Q.Studioのフォームで問い合わせてきた本人へ、漏えいの可能性を通知する必要はありますか？

届いた回答の多くが営業メールやスパムで、それにまで連絡するのかと戸惑うかもしれません。Studioの案内でも、送信の目的や内容だけを理由に対象外とすることはできず、特定の個人を識別できる情報が含まれていれば原則として本人通知が必要と説明されています。この回答は2026年10月19日にFAQへ追加されました。

営業目的の回答には、会社名と一緒に担当者名やメールアドレスが書かれていることがよくありますね。取引先の担当者名や法人の代表者名も、個人情報に当たります。

一方で、機械的に送られた意味のない文字列だけの回答のように、特定の個人がわからないものは、そもそも通知の対象にならないことがあります。スパムだから外せるのではなく、個人がわかるかで線を引くと考えてください。

送信先のアドレスが架空でメールが届かないなど、本人への通知が物理的に困難なときは、サイト上での公表といった代替措置をとる余地があります。ただし、電話番号など別の連絡手段を把握している場合は、メールが1通送れなかったからといって直ちに通知困難とは認められません。

殺害予告のように安全上の心配がある回答もあるでしょう。こうした場合は、通知の方法や時期を弁護士などの専門家や警察に相談するよう、Studioは案内しています。

フォームの管理画面で「Studioに保存」を無効化していた場合、送信された回答も漏えい通知の対象に含まれるのでしょうか。設定を無効にしていた期間中に送信された回答はStudioのサーバーに保管されないため、今回の不正アクセスで流出した可能性がある情報には含まれません。メール通知だけで回答を受け取っていたサイトなら、その期間の回答は対象外です。

ただし、運用の経緯には注意が必要です。途中で保存設定を無効にした場合、それ以前の有効だった時期に受信した回答はダッシュボードに残っているため、流出の可能性がある対象に含まれます。見落としやすいのは次のような回答です。

• ゴミ箱に入れたまま完全削除していない回答
• ライブプレビューから送ったテスト回答
• プランの閲覧上限を超えて表示されていない回答

2026年9月30日より前に完全削除した回答は対象外です。

設定はフォームの全体設定で変えられ、公開サイトからテスト送信して、通知先にメールが届き、ダッシュボードに回答が残らないことで確かめられます。ただ、これでわかるのは今の設定だけです。過去に回答が届いた時点で保存がオフだったという証拠にはならないので、設定を変えた時期を覚えていないなら、ダッシュボードに残っている回答を見て判断しましょう。

また、Googleスプレッドシート連携を利用していたケースにも配慮が要りますね。回答の保存を無効にしていても、連携に使っていた認証情報自体が流出したおそれがあります。Studioは10月14日に鍵を更新し、古い認証情報は使えなくなったとしていますが、連携をいったん解除し、Google側のアクセス権を削除したうえで、必要なら連携し直す対応をすすめています。

Studioで制作したページの中にGoogleフォームなどの外部フォームを埋め込んでいた場合、その回答者にも通知が必要なのか気になるところです。StudioのページにGoogleフォームを埋め込んでいたなら、回答は見ている人のブラウザからGoogleへ直接送られています。Studioは預かっていないため、今回流出の可能性があると公表された情報には入りません。したがって、Studioからの漏えいという理由でGoogleフォームの回答者へ通知を行う必要はありません。

注意を向けたいのは、Studioのデザインエディタ内に貼り付けていた埋め込みコードそのものです。埋め込みコードの記述内容はプロジェクト情報の一部としてStudio側に保管されていたため、コードそのものは外部へ流出した可能性があります。通常のGoogleフォームの埋め込みコードは公開URLなどが入っているだけですが、外部サービスのコードに秘密のAPIキーやトークンを書いていた場合は、外部サービス側で新しい値に切り替えてください。

なお、Studio標準フォームの回答をGoogleスプレッドシートへ転送する機能と、ページ内にGoogleフォーム自体を埋め込む手法はまったく別の仕組みです。前者は回答がStudioを通っているので、前の見出しで触れたとおり連携の認証情報も含めて確認が必要です。自社のサイトがどちらの仕組みで運用されていたか、管理画面の設定を確かめておきましょう。

同じサイトに標準フォームと埋め込みフォームが混在している場合、標準フォーム側の回答は通知を考える必要がありますね。

個人情報保護委員会への報告には期限がありますが、本人への通知には日数の決まりがありません。この二つを取り違えると、通知が遅れがちです。

個人情報保護委員会の制度の解説にある通り、委員会への確報は事態を知った日から原則30日以内、不正アクセスによる事案では60日以内に行うルールです。ただ、これはあくまで委員会への報告の期限で、本人通知を60日後まで延ばしてよいという意味ではありません。

本人への通知は、事態を知ったあと、状況に応じて速やかに行います。何日以内という線はなく、そのぶん「わかったことから早めに」が求められると考えるとよいでしょう。

その一方で、事態がほとんど判明しておらず、その時点で連絡しても回答者側が身を守る具体的な行動をとれず、かえって無用な不安や混乱を招くおそれがあるときは、直ちに通知を行わない判断もあり得ます。ただし、それは連絡を永久に見送ってよいという意味ではありません。調査が進んで伝えるべき事実が固まり次第、速やかに連絡を入れる義務は継続します。

具体的な日数の定めがないからといって、原因究明や社内調査がすべて完了するまで連絡を放置してよいわけではありません。今回の事案では、不正アクセスの期間、取得できる状態が続いた期間、注意すべきなりすましメールなど、本人に伝えられることがすでに出ています。把握できた内容と、本人の身を守ることにつながるか、知らせることで困ることがないかを考えて時期を決めます。

法人ではなく個人事業主やフリーランスとして活動している場合でも、フォームの回答者に通知する義務はあるのでしょうか。はい、個人事業主でも必要になります。法人かどうかや、扱う人数の多さは関係ありません。個人情報を検索できるようにまとめたもの、たとえば問い合わせの一覧や顧客名簿を事業に使っていれば、個人であっても個人情報取扱事業者に当たります。法人格のない任意団体も同じです。

フリーランスがポートフォリオサイトや事業用サイトにStudioのフォームを設置し、問い合わせを通じて取得した個人データが今回の不正アクセスの影響を受けた場合、法律上の報告対象事態に該当すれば本人への通知義務が生じます。漏えいの疑いがあれば何でも通知が要るわけではなく、今回の不正アクセスで自分のプロジェクトが対象になっているか、回答に個人がわかる情報が含まれているかで決まります。

通知は電子メールや書面など、相手にとって分かりやすい手段を使って行いましょう。送信先が不明で連絡が取れないときは、自身のサイト上で事案を告知するなどの代替措置をとることが可能です。