問い合わせフォームから個人情報が漏れたら：報告義務と初動

ホームページが改ざんされ、問い合わせフォームに入力された内容が外部に送られていたかもしれない。会員ページの設定の誤りで、ほかの人の情報が見える状態になっていた。資料請求の受付の一覧を、誤って公開の場所に置いていた。こうした事態に気づいたとき、何から手をつければよいかを知っている担当者は多くありません。

この記事は、ホームページの問い合わせフォームや資料請求、会員ページで個人情報を扱っている会社の担当者向けに、漏えいに気づいたときの初動と、報告・通知の考え方を整理します。法律の判断が必要な部分は、個人情報保護委員会の案内や弁護士に確認してください。結論を先に言うと、最初の数日の行動が、被害の大きさと、取引先や顧客からの信頼を左右します。「確かになってから動く」のではなく、「おそれ」の段階で動き始めることが大切です。

ホームページで起きやすい漏えいの例

ホームページに関わる個人情報の漏えいは、攻撃によるものと、設定や操作の誤りによるものに分けられます。

いずれも、個人情報の「漏えい」や、外部に見られた「おそれ」がある状態です。実際に誰かが見たかどうか分からない場合も、見られる状態にあったなら、漏えいのおそれとして扱います。「たぶん大丈夫だろう」と判断を先送りすると、報告の期限に間に合わなくなることがあります。

気づいたときの初動（最初の24時間）

漏えいのおそれに気づいたら、次の順で動きます。誰が判断し、誰に連絡するかは、平時に決めておくのが理想です。夜間や休日に気づいた場合でも連絡がつくよう、緊急の連絡先を複数用意しておきます。

1. 被害の拡大を止める: フォームを一時的に止める、公開されていたファイルを非公開にする、不正なアカウントを止める、必要ならサイト全体を一時的に止めます。
2. 記録を残す: 気づいた日時、見つけた状態の画面の写真、関係するファイルやログを保全します。原因の調査のために、勝手に消したり上書きしたりしないよう注意します。
3. 社内の責任者に連絡する: 経営者と、個人情報の管理の責任者に知らせ、対応の体制を決めます。
4. 制作会社や保守の会社に連絡する: 原因の調査と、サーバーのログの確認を依頼します。
5. パスワードを変える: 管理画面、サーバー、関連するサービスのパスワードを変更し、不明なアカウントがないか確かめます。

初動でやってはいけないこと

• すぐにサーバーを初期化する: 原因を調べるための記録が消え、どこから入られたか分からなくなります。
• 一人で抱え込む: 報告の期限があるため、気づいた人が一人で調べ続けると、対応が遅れます。
• 確かでないことを外部に話す: 取引先や顧客への説明は、事実が分かった範囲で、窓口を一つにして行います。
• バックアップから戻して終わりにする: 弱点を直さないまま戻すと、同じ被害が繰り返されます。

ホームページが改ざんされていた場合の技術的な初動はホームページ改ざん・WordPress乗っ取りの対処で詳しく解説しています。

個人情報保護委員会への報告が必要な4つのケース

個人情報保護法では、2022年4月1日から、個人の権利や利益を害するおそれが大きい漏えいについて、個人情報保護委員会への報告と本人への通知が義務になっています。個人情報保護委員会の案内によると、報告の対象は次の4つです。

ホームページの改ざんや不正アクセスによる漏えいは、3つ目の「不正な目的によるおそれ」に当たる可能性が高く、件数が少なくても報告の対象になりえます。判断に迷う場合は、報告が必要なものとして準備を進め、個人情報保護委員会に相談します。

報告の期限と方法

個人情報保護委員会の漏えい等の対応の案内によると、報告は2段階で行います。

報告は、個人情報保護委員会のウェブサイトの漏えい等報告フォームから行います。業種によっては、報告の窓口が所管の省庁になっていることがあるため、案内で確認してください。速報の段階では、すべてが分かっている必要はありません。分かっていない項目は「調査中」として、確報で補います。報告の作業と原因の調査は並行して進めることになるため、報告の担当と調査の窓口を分けておくと混乱を防げます。

本人への通知と、公表の考え方

報告の対象になる事態では、本人への通知も必要です。事態の状況に応じて速やかに、漏えいの概要、漏えいした情報の項目、原因などを、本人に分かりやすい方法で伝えます。通知の方法は、メールや郵送などです。連絡先が分からないなど通知が難しい場合は、ホームページでの公表や問い合わせの窓口を設けるといった代わりの措置が認められています。

• 通知の文面には、何が起きたか、どの情報が対象か、本人に考えられる影響と取ってほしい行動（パスワードの変更、不審なメールへの注意など）、問い合わせの窓口を書きます。
• ホームページで公表する場合は、トップページから分かる場所にお知らせを置き、続報の予定も書きます。
• 取引先の情報が含まれていた場合は、取引先への説明も並行して行います。取引先との契約に、事故時の報告の期限が定められていないかも確認します。

通知の文面に入れる項目

文面は、事実が分かっている範囲で、言い訳や推測を交えずに書きます。法律の判断が必要な表現は、弁護士に確認してから出すと安心です。

原因の調査と再発防止

確報では、原因と再発防止策を示す必要があります。ホームページが原因の場合は、制作会社や保守の会社と協力して、次の点を調べます。

• どこから入られたか（CMSや拡張機能の脆弱性、管理画面のパスワード、サーバーの設定など）。
• いつからいつまで、どの情報が影響を受けたか。
• 同じ弱点がほかに残っていないか。

調査を外部の専門会社に頼む場合

被害の範囲が大きい、原因が分からない、取引先への説明に第三者の調査結果が必要、という場合は、デジタルフォレンジック（記録の解析）の専門会社に調査を依頼する方法があります。IPAは、経済産業省の基準に適合したサービスの一覧を公開しており、その中にデジタルフォレンジックの区分もあります。調査を頼む場合も、それまでに保全した記録が役に立ちます。

再発防止では、CMSと拡張機能の更新、管理画面の保護、不要な個人情報をサイトに保存しない設計、定期的な点検を組み合わせます。対策の優先順位はWordPressのセキュリティ対策チェックリストでまとめています。

平時に準備しておくこと

漏えいへの対応は、平時の準備で大きく変わります。次の5つを、今のうちに整えておくことをおすすめします。

フォームで受け取る情報を必要最小限にすることは、漏えいしたときの影響を小さくする一番の方法です。項目の見直しは問い合わせフォームの項目の決め方、プライバシーポリシーの整え方はプライバシーポリシーの書き方で紹介しています。

よくあるご質問

実際に見られたかどうか分からない場合も、報告が必要ですか？

報告の対象には、漏えいが発生した場合だけでなく、そのおそれがある場合も含まれます。外から見られる状態にあった、改ざんで送信先が変えられていた、という場合は、おそれがあるものとして検討します。

件数が数件でも報告が必要ですか？

1,000人を超えるかどうかは4つのケースの一つにすぎません。要配慮個人情報が含まれる、財産的な被害のおそれがある、不正な目的によるおそれがある場合は、件数が少なくても対象になりえます。

制作会社のミスが原因でも、報告するのは自社ですか？

個人情報を取り扱う事業者として、報告と通知の責任を負うのは原則として自社です。委託先の制作会社や保守の会社には、原因の調査と情報の提供で協力してもらいます。この協力を契約で決めておくと、いざというときに動きが早くなります。

フォームのメールが誤送信されただけでも対象ですか？

誤送信も漏えいに当たります。報告の要否は、含まれる情報の内容と件数、4つのケースに当たるかで判断します。

報告した内容は公表されますか？

報告そのものが自動的に公表されるわけではありませんが、事案の内容によっては、本人への通知に代えてホームページでの公表を行う場合があります。公表するかどうか、どこまで書くかは、影響の大きさと本人への連絡の手段を踏まえて判断します。

保険で備えることはできますか？

サイバー保険など、調査の費用や損害賠償に備える保険があります。補償の範囲と、加入の条件（対策の状況の申告など）を確認して検討します。保険会社によっては、事故時の相談窓口を用意していることもあります。

漏えいへの備えと対策を任せる場合

フェニックスデザインでは、ホームページの更新と監視、バックアップ、フォームの設計の見直し、事故時の初動の支援まで、個人情報を扱うサイトの保守を担当しています。対応範囲はWEBサイトのセキュリティ対策のページをご覧ください。

まとめ

• 漏えいのおそれに気づいたら、被害の拡大を止め、記録を残し、責任者と制作会社・保守の会社に連絡します。
• 要配慮個人情報、財産的な被害のおそれ、不正な目的のおそれ、1,000人超のいずれかに当たれば、個人情報保護委員会への報告と本人への通知が必要です。
• 速報はおおむね3〜5日以内、確報は30日以内（不正な目的のおそれは60日以内）です。
• ホームページの改ざんによる漏えいは、件数が少なくても報告の対象になりえます。
• 扱う情報の一覧、連絡体制、保存しない設計、ログとバックアップ、通知の下書きを平時に準備します。
• 初動では、サーバーをすぐに初期化しない、一人で抱え込まない、バックアップから戻して終わりにしないことに注意します。