壹岐 晋大今回の経営法務のテーマでもありますが、今は個人情報漏えいのニュースがない日がないくらい、日々不正アクセスにより個人情報が漏れ続けています。
ユーザーとしても対策が必要なので、パスワード管理ツールを導入し、パスワードを簡単なものから複雑なものに変更し、パスキーや二段階認証なども順次設定していきました。
また、メールアドレスも一つのアドレスではなく、サービス毎に１つのアドレスを発行するようにしました（異なるアドレスでも一つのメールで管理できるサービスがあります。）。
パスワード管理ツールのメリットは、強固なパスワード設定をしても、全てのサービスのID（メールアドレス）、PWを覚える必要がないことです。
ユーザーの立場としても、情報漏えいのリスクがあるという前提での対策が必要になってきています。
最近、不正アクセスによる情報漏洩のニュースが後を絶ちません。
PHPのセキュリティ上の脆弱性の問題の際も、対応を余儀なくされた事業者の方も多いのではないでしょうか。
ランサムウェア被害、従業員による顧客名簿の持ち出し、メールの宛先間違い。個人情報の漏えいは、規模の大小を問わずどの会社でも起こり得ます。
むしろ、専任の担当者がいない中小企業ほど「何をすればいいのかわからない」まま時間が過ぎてしまいがちです。
今回は、漏えいが起きたときに法律上求められることに絞って、お伝えします。
次のいずれかに当たる漏えい等が発生した場合（発生した「おそれ」がある場合を含みます）は、個人情報保護委員会への報告が義務付けられています。
注意すべきなのは、①〜③は、たとえ1人分でも対象になる点です。
「数件だから大丈夫」とはなりません。
速報の時点では、全容がわからなくても判明している範囲で報告すれば足ります。
「調べ終わってから」では間に合いません。
上記の報告対象となる場合には、本人への通知も必要です。
漏えいした情報の項目、原因、二次被害のおそれなどを、状況に応じて速やかに伝えます。
連絡先がわからない等で通知が困難な場合は、ホームページでの公表と問い合わせ窓口の設置などの代替措置をとります。
タイムズカーに登録されている方など、漏洩先からメールが来た方もいるのではないでしょうか？これが本人への通知です。（私は既に相当前に退会していましたが、タイムズカーから通知が来ました。）
これらの義務に違反すると、委員会から勧告・命令を受け、命令に従わない場合は罰則の対象にもなります。
2026年7月17日に改正個人情報保護法が公布され、施行は公布から2年以内に政令で定める日とされています（罰則規定は2027年1月17日施行）。
改正項目には、漏えい時の本人通知義務の緩和（※漏洩した情報単体だけでは意味を持たない情報の漏洩のケースなどにおいて本人通知義務を課さないとする等）が含まれています。
法律上の報告・通知と並行して、次の点も検討が必要です。
漏えい対応は「起きてから考える」では間に合いません。
まずは、誰に連絡し、誰が判断するかだけでも社内で決めておくことをお勧めします。
万一の際は、早い段階で弁護士にご相談ください。
なお、個人的には企業が個人情報を不必要に取得しすぎていると思います。
どのような目的に使うのかなどによって、個人情報をどこまで取得するのか（特に要配慮情報や財産的被害が発生しうる情報を取得する必要があるのかどうか）、いつまで扱うのかについて、個人情報取扱事業者として考える時期に来ているように思います。
