メルマガポータル
薬事法ドットコム社主、エグゼクティブ戦略顧問
の林田です（元政府委員・元弁護士）。
今日は、最近頻発している、サイバー攻撃 →
情報漏洩に関するQ&Aです。
Q．当社で契約しているメール配信システム
「アララメッセージ」にサイバー攻撃があり
（＞「アララメッセージ」への不正アクセスに
関するお詫びと今後の対応について）、当社が
委託しているメールアドレスのみ10万件が漏
洩しました。
（あ）当社には何の過失もないのですが、個人
情報保護委員会に報告しなければいけないの
でしょうか？
（い）お客様に通知しなければいけないのでし
ょうか？
お客様に通知すると、「メールアドレスの削除
依頼」やそもそもの「個人情報削除依頼」が来
ると思われます。
回避策はないのでしょうか？
A．１．（あ）について
（１）個人情報保護委員会のQ&Aでは、「個人
情報保護委員会への報告については、原則とし
て委託元と委託先の双方が報告する義務を負い
ます。この場合、委託元及び委託先の連名で報
告することができます。」とされています
（＞委託先において個人データが漏えいしてし
まった場合の対応はどのようにすればよいでし
ょうか。｜個人情報保護委員会）。
よって、アララ社に連名で報告するように依頼
するのがよいでしょう。
（２）なお、御社に過失がないことは関係あり
ません。
２．（い）について
（１）個人情報保護委員会は、「委託先の事業者
において、不正アクセスによる個人データの漏
えい等が生じ、当該個人データがダークウェブ
に掲載されたおそれがある。
委託元の事業者は、委託先の事業者とともに、
当該事態が生じたことについて、本人への通知
を行う必要があるか。」というQ&Aにおいて、
委託元＝御社には原則本人通知義務がある、
としています（＞Q&A）。
（２）なお、個人情報保護法26条2項には、
「本人への通知が困難である場合は、本人の権
利利益を保護するために必要な代替措置を講ず
ることが認められる。」という例外規定があり
ます。
個人情報保護委員会のガイドライン3-5-4-5で
は、代替措置として、HPにおける事案の公表
や問い合わせ窓口の設置を例示しています。
ただし、代替措置が認められるためには、まず
「本人への通知が困難」という要件を満たす必
要があります。
ガイドラインが挙げているのは、本人の連絡先
を保有していない場合や、連絡先が古く通知で
きない場合などです。
今回の場合、漏えいした情報そのものがメール
アドレスなので、メール送信手段が確保できれ
ば本人に通知することは可能です。
したがって、単に「10万人に通知すると配信
停止依頼が増える」という理由では、通知困難
とは評価されないでしょう。
現実に利用できる安全な配信手段がない、対象
者を特定できないなどの事情が必要です。
■いかがでしたか？
漏洩問題でお悩みの方はinfo@yakujihou.com
（問い合わせ窓口）までお問い合わせください。