻化する恐れがあります。
漏洩発覚のきっかけの例としては、次のようなものが考えられます。

• なくしたもの（遺失物）の発見者・警察からの連絡
• 誤メールの受信者からの報告
• SNS・インターネットでの拡散
• 報道機関からの取材依頼
• 口止め料・身代金の請求
• アラートシステムによるコンピューターウイルスや不正アクセスの検知
• 不審なアクセスログの探知
• 振り込め詐欺やクレジットカードの不正利用の被害者からの問い合わせ

いずれのきっかけについても軽視することなく、漏洩のおそれのある事案として対応するようにしましょう。

まず、最初のステップは、きっかけに接した人が責任者に報告することです。
直接の報告先は、通常は所属部署の上長になります。
外部からの問い合わせやクレームの場合には、相手の名前や連絡先も併せて報告しましょう。
コンピューターウイルスや不正アクセスによる漏洩が疑われる場合には、不用意な操作をせず、システム上に残された証拠を消さないようにしましょう。

報告を受けた上長がどこに報告すべきかは社内ルールを確立して、日ごろから従業員を教育しておくことが重要です。
社内の一従業員から管理職への報告ルートを構築し、速やかに社内で情報共有がなされる仕組みを事前に整備しておきましょう。
一斉に報告できるメーリングリストやチャットアプリを活用することも考えられます。

口頭で行うと情報が不正確になる可能性が高いため、このような情報共有は必ずメールやテキストメッセージ、書面などの文章で報告するようにしましょう。
また、情報が錯そうして社内が混乱することを防止するために、報告を受けた情報や聞き取り調査をした情報をどの部署が一元管理するのか、あらかじめ決めておくことを心がけましょう。

クレームや問い合わせがあったとの報告を受けた場合、報告を手がかりにして、速やかに事実関係の確認と調査を行わなければなりません。
調査の後に適切な対応をとるためには、いつ（When）、どこで（Where）、誰が（Who）、何を（What）、なぜ（Why）、どうしたのか（How）のいわゆる5W1Hをできるだけ迅速に、かつ正確に把握することが重要であると言えます。
また、これらの5W1Hを裏付ける情報や証拠も可能な限り確保するようにしましょう。
ここでは、従業員Aが取引先一覧の記録されたパソコンを社外で紛失した事案を題材にして、5W1Hによる事実関係の整理の一例をご紹介します。

事実関係を調査する主な目的は、個人情報の漏洩による被害の実態を把握したうえで対応方針を策定し、二次被害を防ぐことにあります。
そのため、どのような性質・種類の情報が漏洩したのか（What）、どのような経緯で漏洩したのか（Why、How）に関する調査に重点を置くべきでしょう。

初期段階で対応の方針を決定する際には、漏洩した情報がどのような性質・種類の情報であるのか（What）が非常に重要だからです。
氏名やメールアドレスといった個人の属性や連絡先に関する情報が漏洩したのみである場合と、クレジットカード番号や銀行口座の情報が漏洩した場合とでは、その後どのような対応を行うべきなのかが変わってきます。
例えば、要配慮個人情報、不正に利用されることにより財産的被害が生じるおそれがある個人情報など、特に重大な漏洩が生じた場合には、当局報告や本人への通知といった義務が発生します。
詳しくは、3.個人情報の漏洩についての当局報告、4.個人情報の漏洩についての本人通知を参照してください。

二次被害を防止しようとする場面では、どのような性質・種類の情報が漏洩したのか（What）によって、想定される二次被害とその防止策が変わってきます。
例えば、クレジットカードの情報が漏洩した場合には、その情報を第三者が悪用して不正なカード決済を行うなどの財産的被害が想定されるため、本人と銀行に対してその口座の利用停止を求めるといった防止策が考えられます。
また、そのような防止策を実行するために、漏洩した情報の本人が誰なのか（What）を特定する際にも役に立ちます。

もちろんそんなことはありません。
二次被害防止策と再発防止策を検討するためには、どのような経緯で漏洩したのか（Why、How）の調査も非常に重要です。
例えば、企業のパソコンがコンピューターウイルスに感染したケースでは、そのパソコンの利用を停止し、企業のネットワークから切り離すといった二次被害防止策を講じて、情報セキュリティ体制の見直しを行うといった再発防止策を講じることが考えられます。
WEBサイトの権限設定ミスがあった場合などには、いつ（When）やどこで（Where）といった情報を調査して漏洩の影響の範囲を特定することが重要ですね。

お客様からのクレームや問い合わせといったきっかけから個人情報の漏洩が発覚した際には、可能な限り早く二次被害を防止するための対策を講じるべきです。
迅速な対応は漏洩被害のさらなる拡大を防ぐだけでなく、漏洩を発生させた企業の損害賠償責任などの負担を軽減することにもつながります。

特に注意したいのは、お客様のクレジットカード番号やセキュリティコードを含む情報が漏洩した場合です。
クレジットカード番号の非保持化が徐々に広がっていますが、自社のECサイトで入力されたクレジットカード番号を保有している場合は要注意です。
まずは、クレジット決済サービスの提供を受けている決済サービス会社に漏洩が発生したことを連絡しましょう。
その後の対応については、3.個人情報の漏洩についての当局報告、4.個人情報の漏洩についての本人通知を参照してください。

漏洩した個人情報がネットの掲示板やSNS上にアップロードされている場合には、アップロードした者やWEBサイトの運営者に投稿を削除するように求めるべきです。
投稿者の特定や完全な削除が困難なケースもありますが、大手の掲示板サイトやブログサービスでは、プライバシーの侵害につながるおそれがある投稿の自主的な削除を行っています。

不正アクセスや従業員の持ち出しのケースでは、その行為者や情報を譲り受けた第三者に対して法的に個人情報の利用停止・削除を請求できることがあります。
例えば、不正競争防止法では、営業秘密を不正取得した者や不正取得に悪意・重過失のある譲受人・転得者がその営業秘密を使用・開示する行為（同法2条1項4～10号）について、差止請求として、営業秘密侵害の停止・予防（同法3条1項）と媒体や複製物の廃棄・除去（同条2項）を請求することができるとされています。

従業員が取引先名簿を不正に持ち出して名簿業者に売却したケースを例に説明しますね。
漏洩が発生した企業としては、その従業員と名簿業者に対して、営業秘密である取引先に関する情報を利用したり、第三者に提供したりしないように請求することができます。
さらに、停止・予防請求に付随して、取引先名簿やそのコピー、取引先に関する情報の記録されたUSBやパソコンなどについても廃棄・除去することを請求できます。

場合によっては警察に届け出ることも検討しましょう。
パソコンやスマートフォンを紛失した場合には遺失届を、それらが盗まれた場合には盗難の被害届を提出します。
また、従業員の不正な持ち出しのケースでは、個人情報データベース等提供罪や営業秘密侵害罪の成立、不正アクセスがあったケースでは不正アクセス禁止法違反、名簿業者からの不正な金銭などの要求があったケースでは恐喝罪や脅迫罪の成立が考えられるため、警察に被害届を提出することを検討すべきです。（個人情報保護法174条、不正競争防止法3条、4条、21条1項各号、刑法222条1項、249条1項）

事案ごとに採るべき二次被害の防止策・抑制措置は全く異なるため、初期段階の調査とそれを踏まえた検討が重要です。
他方、調査や検討に時間をかけすぎると被害が拡大し、対策を講じる頃には手遅れになっている可能性があります。
そのため、5W1Hを意識したメリハリのある調査と対応の迅速さのバランスが大切であると言えますね。

プレスリリースなど文書として公開する方法のほか、記者会見や取材など口頭で発表する方法も考えられます。
インターネット上でプレスリリースを公開する場合には、ホームページのトップページ、またはトップページから一回の操作でアクセスできるページに掲載するのがよいでしょう。
記者会見を行う場合には、事前にマスコミや報道機関に対して公表する内容をFAXすることが多いです。
取材については電話ではなく、なるべく対面での形式で行うようにし、複数の取材申し込みがあったときには記者会見を行うことを検討しましょう。

次のような項目を記載するのが一般的です。
顧問先企業のみなさまにはサンプル文を提供していますので、万一の際はおっしゃってください。

1. 序文・謝罪
2. 概要・経緯
3. 漏洩した個人情報の項目・本人の数
4. 漏洩の原因・二次被害
5. 今後の対応・再発防止策
6. 問い合わせ窓口に関する情報

当局報告・本人通知・公表の際にも、初期対応と同様に情報を一元的に管理して回答内容に矛盾が生じないようにすることが重要です。
特に漏洩を公表する際には、対外的な窓口を一本化し、公表の内容と問い合わせや取材に対する回答の内容に齟齬が生じないようにしましょう。
また、再発防止策の検討には、特にどのような経緯で漏洩したのか（Why、How）についての詳しい情報が必要不可欠であるため、二次被害の防止策と並行して、より綿密な調査・分析を実施することが重要です。