はじめに

前回は、AIに何を許すかを考え、「止める判断」と「再開する判断」を分けてあらかじめ定めておくことを提案しました（注1）。今回は、この問いをAIに限らない有事に広げます。

情報漏えいが起きたとき、会社が決めなければならないことは多くあります。システムやサービスをどこまで止めるのか。何を確かめたら再開するのか。利用者に何を知らせ、どのような支援をするのか。補償やお詫びをするのか、しないのか。

このうち、停止や被害の拡大の防止、利用者への注意喚起は、調査の途中でも判断しなければなりません。一方、最終的な補償の内容などは、調査の進展を待たなければ決められない場合があります。それでも、利用者に何を案内し、誰が判断を引き受け、次にいつ状況を説明するかは、調査中でも決められます。本稿では、過去の漏えい事案の公表文を比べながら、不確実な有事に、経営が決定と説明をどう進めるかを考えます。

1. 法令上の義務だけでは、対応の範囲や順序は決まらない

個人情報保護法は、一定の漏えいが起きたとき、個人情報保護委員会への報告と、本人への通知を会社に求めています（注2）。報告は、速やかに行う速報と、報告の対象となる事態を知った日から原則30日以内（不正の目的によるおそれがある場合は60日以内）に行う確報の2段階です。これは委員会への報告の期限で、Webでの公表の期限ではありません。本人への通知も、すべての事項が判明するまで待つものではないとされています。

ガイドラインは、このほかに、事業者内部での報告と被害の拡大の防止、事実関係の調査と原因の究明、影響の範囲の特定、再発防止策の検討なども、講ずべき措置として挙げています（注2）。

ただし、これらの義務からは、個々の対応の範囲や順序までは決まりません。どの時点で何を公表するのか。利用者にどのような対策を勧めるのか。再発行などにかかる費用を支援するのか。お詫びの品を渡すのか。こうした判断は、会社に委ねられています。

また、会社が任意に渡すお詫びの品と、法的な損害賠償の責任は別のものです。個人情報の漏えいでは、不法行為にもとづく賠償が問題になり得ます。ベネッセの事案で、最高裁判所は、財産的な損害などの立証がないことだけを理由に請求を退けることはできないとし、プライバシーの侵害による精神的な損害について審理を尽くさせるため、原判決を破棄して大阪高等裁判所に差し戻しています（注3）。

有事に会社が決めることは、法令上の義務、任意の支援やお詫び、法的な責任への対応にまたがります。そして、その順序と時期は、経営が判断しなければなりません。

2. 第一報と、その後の判断は別の時間で進む

2-1. 比較の方法

国内の大規模な漏えい事案のうち、会社の公表文を確認できる5件を比べました。比べたのは、第一報までの経過、漏えいの状況についての説明、補償や支援についての説明、の3点です。

起点となる出来事は、事案によって異なります。顧客からの問い合わせで漏えいの可能性を知った会社、システムの異常を検知した会社、委託先から報告を受けた会社があります。そのため、日数は参考として示すにとどめ、対応の優劣を測る指標にはしていません。

また、公表文で説明されていないことと、社内で判断されていないことは別です。以下の比較は、公表された内容の比較です。

2-2. 第一報の後に、何を示したか

第一報を出した後、各社が示した内容には大きな差があります。

ベネッセは、公表の翌々日から新聞広告でお詫びと対策の状況を伝え、ウェブサイトで毎日進捗を報告すると約束しました（注4）。漏えいが確認された顧客へのお詫びの文書は、公表から5日後に届き始めています。そして7月17日には、「お客様への謝罪に関する方針」の検討を始めたとして、200億円の原資を準備し、謝罪の対応をすると表明しました。方法については、お詫びの品や受講費の減額などを検討しており、漏えいした情報の確定などを待って最終的に決める、としています。具体的な内容を発表したのは、約2か月後の9月10日です。500円分のお詫びの品を用意し、賛同する顧客は、その代わりにベネッセこども基金への寄付を選べる形でした。

具体的な内容が決まる前に、対応する意思と、検討の条件を示した例です。いつ決まるかは示されていなくても、何を待って決めるのかは示されていました。

快活CLUBは、補償しないことを明示しました。Q&Aで、漏えいの可能性がある人への個別の補償は予定していない、と答えています（注6）。アプリ機能の制限に関するお詫びのクーポンとは別に、漏えいについての方針をはっきり示した例です。漏えいは「可能性」の段階で、その後も実際の漏えいや二次被害は確認されていない、と説明しています。

タイムズカーは、補償の全体方針を外部専門機関の調査結果を踏まえて決めるとしており、10月13日に更新されたFAQでも、その説明は変わっていません（注7）。第一興商の公表文は、補償に触れていません（注8）。

この比較から言えるのは、第一報の速さと、その後の判断は別の時間で進む、ということです。第一報が当日に出ても、補償や支援の判断は、調査の進み具合に左右されます。だからこそ、判断が決まらない間に何を示すかが問われます。

3. 判断が決まらない間に、利用者は何を必要とするか

3-1. タイムズカーの事例

タイムズカーの事例は、2026年10月13日時点で進行中です。ここでの記述は、この時点で公表されている情報にもとづきます。

同社の発表によれば、会員情報への不正アクセスにより、退会者を含む会員の情報が漏えいし、その中には運転免許証の画像も含まれていました（注7）。同社は、検知の当日に第一報を出し、続報を重ね、退会者にも個別の案内を始めています。FAQでは、不審な連絡への注意を促し、免許証の画像だけで本人確認ができるかについても説明しています。

3-2. 利用者は、先に動いている

報道によれば、成り済ましを心配した利用者が、運転免許証の再交付を申請する動きが広がりました（注9）。再交付の手数料は利用者が負担しており、そのことへの不満も報じられています。一方で、再交付による成り済ましの抑止の効果は限られる、とも報じられています。集団訴訟への参加を呼びかける動きもあります（注10）。

利用者が再交付を選ぶのは、補償の方針が未定だからとは限りません。方針が示されていても、不安から再交付を選ぶ人はいるでしょう。また、その費用が法的に賠償すべき損害に当たるかどうかは、別の問題です。

それでも、ここから分かることがあります。利用者が動くための情報は、会社の最終判断より先に必要になる、ということです。再交付をするかどうかを決めるとき、利用者が知りたいのは、たとえば次のようなことです。

会社が勧める対策と、その効果と限界。費用の支援を検討しているか、その対象は誰か。後で申請や相談をするために、残しておくべき記録は何か。そして、次にいつ説明が更新されるのか。

費用の支援を、対象と手続きまで具体的に示した例もあります。クレジットカード情報の漏えいのおそれがあった事案で、富士フイルムイメージングシステムズは、カードの再発行の手数料を利用者が負担しないようカード会社に依頼したと説明し、対象者、手続き、すでに再発行した場合の連絡先も案内しました（注11）。ソースネクストも、カード情報の漏えいの事案で、再発行の手数料を会社が負担する方針を示しています（注12）。カードの再発行と運転免許証の再交付は仕組みが異なり、同じようにはできません。また、どちらの会社も、調査の結果やカード会社との連携を待って公表しており、支援が補償などの最終判断より先に行われたかは、これらの資料からは分かりません。これらの事例が示すのは、支援の対象と手続きを具体的に案内できる、ということです。そのうえで本稿は、調査の途中でも可能な支援を検討し、その対象と手続きを示せるようにしておくことを提案します。

補償の方針は、調査が終わるまで決められないかもしれません。しかし、こうした情報が示されていなければ、利用者は、費用負担の見通しが分からないまま、自分で費用を負担して動くかどうかを決めることになります。

3-3. そのデータは、なぜ残っていたのか

同社のFAQは、退会後も情報を保管していた理由を説明しています。氏名、住所、生年月日は税法などにもとづいて7年間、運転免許の情報と画像は、成り済まし対策と問い合わせ対応のために7年間保管していた、というものです（注7）。

法令にもとづく保管と、自社の判断による保管が、分けて説明されています。本シリーズの第1回で考えた「そのデータは、いつまで必要か」という問いは、有事になってから、通知や支援の対象の広さとして返ってきます（注13）。

4. あらかじめ定めておくこと

4-1. 有事に定めておくこと

有事の判断も、シリーズで提案してきた3つの枠組みで整理できます。

4-2. 止める判断と、再開する判断

止める判断は、時間との勝負です。快活CLUBは、不正アクセスを検知すると、ただちにサーバーをネットワークから切り離しています（注6）。その場で判断できるように、止める権限を現場に近い担当者に委ねておく必要があります。

再開は、別の判断として扱います。原因の完全な特定を待つべきかは、事案によって異なります。そのため、再開の条件は、封じ込めができているか、対策は実施されたか、残るリスクは何か、段階的に再開する場合はどの条件で範囲を広げるのか、といった形で定めておきます。快活CLUBは、外部専門機関から調査結果を受け取った後、会員アプリのサービスを10日ほどかけて順次再開しています（注6）。前回、AIについて提案したことと同じく、止める判断と再開を認める判断を分けておくことで、封じ込めや対策、残るリスクを確認しないまま、従来の状態に戻すことを防げます。

4-3. 説明を更新する仕組みと、判断を前に進める仕組み

補償や支援の最終的な判断は、調査の見通しに左右されます。いつまでに決めるかを約束できないこともあります。そこで、最終決定の期限とは別に、2つの仕組みを定めておくことを提案します。

一つ目は、説明を更新する仕組みです。次にいつ説明を更新するのか、何がまだ決まっていないのか、判断に何が必要なのか、調査中にどのような支援をするのかを示します。ベネッセは、毎日進捗を報告すると約束し、原資の規模と「何を待って決めるか」を、具体的な方法より先に示しました。

二つ目は、判断を前に進める仕組みです。説明の期限を守るだけでは、「引き続き調査中です」と伝え続けることもできてしまいます。それでは、判断は前に進みません。未決の判断ごとに、必要な情報を誰が集めるのか、いつ再検討するのかを決め、その時点で決められない場合は、誰に判断を上げるのかを定めておきます。説明を更新する仕組みが利用者への責任だとすれば、判断を前に進める仕組みは、経営が判断を引き受けるための仕組みです。

4-4. 取締役会が確かめること

有事の日々の対応の指揮は、原則として執行側が担います。取締役会は、重要な方針や判断と、その進捗を監督します。そのために、平時の報告を通じて、次の点を確かめておくことができます。

止める判断を誰が持ち、夜間や休日にも連絡がつくか。再開の条件が、段階的な再開を含めて定められているか。支援や補償を判断する機関と、その考え方が決まっているか。有事を想定した訓練で、利用者への説明や支援の判断まで扱っているか。そして、本人確認書類の画像のように、漏えいすれば利用者の負担が大きくなるデータを、どれだけ、いつまで持っているか。

有事が起きた後は、定期報告を待たずに取締役会に報告する条件を定めておきます。未決の判断が再検討の時点を過ぎても決まらない場合は、その理由と見通しを報告の対象にします。

結論

情報漏えいの有事に、法令は報告と本人への通知、そして被害の拡大の防止や原因の究明などを会社に求めています。しかし、どの順序で何を公表し、利用者にどのような支援をし、補償やお詫びをどう判断するかまでは、法令上の義務だけでは決まりません。

5つの事案を比べると、第一報の後に示した内容には大きな差がありました。原資の規模と「何を待って決めるか」を先に示した会社、補償しないと明示した会社、調査結果を待つとしている会社、公表文で触れていない会社があります。

調査が終わるまで決められないことはあります。それでも、利用者に何を案内し、誰が判断を引き受け、次にいつ状況を説明するかは、調査中でも決められます。本稿の提案は、最終決定の期限とは別に、説明を更新する期限と、未決の判断を再検討する時点、そして決められない場合の報告先を、平時に定めておくことです。

次回は、M&Aと事業承継を取り上げます。会社を引き継ぐとき、そこに残っているリスクを、どこまで確かめるのか。シリーズで考えてきた守りの判断を、引き継ぐ側の視点から考えます。

結びに

カタリスは、経営コンサルティングに加えて、事業承継投資を手がけています。会社を引き継ぐとき、私たちはその会社が過去に経験した事故と、そのときの判断も引き継ぎます。有事に誰が止め、誰が再開を認め、利用者に何を説明し、決まらない判断を誰が前に進めるのか。それが平時に定められているかを確かめることは、引き継いだ後の守りの判断の出発点になると、私たちは考えています。