本人通知は、会社の責任を認めるだけの文書ではありません。対象者が二次被害を避けるために、何が起き、どの情報が関係し、何をすべきかを分かりやすく伝えるものです。個人情報保護委員会への確報期限である30日・60日を、そのまま本人通知の期限に流用してはいけません。報告対象事態では、状況に応じて速やかな通知が必要です。 最初に確認する3点 誰に何が漏れたか：対象者ごとの情報項目を確認し、全員に同じ最大範囲を通知して新たな混乱を生まないようにします。 本人が直ちに取る行動は何か：認証変更、カード会社への連絡など、情報項目に対応した具体策を優先します。 何が未確認か：原因や不正利用を断定せず、確認済みの事実、調査中の事項、次回更新時期を分けます。 対応を整理する4つの視点 01 本人への影響 対象項目と二次被害を整理 02 通知の時期 状況に応じて速やかに 03 説明を確認 確定・未確認を分ける 04 宛先を点検 通知自体の誤送信を防ぐ 並行して検討する項目もあります。個別事情に応じて順序と担当を確認します。 通知対象者管理表に残す項目 通知文案だけでなく、宛先データと送付結果を別の担当者が確認できる記録にします。 対象者ID、対象情報項目、必要な注意事項 通知方法、送付先の確認根拠、承認者 送付日時、送付結果、不達・再送の履歴 問い合わせ番号と本人確認方法 文案の版、更新理由、次回案内予定 通知に入れる情報と、調査中の書き方 法令上は、概要、漏えい等した個人データの項目、原因、二次被害又はそのおそれ、その他参考事項について、本人の権利利益を保護するために必要な範囲で通知します。本人ごとに対象項目が違うなら、その人に関係する内容に絞ることも考えられます。 全容が未判明でも、確認済み事実、調査中の事項、次回更新予定を分ければ通知できます。『可能性はありません』と断定した後で追加判明すると信頼を大きく損ないます。攻撃手法の詳細や第三者の個人情報など、かえって被害を広げる情報は必要性を検討します。 発生又は判明した事態の概要 本人に関係する情報項目 現時点で分かる原因と影響 本人が取れる対策と会社の支援 問い合わせ窓口、受付時間、更新方法 状況が整理できていなくても相談できます 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 個別通知、公表、代替措置を設計する 通知は郵送や電子メールなど、本人が認識できる合理的かつ適切な方法で行います。連絡先がない、古いなど通知が困難な場合は、事案の公表や、本人が対象か確認できる窓口などの代替措置を検討します。単にウェブサイトへ掲載すれば全ての個別通知に代わるわけではありません。 公表は二次被害防止や類似事案防止にも役立ちますが、早すぎる断定、対象者より先の報道発表、毎回変わる人数、問い合わせ窓口の未整備は混乱を招きます。対象者向け通知、ウェブ公表、取引先説明、社内FAQの数字と表現を同じ事実表から作ります。AIで文案や想定質問を整理する場合も、入力する個人情報を最小化し、法務と事実担当が原資料に照合します。 対象者への到達性を優先する 件名だけで過度な不安や個人情報を露出しない フィッシングと区別できる公式確認方法を示す 更新履歴を残し、過去の公表文も整合させる 窓口担当へ回答範囲とエスカレーション基準を渡す 報告・通知の判断を会社任せにしないために 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 謝罪・通知文例（架空の例） 以下は架空の例です。実際の事故にそのまま使用せず、事実と対象者ごとの内容に合わせてください。 『このたび、当社が利用する業務用共有領域の設定不備により、お客様の氏名、連絡先及び申込内容が第三者から閲覧可能な状態であったことが判明しました。対象期間は調査中ですが、現在は外部からのアクセスを停止しています。現時点で不正利用は確認されていませんが、今後、不審な連絡を受けた場合は返信やリンクの操作をせず、下記窓口へご連絡ください。お客様にご心配とご迷惑をおかけすることを深くお詫び申し上げます。新たな事実が判明した場合は、当社ウェブサイト及び個別のご連絡によりお知らせします。』 謝罪文では、未確認なのに『流出しました』又は『被害はありません』と確定させないことが大切です。他方、曖昧語だけで何の情報が対象かを隠すと、本人は対策を取れません。 事故の時系列と確定した対象範囲 通知対象者の抽出根拠 公表・通知・FAQの各原稿 問い合わせ窓口の体制と記録様式 本人が利用できる具体的な防御策 AIと保険も含めて対応を確認したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 本人ごとに異なる情報項目を正確に通知する 同じ事故でも、ある本人は氏名とメールアドレス、別の本人は住所や申込内容まで対象ということがあります。全員へ最大範囲を一律通知すると、対象でない情報まで漏えいしたと誤解させ、不要な不安と問い合わせを招きます。反対に共通項目だけを通知すると、必要な防御策を取れない人が出ます。 対象者名簿に、本人識別子、漏えい項目、推奨対策、通知手段、送付結果を持たせ、通知文へ差し込む前後で照合します。本人ごとに内容を変える場合は、別人の情報を誤挿入する二次事故を防ぐため、抽出条件のテスト、件数照合、サンプル確認、送信直前の承認を行います。 本人別の対象項目表 項目に対応する防御策 抽出件数と送信件数の照合 差込結果のサンプル確認 契約と責任の整理が必要な方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 通知作業そのものによる誤通知を防ぐ 大量の通知では、宛先ずれ、封入ミス、To送信、古い住所への発送が新たな漏えいを生むおそれがあります。テスト送信に実在者の情報を使わず、メールは配信機能と抑制リスト、郵送は宛名と封入物の照合、電話は本人確認の質問範囲を事前に定めます。 なりすまし通知と区別できるよう、会社が通知で求めない情報や支払い、公式サイトでの確認方法を示します。ただし通知メールから安易にログインリンクへ誘導するとフィッシングに似るため、公式サイトの探し方や代表窓口も併記します。誤送付や不達は件数と原因を記録し、対象者への再通知を判断します。 実データを使わない配信テスト 宛先・封入物・差込項目の照合 不達・重複・誤送付の管理 なりすまし防止の公式確認方法 予防と再発防止を相談したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 よくある質問 本人通知は確報後でよいですか。 一律にはいえません。本人通知は事態の状況に応じて速やかに行う必要があります。調査中でも二次被害防止に必要な事項を先に伝え、追って更新することを検討します。 連絡先がない人には何もしなくてよいですか。 通知が困難な場合には、公表や確認窓口など本人の権利利益を守る代替措置が必要です。 『不正利用は確認されていない』と書いてよいですか。 確認範囲、確認時点、ログの限界を踏まえて事実なら記載できます。『今後も被害はない』という意味に読まれないよう、注意事項と更新方針を添えます。 関連する対応 個人情報漏えいが発覚した直後にすること｜初動・証拠保全・社内分担 個人情報漏えいの報告義務｜4類型・速報と確報・委託先の例外 個人情報をメールで誤送信・誤添付したときの対応｜共有リンクの事故も解説 生成AIへの誤入力の会社対応 委託先監督義務と情報の管理 参考資料 個人情報保護法ガイドライン（通則編） 漏えい等の対応とお役立ち資料 監修確認用の下書き 監修候補：和氣良浩弁護士（弁護士法人ブライト）。監修完了前の確認原稿です。 弁護士紹介を見る 個別の状況を相談する 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。
