美容室のスタッフが顧客120人分の予約リストを添付したメールを、まったく別の取引先に誤送信してしまいました。
気づいたオーナーが最初に考えたのは、「送信先に電話して謝らなければ」「お客様全員にお詫びの連絡を」ということでした。
気持ちとしては、それが自然だと思います。ただ法律上の順番は違います。
正しくは「止める・調べる・報告する」が先です。
個人情報の漏えいは、個人事業主でも、件数が少なくても、国への報告が義務になる場合があります。
この記事では、その日に何をどの順でやるのかを整理します。
小さな会社・個人事業主でも「報告義務」はあります
「5,000人分以下なら対象外」は昔の話です
まず、自分が対象かどうかです。
法律上、義務を負うのは「個人情報取扱事業者」です。
個人情報保護法第16条第2項は、これを「個人情報データベース等を事業の用に供している者」と定めています。
国の機関や地方公共団体などは除かれますが、それ以外は広く対象です。
ここで押さえていただきたいのは次の3点です。
- 法人格は問いません。 個人事業主も、法人格のない団体も対象になります
- 営利・非営利も問いません
- 件数の要件はありません。 個人情報保護委員会のガイドラインは「特定の個人の数の多寡にかかわらず」該当するとしています
かつては「取り扱う個人情報が5,000人分以下の事業者は対象外」という扱いがありましたが、これは法改正で撤廃され、現在は存在しません。
顧客台帳、予約リスト、会員名簿、ネット注文の履歴。
こうしたものを仕事で繰り返し使っていれば、個人事業主の美容室でも家族経営の旅館でも対象です。
報告が必要になる4つの場合
漏えいが起きたからといって、常に報告が必要なわけではありません。
個人情報保護委員会は、報告が必要になる場合を4つの類型で示しています（いずれも「漏えい等が発生した、または発生したおそれがある」場合です）。
| 類型 | 内容 | 身近な例 |
|---|---|---|
| ① 要配慮個人情報 | 病歴・健康診断結果など、配慮を要する情報を含む | 美容室・エステのカウンセリングシートに既往歴やアレルギーの記載がある |
| ② 財産的被害のおそれ | 不正に使われると財産的な被害が生じうる情報 | ネット注文のクレジットカード番号 |
| ③ 不正の目的による行為 | 不正アクセス、ランサムウェア、盗難、内部不正など | 自社サイトの改ざん、ノートPCの車上荒らし |
| ④ 1,000人超 | 漏えいした本人の数が1,000人を超える | 顧客名簿の一括流出 |
「漏えい等」には、外部に漏れること（漏えい）のほか、データが失われること（滅失）、内容が壊れること（毀損）も含まれます。
注意していただきたいのは、①②③には件数の下限がないことです。
冒頭の美容室の例で言えば、予約リストが氏名と電話番号だけなら120人分でも④には当たりません。
しかしカウンセリング欄にアレルギーや既往歴が書かれていれば、①に当たって1人分でも報告対象になりえます。
自社のケースがどれに当たるかは、情報の中身によって変わります。
迷ったら自己判断せず、後述の窓口に相談してください。
自社サイトのフォームが改ざんされた場合も対象です
見落とされやすいのが、ウェブスキミングと呼ばれる手口です。
これは、ECサイトなどの入力フォームを改ざんし、お客様が入力したカード情報を自社のデータベースに届く前に抜き取る攻撃です。
自社に保存されていないのだから関係ない、と思われるかもしれません。
ところが2024年4月1日施行の規則改正により、③の対象に「取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が加えられました。
つまりデータベースに入る前に抜かれた情報も、報告対象になります。
自社サイトで注文を受けている洋菓子店なら、これは他人事ではありません。
サイトの保守体制そのものが、漏えい対策の一部だということです。
その日にやること ― 謝る前に「止める・調べる」
事故の種類別・最初の一手
IPA（情報処理推進機構）が中小企業向けに示している手引きでは、最初にやることが事故の種類ごとに整理されています。
| 事故 | 最初にやること |
|---|---|
| 不正アクセス | 直ちにネットワークから切り離し、サービスを停止する |
| カード情報・アカウント情報の流出 | カード会社へ連絡、アカウントを停止する |
| メールの誤送信 | 送信先に連絡し、受信したデータの削除を依頼する |
| Webでの誤公開 | 直ちに削除、またはアクセスを制限する |
| 内部不正 | アクセスを制限し、使用PCを確保して証跡を保存する |
共通しているのは「まず広がるのを止める」ことです。
冒頭の美容室であれば、お客様への謝罪より先に誤送信先に削除を依頼するのが正しい順番になります。
記録を消さないでください
技術的なことは専門家に任せて構わないのですが、経営者が知っておくべき原則がひとつあります。
調査のための記録を消さないことです。
不正アクセスが疑われるとき、「とりあえず電源を切ろう」「怪しいファイルを削除しよう」「サーバーを作り直そう」としてしまうと、何が、いつ、どれだけ漏れたのかを後から調べられなくなります。
後述する報告では「漏えいした情報の項目」「本人の数」「原因」を伝えることになります。
記録を消してしまうと、ここが「不明」だらけになり、対応も説明も難しくなります。
機器の電源を落とす必要がある場合もありますが、判断は保守業者やセキュリティの専門家に確認してからにしてください。
何が・何件・誰の情報かを書き出す
止めたら、次は事実の整理です。
紙でもメモアプリでも構いません。
- いつ起きたか／いつ気づいたか
- 漏れたのはどの情報か（氏名、住所、電話番号、カード情報、健康に関する情報など）
- 何人分か
- 原因として考えられること
- 誰に、どこまで伝えたか
この5点が、そのまま報告の材料になります。
時系列のメモを残しておくことが、後の自社を守ります。
国への報告と本人への通知
速報は「速やかに」、確報は30日以内です
報告は2段階です。個人情報保護委員会は次のように案内しています。
| 段階 | 期限 |
|---|---|
| 速報 | 発覚後、速やかに（目安は発覚日から3〜5日以内） |
| 確報 | 発覚日から30日以内 |
| 確報（③不正の目的による場合） | 発覚日から60日以内 |
速報の段階では、分かっていることだけで構いません。
すべて調べ終わってから報告するのではなく、まず第一報を入れるという順番です。
よくある誤解として、EUのGDPR（一般データ保護規則）の「72時間以内」と混同されることがあります。
日本の制度では速報は「速やかに」で、目安は3〜5日とされています。
別の制度ですので、混ぜないようご注意ください。
報告は委員会のWebフォームから行います
報告は、個人情報保護委員会の漏えい等報告フォームから行います。
フォームは内容によって分かれており、マイナンバーを含む場合（または含むかどうか不明な場合）、行政機関等、それ以外の民間事業者、という区分があります。
また、法律で権限が委任されている業種に該当する場合は、委任先の省庁へ報告することになります。
ランサムウェアなどのサイバー攻撃事案については、共通様式をメールで提出する方法も用意されています。
どのフォームを使うべきか分からない場合も含め、個人情報保護委員会に問い合わせてください。
自己判断で「報告不要」と決めてしまうのが、いちばん避けたい対応です。
本人への通知も必要です
委員会への報告とは別に、漏えいの対象となったご本人への通知も法律上求められています。
通知が困難な場合に代替の措置をとる方法など、例外的な取扱いも定められています。
実務的には、ここで初めて「お客様へのお詫びと説明」が出てきます。
つまり謝罪が不要なのではなく、順番が後ろなのです。
何がどこまで漏れたのかを把握してからでなければ、お客様に正確な説明ができません。
判断に迷ったら相談してください
報告が必要かどうかの判断は、情報の中身や状況によって変わります。
この記事は制度の説明であり、個別の判断の代わりにはなりません。
迷ったときの相談先を挙げておきます。
- 個人情報保護委員会（報告の要否、フォームの選択）
- 弁護士（法的責任、取引先との関係、賠償の問題）
- IPAの企業・組織向けのセキュリティ相談窓口（技術的な相談）
- JPCERTコーディネーションセンター（インシデント対応の相談）
- 警察（犯罪の疑いがある場合。全国共通の警察相談専用電話 #9110。緊急時は110番）
大分県警にもサイバー犯罪に関する相談の窓口があります。
連絡先は県警の公式サイトでご確認ください。
漏れる前に今日やっておくこと
「その日の連絡先リスト」をA4一枚に
事故は、たいてい平日の昼間には起きません。
金曜の夜や連休中に気づくことのほうが多いのです。
そのときに探さずに済むよう、次の連絡先を1枚の紙にまとめて、印刷して保管してください。
パソコンの中だけに置くと、そのパソコンが使えないときに困ります。
- サーバー会社・レンタルサーバーのサポート窓口
- ホームページの制作会社・保守業者
- 社内システムの保守業者
- カード決済の会社
- 個人情報保護委員会
- 顧問の士業（弁護士・税理士など）
- 警察の相談窓口
誰が判断するかを決めておく
小さな会社ほど、「サービスを止めるかどうか」を誰が決めるのかが曖昧です。
ネット注文を止めれば売上が止まります。
現場のスタッフには判断できません。
経営者が決めることだと、あらかじめ決めておいてください。
そして経営者が不在のときは誰が代わるのかも。
これを決めておくだけで、初動の数時間が変わります。
バックアップと、サイバー保険という選択肢
データが壊された場合に戻せるかどうかは、バックアップの有無で決まります。
取っているつもりでも復元を試したことがないというケースは多いので、一度確認しておいてください。
もうひとつ、サイバー保険という選択肢もあります。
事故が起きたときの調査費用、お客様への通知や問い合わせ対応の費用や損害賠償などを補償するもので、損害保険各社が中小企業向けの商品を扱っています。
IPAが基準を定めた「サイバーセキュリティお助け隊サービス」のように、相談窓口・監視・初動支援・簡易な保険をまとめて提供する仕組みもあります。
補償の範囲や費用は商品によって異なりますので、必要性とあわせてご検討ください。
まとめ
個人情報が漏れたときに、経営者が覚えておくべきことは3つです。
- 個人事業主でも、件数が少なくても、報告義務の対象になりうる（件数要件は撤廃されています）
- 順番は「止める・調べる・報告する」。謝罪はその後。記録を消さないこと
- 速報は速やかに（目安3〜5日）、確報は30日以内（不正目的の場合は60日以内）
そして何より、事故が起きてからこの記事を探すことにならないよう、連絡先リストだけでも今日つくっておいてください。
費用はかかりません。
法改正についての注意
2026年7月10日に個人情報保護法の改正法が成立し、同年7月17日に公布されました。
ただし施行はこれからで、具体的な時期や内容は今後の政令・規則等で定められます。
本記事は2026年10月27日時点の現行ルールにもとづいています。
制度は改正の時期によって変わりますので、最新の内容は個人情報保護委員会の公式サイトでご確認ください。
なお、私は弁護士ではありません。
本記事は制度の説明であり、法的な助言ではありません。
個別の判断は、個人情報保護委員会や弁護士にご相談ください。
事前の備え——連絡先リストの作成、社内ルールづくり、サイトの保守体制の点検——についてのご相談は承っています。
初回相談は無料です。
