初動対応更新日
#Studioのフォームを使っていたサイトは、PPCへの報告が必要ですか？
Studioのフォームを置いていたというだけで、すべてのサイトに報告義務が生じるわけではありません。報告の対象になるのは、影響を受けた回答に個人データが含まれていて、運営者が個人情報取扱事業者に当たる場合です。
法令上、不正の目的をもって行われた行為による個人データの漏えい等の類型には、人数の下限が定められていません。対象者が1人でも、本人への通知が必要となる場合があります。
ただし、影響範囲は保存設定と削除の時期で変わります。管理画面で「フォームの結果をStudioに保存」の設定を無効にしていた期間に送信された回答や、2026年9月30日より前に完全に削除していた回答データは今回の対象外です。一方で、それ以前に送信されてサーバー上に保存されたままの回答データは対象に入ります。Googleスプレッドシート連携の認証情報への影響は、これとは別に確認が必要です。古い回答も対象になり得ることは、デジタル庁の例を見るとわかります。デジタル庁の公表では、2021年5月から2023年3月までにデジタル庁のホームページの問い合わせフォームへ入力された内容が、漏えいした可能性がある個人情報として挙げられています。この期間は同庁の場合で、どのサイトにも当てはまるものではありません。
報告は速報と確報の二段階で進みます。個人情報保護委員会の漏えい等報告のページでは、速報は発覚日から3〜5日以内が目安とされています。確報は通常30日以内、不正な目的で行われたおそれがあるときは60日以内になります。今回の件では、PPCと協議して決まった方法で連名報告をした場合に限り、速報の目安を過ぎても報告遅延として扱われません。
対象となる事業者は、自社単独で手続きを行う個別報告か、Studio側が取りまとめる連名報告かを選ぶことができます。Studioから案内される所定の手順で連名報告に申し込んだ場合、事業者自身による個別報告は不要となります。
#Studioが示している報告要否の確認項目は何ですか？
「うちのサイトは関係あるのか」と迷ったら、Studioの事案ページに載っている3つの確認を順に見てください。これは、サイト利用者本人へ通知する必要があるかを考えるための参考として示されたものです。PPCへの報告だけを判定する項目ではありません。
- 事業や団体の活動のためにフォームを使っていたか
- 回答に個人データが含まれているか
- 今回の不正アクセスの影響を受けた可能性があるか
1つ目の確認では、営利でないことは理由になりません。営利企業だけでなく、特定非営利活動法人や各種サークルなどの非営利団体、さらには個人事業主であっても、個人情報をデータベース化して事業や活動に利用していれば法律上の個人情報取扱事業者に該当します。2つ目の確認では、自由記述欄も見てください。別途名簿ファイルを整理していなくても、Studioのダッシュボードに回答一覧として保存されていれば、通常は個人データに当たると解釈されます。
3つ目の影響範囲は、次の表で照らし合わせられます。
| 対象になる回答 | 対象外の回答 |
|---|
| Studioに保存済みの回答 | 保存設定を無効にしていた間の回答 |
|---|
| 完全削除していないゴミ箱の回答 | 2026年9月30日より前に完全削除した回答 |
|---|
| ライブプレビューで送ったテスト回答 | 埋め込んだ外部フォームへの回答 |
|---|
| プラン上限で非表示になっている回答 | ― |
|---|
添付ファイルは、ファイル名だけが対象です。ファイルの内容は含まれません。
自社が該当するかは、Studioから届いた案内メールの記載内容で確かめてください。メールが見つからないときや、自分のサイトが対象なのか判断がつかないときは、Studioの専用窓口に問い合わせます。
#Studioの連名報告と個別報告はどう違いますか？
報告を自分で出すか、Studioにまとめて出してもらうかの違いです。2026年10月20日のStudioの続報で、PPCとの協議の結果、どちらかを選べることになりました。
| 項目 | 個別報告 | 連名報告 |
|---|
| 提出する人 | サイト運営者自身 | Studioが取りまとめ、運営者とStudioの連名で提出 |
|---|
| 速報の期限 | 発覚から概ね3〜5日以内が目安 | 本件に限り、目安を超えても報告遅延として扱わない |
|---|
| 申し込み | 申し込み手続きは不要。速報は発覚から概ね3〜5日以内が目安 | Studioの案内する方法で申し込む |
|---|
| 本人への通知 | 含まない | 含まない |
|---|
連名報告では、Studioが案内する方法で申し込めば個別の報告は要りません。何もしなくても自動で連名報告に切り替わるわけではない点に注意してください。Studioの事案ページによると、2026年10月28日時点で連名報告の申し込みの受付はまだ始まっておらず、11月上旬に始まる予定です。受付期間内に申し込まなければ連名の対象にはならず、以前に問い合わせで希望を伝えた人も改めて申し込む必要があります。
すでに個別報告を済ませた人も、連名報告へ切り替えられます。切り替えた場合、個別の確報は出さなくてかまいません。
連名という形そのものは、今回だけの特別な仕組みではありません。個人データの取り扱いを委託している関係では、委託元と委託先の双方が報告義務を負うため、連名での提出が個人データの取扱いに関する通則編ガイドラインでも認められています。
もうひとつ見ておきたいのが報告先です。漏えい等報告の権限が他の省庁に委任されている業種では、原則として委任先の省庁へ報告します。ただし、自社の雇用管理情報や株主情報に含まれる個人データが対象なら、報告先はPPCです。
#Studioが依頼していたPPC報告の「保留」は解除されたのですか？
Studioから以前アナウンスされたPPCへの報告保留要請は、現在も有効なままなのでしょうか。この保留依頼はすでに解除されており、現在は利用者自身による個別報告も連名報告の選択も問題なく行える状態になっています。
混乱の発端となったのは、2026年10月16日に報告の必要性が公表された直後の動きでした。翌10月17日、StudioはPPCへの報告を一旦保留するよう利用者に呼びかけました。
その後、Studioが監督官庁であるPPCとの間で調整を進め、2026年10月20日付の続報で新たな方針が示されました。この案内により、10月17日の保留要請にかかわらず利用者自身でPPCへ個別に報告してよいことが明言され、同時にStudioが取りまとめる連名報告の選択肢も提示されました。
すでに出した報告は無駄にはなりません。個別に提出された報告はPPCで受け付け済みとされています。そのうえで連名報告へ切り替えることもでき、切り替えた場合は個別の確報を出す必要がなくなります。
ただし、「いつでも出せる」と読んで期限がなくなったと考えるのは早計です。個別報告には速報の目安として3〜5日があります。目安を過ぎても遅延扱いにならない特例は、PPCと協議して決まった方法で連名報告をした場合に限られます。
なお、当初の保留要請が対象としていたのはPPCへの報告手続きだけであり、サイトの利用者本人への通知は含まれていませんでした。本人への通知の要否については、保留要請の期間中も各事業者が各自で判断を続ける必要があったわけですね。今からでも、そちらの対応が止まっていないか見直すとよいでしょう。
#連名報告をすれば本人への通知もしたことになりますか？
例えば、Studioが用意した連名報告の受付に申し込みを済ませてPPCへの手続きを終えたとしても、サイト利用者への対応がすべて完了したわけではありません。自社の問い合わせフォームから連絡先を送信した一般ユーザー本人に対する通知は、この連名報告の対象には含まれていません。Studioの連名報告は、PPCへの報告だけを対象にしているためです。
法令の定めにより、不正アクセスによって個人データが漏えいしたおそれがある事態では、状況に応じて速やかに本人へ事実を伝えなければなりません。通知すべき項目には、発生した事案の概要、漏えいまたはそのおそれがある個人データの項目、原因、二次被害のおそれの有無とその内容などが含まれます。すべてが判明するまで通知を待ってよいわけではありません。
原因については、Studioは不正アクセスに使われた脆弱性を修正して経路を塞いだと説明しています。詳しい調査は外部の専門機関に依頼する予定で、依頼先と調整している段階です。わかっている範囲で先に伝え、判明した事実を後から追加で知らせる形になりそうですね。
もしメールアドレスなどの連絡先情報が残っておらず、個別の連絡を取ることが難しい場合には、自社サイトへの告知掲載や専用窓口の設置といった代替措置を講じることが認められています。ただ公表すれば通知が要らなくなる、という意味ではありません。
Studioのポータルでは、自社サイトでお知らせを出すための公表文の雛形が配布されています。対象情報や自社の対応状況に合わせて書き換えて使うものです。
#暗号化されていたデータなら「高度な暗号化」の例外で報告不要になりますか？
「データが暗号化されていた」という言葉の響きと、法令が認める「高度な暗号化による例外措置」とでは、求められる技術水準が大きく異なります。高度な暗号化の要件では、2つの条件がそろって初めて報告不要になります。1つは、事案が起きた時点の技術水準で、第三者が読めない状態にする暗号化をしていたこと。もう1つは、暗号を元に戻す手段が適切に管理されていたことです。
適切な管理と言えるのは、次のどれかに当たる場合です。3つすべてが必要なわけではありません。
- 暗号化した情報と復号鍵を分け、鍵そのものが漏れないよう対策している
- 暗号化した情報か復号鍵を、遠隔操作で削除できる
- 第三者が復号鍵を使えない設計になっている
これに対して今回のStudioの事案では、暗号化して保管されていたフォーム送信内容についても、復号に必要な鍵が同じ不正アクセスによって読み出されてしまった事実が公表されています。鍵が第三者の手に渡った状態では、暗号化されていても内容を閲覧された可能性を否定できません。
この条件と公表された事実を突き合わせると、「暗号化されていたから報告しなくてよい」と判断するのは難しいでしょう。PPCが本件にこの例外を当てはめるかを示したわけではないので、断定まではできません。ただ、暗号化を理由に何もしないのは避けたほうがよさそうです。
自分のプロジェクトがどう扱われるかは、Studioからの個別メールで確かめます。メールが見当たらないときや、追加の情報がほしいときは、本件の問い合わせ窓口へ連絡してください。
こんな聞き方も
- studio ppc 報告 必要
- Studioが取りまとめる連名報告とは何ですか？
- studio ppc 報告 保留 解除
- studio 連名報告 個別報告 違い
- studio 連名報告 個別報告 どっち
- studio 報告 対象 確認項目
- studio 連名報告 申込方法
- 連名報告 本人通知 含まれる
- 個別報告 済み 連名報告 切り替え
- 高度な暗号化 報告不要 例外 studio
- 不正の目的 おそれ 1件 報告
- 個人 ポートフォリオ 報告 必要
- studio ppc 報告 弁護士 相談
- 漏えい 公表 タイミング 報告 前 後
- studio 報告 原因 欄 書き方
- PPC personal data breach report japan
あわせて知りたい（関連する疑問）
Q趣味のポートフォリオサイトでも報告は必要ですか？
完全に個人的な趣味の範囲にとどまり、反復して仕事の受託や対外的な活動を行っていないサイトであれば、法律上の報告義務を負う可能性は低いです。
個人情報保護法で報告義務が定められている主体は「個人情報取扱事業者」です。ここでいう事業とは、一定の目的をもって反復継続して行われる同種の行為であり、社会通念上事業と認められるものを指します。営利か非営利かは関係ありません。
一方で、名目は趣味のポートフォリオであっても、フォームを通じてイラストやデザインの制作依頼を有償で請け負ったり、将来的な受注につなげる窓口として反復利用していたりする場合は判断が分かれます。つまり、「趣味だから」「お金をもらっていないから」というだけでは対象外とは言い切れません。名前だけで判断せず、フォームを何のためにどう使っていたかを振り返ってみてください。
自分だけで判断がつかないときは、個人情報保護法相談ダイヤルに問い合わせられます。相談ダイヤルの案内ページによると、電話番号は03-6457-9849です。受付時間は9:30〜17:30で、土日祝日と年末年始は受け付けていません。法律や制度についてガイドラインとQ&Aをもとに答えてくれますが、自分のケースが適法か違法かの判断は求められません。報告義務があるかを判定してもらう窓口ではない点に注意が必要です。
Q個人事業主でも報告義務はありますか？
法人を設立していない個人事業主やフリーランスであっても、企業と同じようにPPCへの報告義務を負うのでしょうか。
個人事業主かどうかより、個人情報データベース等を事業に使っていたかで決まります。事業に使っていれば、個人であっても個人情報取扱事業者に当たります。扱っている個人情報の人数が少ないことも、対象外になる理由にはなりません。
個人情報取扱事業者に当たる個人事業主は、法令で定められた報告対象の事態を知ったとき、PPCへ報告する義務を負います。今回のような不正目的の行為による漏えいには人数の下限がないため、フォームの回答が数件しかなくても対象になり得ます。
個人事業主にとって、単独でPPCへの正式な報告書を作成し提出するのは業務上の負担が大きい作業です。今回の件では、自分でPPCへ個別に報告するか、Studioとの連名報告にするかを選べます。案内された方法で連名報告に申し込めば、個別の報告は要りません。速報の目安を過ぎても遅延扱いにならない特例も、この連名報告に限って付いています。連名報告の受付は、2026年10月28日時点で11月上旬に始まる予定で、受付期間内に申し込まなければ対象になりません。
QStudioから移管した後でも連名報告を選べますか？
例えば、数か月前にWordPressなど別のCMS環境へサイトを移行し、現在はStudioを使っていない場合であっても、過去のフォーム回答データが今回の事案に巻き込まれていることがあります。最初の見出しで触れたデジタル庁の例のように、何年も前に入力された問い合わせ内容が対象になることもあります。現在別のサーバーを契約していても、過去にStudio上で回答を受信・蓄積していた期間があるなら、漏えいのおそれを考慮しなければなりません。
報告義務は、どのツールでサイトを動かしているかで決まるものではありません。報告対象の事態を知った個人情報取扱事業者には、PPCへの報告義務があります。サイトを移したことで義務がなくなるとする資料は、今回の公表のなかには見当たりません。移管済みでも、自分が事業者として報告する立場にあると考えて動いたほうがよいでしょう。
Studioの案内では、個別報告と連名報告を選べる方針が示されています。ただ、解約済みや移管後の利用者が申し込めるかどうかは示されていません。選べるとも選べないとも言えないので、Studioに直接聞いてください。
現在アカウントにログインできない状態になっている人や、契約管理のみを担当している人に向けて、Studioは専用の問い合わせ窓口を設けています。移管でアカウントを使っていない人も、ここから問い合わせられます。
QStudioの件でPPCに届いた報告件数は発表されていますか？
「実際にどれくらいの数の事業者がPPCに報告書を出しているのか」「自社と同じような規模の組織はどのように動いているのか」といった他社の動きは気になりますね。現在のところ、個人情報保護委員会からStudioの不正アクセス事案に関して届いた報告の累計件数は公表されていません。Studio側の案内でも、すでに個別に提出された報告についてはPPC側で受理されている旨が説明されていますが、全体で何件の事業者が手続きを済ませたかという総数は開示されていません。
手がかりになる数字としては、セキュリティ事案をまとめているブログの集計があります。piyologの集計では、Studioの不正アクセスによる影響の可能性や調査を公表した組織の数がまとめられています。これは自ら公表した組織の数で、PPCへの報告件数でも、漏えいした人数でもありません。各組織が出している件数も、そのまま足し合わせることはできません。送信件数で数えるところ、人数で数えるところ、回答数で数えるところがあり、単位がそろっていないためです。
公表している組織のなかでは、デジタル庁が10月22日に、漏えいした可能性がある個人情報の範囲を精査中としたうえで、対象になり得る件数を出しています。ただし、これはデジタル庁に関係する分だけの数字です。
他社の数字が見えないと不安になりますが、報告するかを決めるのは自分のサイトの回答です。件数の発表を待つより、Studioからの個別メールと自分の保存データを確かめるほうが先ですね。
Qお客様への連絡と公表は、PPCへの報告の前と後どちらにすべきですか？
PPCへの報告を済ませてから本人に連絡する、という順番で待つ必要はありません。本人への通知は、報告対象の事態を知った後、状況に応じて速やかに行います。いつ通知するかは、その時点で把握している事実、通知によって本人の権利利益を守れる見込み、通知することで生じる弊害を考えて決めます。
もし入力された情報をもとにフィッシング詐欺や迷惑メールなどの二次被害が懸念される状況であれば、PPCへの正式な報告書提出を待たずに、まずはお客様への注意喚起やWebサイトでの公表を先行させる判断が自然です。
PPCへの速報は、発覚から3〜5日以内が目安です。この目安はPPCへの報告のもので、本人への通知の期限とは別です。今回の連名報告に付いている「速報の目安を超えても遅延扱いにしない」という特例も、PPCへの報告だけに関するものです。連名報告を選んだからといって、お客様への連絡を後回しにしてよいことにはなりません。
ちなみに、Webサイトで公表しても、別に本人への通知が必要な場合があります。連絡先がわからないなど通知が難しいときに限って、公表などの代わりの措置が認められます。
Q報告しないとPPCから勧告や命令を受けますか？
PPCへの報告を行わなかった場合、すぐに厳しい是正勧告や罰則を伴う命令が出されてしまうのでしょうか。受ける可能性はありますが、報告しなかったら即座に命令が出る、という順番ではありません。
個人情報保護委員会は、法令違反や不適切な取り扱いを把握した際、まず事業者に対して状況の報告を求めたり、立ち入り検査を実施したりします。その結果に応じて必要な指導や助言を行い、個人の権利利益を保護するために特に必要があると認めた場合に初めて是正のための「勧告」を出します。
勧告に従わなかったというだけで命令が出るわけではありません。さらに強い拘束力を持つ「命令」が下されるのは、事業者が正当な理由なく勧告に従わず、なおかつ個人の重大な権利利益の侵害が切迫していると委員会が判断した場面に限られます。一方で、勧告を経ずにいきなり命令が出ることもあります。対象となる違反があり、個人の重大な権利利益を害する事実があって、急いで措置を取る必要があるとPPCが認めた場合の緊急命令です。
こうした仕組みを見ると、処分を避けられるかで考えるより、報告対象に当たるなら早く出すほうが現実的でしょう。PPCも、法令上の報告対象となる漏えい等が発覚したら、まず速やかに報告するよう求めています。
Qクライアントのお客様への通知を制作会社が代行してもよいですか？
例えば、Webサイトの制作や保守を請け負っている制作会社が、クライアントに代わってフォーム送信者への案内文を作成したり、メール送信の配信実務を担当したりするケースがあります。法律上、個人データの取り扱いを受託している制作会社が、クライアントのお客様に対する連絡作業を実務面で支援すること自体は禁じられていません。
個人データの取扱いを委託されていて、報告対象の事態に当たる場合、原則として委託元のクライアントと委託先の制作会社の両方に、本人へ通知する義務があります。サイト運営者だけの問題とは限らないので、まず制作会社が回答をどう扱っていたかを振り返りましょう。
ただし、個人情報保護法のガイドラインでは、委託先が漏えい事態を把握して委託元へ把握事項を通知した場合、委託先自身の報告義務や本人通知義務は免除される仕組みになっています。単に作業を分け合うだけでは足りず、委託元へ必要な事項を伝えることが条件です。その上で、委託元が実施する本人への通知に対して、必要に応じて協力することが委託先に求められています。
文面づくりを手伝ったり、メール送信の作業を受け持ったりすることは、この協力に当たる場面が多いでしょう。もっとも、誰の名前で送るか、送信作業をどこまで制作会社が担うかまでは、ガイドラインに書かれていません。クライアントと話し合って決めることになりますね。
本人への通知には、法律で決まった様式がありません。郵送や電子メールなど、本人に内容が伝わる方法で行えばよく、受け取る人にわかりやすい形が望まれます。
なお、Studioが取りまとめる連名報告は、PPCへの報告だけが対象です。お客様への通知が必要なら、クライアントの側で対応を検討することになり、制作会社はその手伝いをする立場になります。
この内容をChatGPTで相談
