はい。
個人情報保護委員会への報告が義務付けられている4類型のいずれかに該当する漏洩が発生した場合には、漏洩の対象となったご本人に対して通知を行わなければなりません。（個人情報保護法26条2項本文）
クレジットカード番号を含む個人情報の漏洩については、「不正に利用されることにより財産的被害が生じるおそれがある個人情報の漏洩等」に該当しますから、個人情報保護委員会への報告が義務付けれらます。
そのため、漏洩の対象となったお客様に対する本人通知の義務も発生することになります。
個人情報保護委員会への報告が義務付けられている類型についての詳しい説明は、3.個人情報の漏洩についての当局報告の記事を参照してください。

委託先で個人情報が漏洩した場合には、委託先と委託元の両方が通知義務を負うのが原則です。
ただし、例外として、委託元に委託先が通知したときは、委託先は、本人への通知義務を免除されます。
上記のルールの詳細は、当局報告と同じです。詳しい説明は、3.個人情報の漏洩についての当局報告の記事を参照してください。

本人へ通知すべき事項は、以下の5項目です。（施行規則10条）
個人情報保護委員会への当局報告事項9項目のうち5項目が本人通知事項にも含まれる、という関係になっています。

1. 概要
2. 漏洩等が発生し、または発生したおそれがある個人情報の項目
3. 原因
4. 二次被害またはそのおそれの有無及びその内容
5. その他参考となる事項

（参照：施行規則8条、10条、ガイドライン（通則編）3-5-4-3）

「その他参考となる事項」とは、本人への通知を補うため、本人にとって参考となる事項のことです。
例えば、本人が二次被害から自分の権利利益を保護するために執ることができる措置が考えられます。
架空請求や不正送金といった二次被害が考えられる場合には、具体的な手口と二次被害の予防策などを説明するとよいでしょう。

いいえ、そうとは限りません。
本人への通知は、「本人の権利利益を保護するために必要な範囲において」行うこととされています。（施行規則10条）
例えば、個人情報保護委員会に報告した詳細な内容をそのまま通知するのではなく、必要な内容を抽出して、本人に関係する内容のみを通知することが有効です。
とりわけ、今日では、通知した事項がそのままインターネットやSNS上で拡散されることを前提とした対応が求められます。
文章の表現には細心の注意を払い、その時点で分かっている事項を正確に記載するように心がけましょう。

本人に対する通知は、漏洩の発生を知った後、事態の状況に応じて速やかに行わなければなりません。（施行規則10条）
具体的に何日以内に通知を行うかについては、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される可能性、本人への通知を行うことで生じる弊害などを総合的に考えて判断するとされており、一律の基準はありません。（ガイドライン（通則編）3-5-4-2）
その時点で通知を行う必要がない場合として、例えば、漏洩の状況がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合が挙げられます。（ガイドライン（通則編）3-5-4-2）

個人情報保護法では方法に関する具体的な指定はありませんが、郵便の送付や電子メールの送信などの方法が一般的です。
一般的には、本人にとって分かりやすい形で通知を行うことが望ましいとされています。（ガイドライン（通則編）3-5-4-4）
口頭で知らせる方法も可能ですが、本人が通知を受けた内容を後から確認できるように、書面や電子メールなども併せて送ることが望ましいとされています。（Q&A6-26）

本人の連絡先を保有していない場合や保有している情報が古いために最新の連絡先が分からない場合など、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められています。（個人情報保護法26条2項但書、ガイドライン（通則編）3-5-4-5）
代替措置としては、(1)事案の公表と、(2)問い合わせ窓口を用意して、その連絡先を公表し、本人が自らの個人情報が対象となっているかどうかを確認できるようにする方法が代表的です。（ガイドライン（通則編）3-5-4-5）

お客様へのお詫びを添えて通知をすることを検討しましょう。
企業として情報管理に不十分な点があったのであれば、率直に謝罪・お詫びをお伝えし、お客様の信頼を損なう程度を最小限に抑えるように努めることが企業の社会的責任に応える対応であると言えます。

お詫びをお伝えする際は、何に対してお詫びをしているのかを明確にすることが重要です。
その時点で判明している事実関係を同時に説明し、どのような点に企業としての対応不足があったかを率直にお伝えするようにしましょう。
特に、外部からの不正アクセスの事案では、企業も被害者であるという一面がありますが、そのような心情がにじみ出た文書を発信してしまうと、お客様に不安を与えたり、被害感情を悪化させたりすることにつながりかねません。
お客様がどのように受け止めるかを多角的に想像して文章を作成するようにしましょう。

謝罪・お詫びをお伝えすることは、必ずしも漏洩を発生させた企業に法的な責任があることを認めたことにはなりません。
お客様の心情に配慮しながらの対応にはなりますが、場合によっては、謝罪とは別に法的な責任があるかについても見解を示すことが考えられます。
また、法的責任追及については、有識者による検討委員会を立ち上げて別途時間をかけて検討する、という対応方針も考えられます。

大規模な個人情報漏洩の場合には、本人への通知と謝罪に加えて、お詫びとして金券などを送付する事例が時折あります。
具体的な金額としては、500円から1000円程度の金券を配布する事例が多いです。
また、サービス料金の減額や商品の無償提供といったお詫びの方法も考えられます。

金券の配布による効果としては、被害を受けた方々の怒りを鎮め、企業の信頼を回復することが期待できます。
金額を適切に設定すれば、被害を受けたお客様によるクレームや訴訟提起のリスクを減らす効果も期待できます。
他方、その弊害として、送付する金額が少なすぎると、かえってクレームを激化させることもあり得ます。
また、漏洩対象者が多数となる場合は、多額の費用負担が支出になるのも課題です。
金券の配布を行うかどうかは、漏洩事案ごとに慎重に検討するようにしましょう。