インシデント概要更新日
#Studioの件で個人情報保護委員会へ報告が必要かどう判断しますか？
Studioに保存されていた回答に個人データが含まれ、今回の件で漏えい等のおそれがある場合は、対象者が1人でも個人情報保護委員会への報告の対象になり得ます。今回は外部からの不正アクセスなので、漏えい等報告の案内にある「不正の目的をもって行われた行為」による漏えい等にあたります。さらに、一般的な過失による紛失事故とは異なり、この類型には人数の下限がありません。
影響を受けた回答の範囲は、Studioの事案のお知らせで次のように分けられています。
- 対象：Studioに保存されていた回答
- 対象：ゴミ箱に入れたまま、完全には削除していない回答
- 対象：ライブプレビューで送ったテスト回答
- 対象外：保存をオフにしていた間に送られた回答
- 対象外：埋め込んだGoogleフォームの回答
途中で保存をオフにしていても、それより前に保存された回答は対象に残ります。
Studioは、事業や団体として使っているか、回答に個人データが含まれるか、今回の件で影響を受けた可能性があるか、の3点を確認するよう案内していました。ただ、これは本人へ知らせるかを考えるための目安として出されたもので、委員会への報告は先ほどの法令の基準で考えます。
特別な使い方をしていない、ふつうの問い合わせフォームでも影響は出ています。デジタル庁も、過去の問い合わせフォームに入った氏名、メールアドレス、問い合わせ内容が漏れた可能性を公表しました。
自社で行う手続きには、単独で報告書を出す個別報告のほか、Studioが取りまとめて申請する連名報告の枠組みがあります。
#個別報告と連名報告はどう違いますか？
個別報告は、自社の名前で委員会へ直接出す方法です。これに対して連名報告は、Studioが利用者側の報告を取りまとめて提出する形式です。2026年10月20日のStudioの続報で、委員会との協議を経て、どちらかを選べるようになりました。
| 個別報告 | 連名報告 |
|---|
| 出す名義 | 自社 | 自社とStudio（Studioが取りまとめ） |
|---|
| 速報の目安を過ぎた場合 | 本件の特例の案内なし | 本件に限り遅延として扱わない |
|---|
| 本人への通知 | 自社で対応 | 含まれないため自社で対応 |
|---|
| 手続き | すぐに出せる | 受付の開始を待って申し込む（受付時期は下記） |
|---|
ちなみに、速報は事態を知ってから概ね3〜5日以内が目安で、不正の目的による事案の確報は60日以内です。
10月17日にStudioは報告の保留をお願いしていましたが、個別報告はそれにかかわらず出せます。すでに個別で提出した報告書は、委員会側で正式に受付されています。その一方で、原因究明や技術的な調査事項を自社で整理して記載する必要があるため、書類作成の実務負担が重くなりますね。あとから連名報告へ切り替えることもでき、その場合は個別の確報を出さなくて済みます。
実際、操電のお知らせでは、Studioの取りまとめ報告に加わる旨と、対象者へ順次メールで連絡する旨が案内されています（掲載日や最新の内容はリンク先で確認してください）。
#Studioから移管すれば個人情報保護委員会への報告は不要になりますか？
Studioから別のCMSやレンタルサーバーへWebサイトを移管したとしても、個人情報保護委員会への報告義務はなくなりません。報告対象の事態を知ったら、速報は概ね3〜5日以内、本人への通知は状況に応じて速やかに行います。その後にサイトをどこへ移したかで、すでに起きたことの扱いは変わらないためです。
今回の不正アクセスについて、Studio側が外部からの侵入を確認した期間は2026年9月30日から10月1日であり、外部からデータを取得できる状態は同年10月14日に修正対処が行われるまで続いていました。対象となるデータは侵入期間中に新しく送信されたものだけにとどまりません。デジタル庁の公表資料では、2021年5月から2023年3月までに問い合わせフォームへ入力された情報も、今回の漏えいの可能性がある対象として示されています。何年も前の回答でも、保存されたままなら関係します。
期限も移管とは関係なく進みます。確報は発覚日から通常30日以内、不正目的のおそれがある場合は60日以内です。乗り換えを考えているなら、報告と並行して進めることになるでしょう。
報告は、委託元と委託先の連名でも出せる仕組みです。Studioの連名報告もこの形を使っています。一方で、本人への通知は報告とは別の対応で、連名報告には含まれません。本人へ連絡するのが難しいときは、通則編のガイドラインで、本人の権利利益を守るための代わりの措置が認められています。もっとも、公表しておけば常に通知の代わりになるわけではありません。
#Studioの利用は個人情報保護法のクラウド例外にあたりますか？
SaaSやクラウドサービス上にデータを保存している場合、個人情報保護法が定めるいわゆる「クラウド例外」に該当して報告義務が免除されることはあるのでしょうか。
クラウドの事業者が預かったデータを取り扱わない場合、委託にも第三者提供にもあたらない、という考え方があります。いわゆるクラウド例外です。あたるかは、事業者が個人データを取り扱うことになっているかで決まります。取り扱わない例として、契約で取扱いを禁じていて、アクセス制御も適切にしている場合が示されています。
ただ、この例外にあたっても、報告の義務までは外れません。クラウド事業者が個人データを取り扱わない取り決めになっていたとしても、そのサーバー上で報告対象となる漏えいや不正アクセスが発生した際には、クラウドを利用している事業者自身が委員会への報告義務を負います。報告をクラウド事業者に代わりに出してもらう依頼はできます。
例外にあたる場合でも、委託先を監督する義務がかからなくなるだけです。自社の安全管理措置としての責任が免れるわけではありません。
Studioが個別報告と連名報告を選べると案内していることだけでは、例外にあたるかどうかは決まりません。とはいえ、どちらに転んでも報告は自社の名前を含めて出すことになります。例外にあたるかを細かく詰めるより、個別で出すか連名に加わるかを先に決めるほうが、実務では進めやすいでしょう。
#問い合わせに病状が書かれていた場合はどうなりますか？
たとえば整体院のフォームに「椎間板ヘルニアで通院中ですが、施術を受けられますか」と書かれていたとします。病歴を含む情報は要配慮個人情報にあたります。
要配慮個人情報を含む個人データの漏えい等も、報告対象の類型のひとつとして漏えい等報告の案内に挙げられているので、件数の扱いとあわせてそちらで確認してください。今回の件はもともと不正アクセスの類型にあたりますが、病状が書かれた回答があれば、要配慮の類型にもあたり得ます。報告書の対象の欄を書くときに、この点が関わってきます。
でも、問い合わせの一文がどこまであたるかは、書かれ方によって変わりますね。
あわせて、その回答から誰のことかわかるかも確かめましょう。自由記述欄に単に症状の名称だけが書かれていたとしても、送信者の氏名、電話番号、メールアドレスなどと容易に結びついて特定の個人が判別できる状態であれば、全体として要配慮個人情報を含む個人データとみなされます。
個人情報保護委員会は、報告の前に記入例を確認するよう求めていて、民間事業者向けに要配慮個人情報の記入例も公開しています。問い合わせ履歴を点検する際は、自由記述欄に健康相談や傷病に関する文面が紛れ込んでいないか、細心の注意を払って確認したいところですね。
こんな聞き方も
- 個人情報保護委員会 漏洩報告
- 個人情報保護委員会 漏洩 報告義務
- 個人情報保護法 漏洩報告
- 個人情報保護法 改正 漏洩 報告
- 個人情報保護漏洩 報告
- Studioの件で個人情報保護委員会への報告は必要ですか？
- Studioの件で個人情報保護委員会への確報の期限は60日ですか？
- Studioから移管すれば個人情報保護委員会への報告は不要になりますか？
- Studioの利用は個人情報保護法のクラウド例外にあたりますか？
- PPCのQ&A 7-53のクラウド例外とはどんな内容ですか？
- 問い合わせに症状が書かれていた場合は要配慮個人情報になりますか？
- 法人の担当者のメールアドレスも個人情報になりますか？
- 予約の名前と電話番号だけでも個人情報に当たりますか？
- サイト移行と個人情報の報告対応は同時に進めていいですか？
あわせて知りたい（関連する疑問）
QStudioの件で確報の期限は60日ですか？
自社で個別に確報を出す場合、期限は発覚日から60日以内です。通常の過失事故における確報の期限は30日以内ですが、サイバー攻撃や不正アクセスなど「不正な目的で行われたおそれがある」事案については、原因究明やフォレンジック調査に時間がかかる点を踏まえ、期限が60日以内に設定されています。今回は外部からの不正アクセスなので、60日のほうが当てはまります。自社で個別報告書を提出する場合、不正アクセスの手口、漏えいした可能性のある個人データの項目や件数、本人への連絡状況、再発防止策などを60日以内にまとめて報告しなければなりません。
ここで取り違えやすいのが、連名報告の特例です。委員会とStudioが協議して決めた方法で連名報告した場合に限り、本件では速報の目安を過ぎても報告遅延として扱われません。個別に報告する場合は、確報（事態を知った日から60日以内）も必要だと案内されています。
Studioの事案のお知らせでは、2026年10月28日時点で連名報告の受付は11月上旬に始まる予定とされ、受付期間内に申し込まなければ連名に加われないとされています。ただし、連名報告は待っていれば自動的に加えてもらえるものではありません。連名で出すつもりで待っている間も、発覚日からの日数は進みますね。個別で確報まで出すか、連名の案内を待つかは、残りの日数を見ながら決めることになります。受付の開始は、Studioの事案ページの更新履歴で最新の日時とあわせて確かめてください。
Q法人の担当者のメールアドレスも個人情報になりますか？
企業の問い合わせ窓口に届いた法人のビジネス用メールアドレスなら、個人のプライバシーには当たらず報告対象から外れるのではないかと迷う方もいるかもしれません。ですが、会社用のアドレスだからという理由だけでは対象から外れません。
メールアドレス単体で個人を識別できる形式（例えば「姓.名@会社ドメイン」など）はもちろんのこと、一見して個人名が分からないランダムな英数字のアドレスであっても、氏名や会社名、電話番号など他の情報と照らし合わせて特定の個人が分かる状態であれば、全体として個人情報になります。
担当者の名前も同じです。取引先企業の担当者名も個人情報にあたるとされていて、法人とのやり取りに出てくる名前だからといって扱いは変わりません。
Studioの案内では、個人を特定できる情報を含む回答がダッシュボードに保存されていれば、別に一覧を作っていなくても、通常は個人データにあたると説明されています。また、報告の要否は、不正アクセスによる漏えい等の基準に照らして判断します。法人宛ての問い合わせも、一般の人からの問い合わせと同じ基準で数えてください。
Q予約の名前と電話番号だけでも個人情報に当たりますか？
Webサイトの来店予約やサービス受付で取得した氏名と電話番号という限られた項目だけでも、法律上の個人情報に該当するのでしょうか。
名前と電話番号が一緒に保存されていれば、個人情報にあたります。電話番号だけを取り出すと話は変わってきますが、予約フォームなら氏名と並んで保存されているのがふつうです。
お店の規模も関係ありません。席数の少ない個人店や個人サロンでも、予約を受けて名前と連絡先を管理していれば、事業の規模にかかわらず個人情報取扱事業者にあたります。
報告の対象になる範囲は、すでに整理した個人データに限りません。不正な目的による漏えい等の類型では、取得した情報や取得しようとしている情報で、個人データとして扱う予定のものも含まれます。予約フォームから届いて、あとで台帳に移すつもりだった回答も、この範囲に入ります。
名前と電話番号しか書かれていないと、被害が小さく見えるかもしれませんね。予約管理をStudioの簡易なフォームに頼っていた場合でも、名前と電話番号がサーバーに残っていれば対象になります。Studioに保存された予約の回答が何件あったかを、まず数えてください。
Q個人情報保護委員会への報告を誰かに手伝ってもらえますか？
個人情報保護委員会への報告書作成や社内対応の進め方に不慣れで、社外の協力を得ながら対応を進めたいと悩む担当者も多いはずです。手伝ってもらえる先はいくつかありますが、それぞれ手伝える範囲が違います。
まず、Studioの連名報告があります。Studioが取りまとめて出すもので、案内された方法で申し込めば、自社で個別に報告する必要はなくなります。ほかに、自社サイトでのお知らせに使えるリリースの雛形もStudioから出ています。なお、これは公表文の下書きで、委員会へ出す報告書のひな形ではありません。対象の情報や対応状況に合わせて書き直して使いますし、公表とは別に本人への通知が必要になることもあります。
制度や手続きの概要を確認したいときは、委員会の相談ダイヤル（電話03-6457-9849、平日9:30〜17:30）へ電話で助言を求められます。ただし、この相談窓口はガイドラインや制度内容についての一般的な質問に答える場であり、個別の事案について適法か違法かを判断したり、報告を代行したりする窓口ではない点に留意が必要です。
そこで、法的な責任の範囲や本人通知の要否については弁護士へ相談できますし、技術的なログ調査やセキュリティ対策の見直しは専門のIT事業者へ支援を仰げます。
外部の専門家に報告書の記入を手伝ってもらう場合でも、委員会の報告フォームにある「報告者の氏名又は名称」欄には、実務を担当した外部支援者ではなく、事業者自身の正式名称を入力しなければなりません。
Qスパムや営業目的のフォーム回答も報告対象ですか？
自社サイトの問い合わせフォームに送信された営業の売り込みや、自動送信された迷惑スパムメッセージも、一般の顧客からの問い合わせと同じように報告対象に含まれるのでしょうか。営業メールやスパムだから外してよい、とはなりません。Studioが追加したFAQには、送信の目的や内容だけを理由に本人への通知の対象外にはできない、という趣旨の説明があるので、最新の記載はStudioの事案のお知らせで確認してください。
FAQでは、個人を識別できる情報を含む回答は、原則として通知が必要とされていました。反対に、機械的な文字列しか入っていない回答のように、特定の個人を識別できないものは、そもそも通知の対象にならないことがあります。分かれ目は送ってきた目的ではなく、回答に誰かを特定できる情報が書かれているかです。
営業目的の文面であっても、担当者の個人名、個人の携帯電話番号、個人の連絡先メールアドレスが記載されている場合は、法律上の個人情報に該当するため、漏えいのおそれがある対象として扱う必要があります。
もうひとつ、混同しやすい規定がありますよ。住所やメールアドレスだけの漏えいは、財産的な被害が生じるおそれのある類型にすぐにはあたらない、とされています。これはその類型に限った説明で、不正アクセスによる漏えい等の類型にあたるかとは別の話です。今回は不正アクセスなので、メールアドレスだけの回答でも、そちらの類型で考えます。
受信トレイや管理画面に残る回答データをすべて不要と決めつけず、実在の個人を特定できる情報が含まれるものと、機械的な無意味データとを一つずつ仕分けて確認していく作業が必要になりますね。
この内容をChatGPTで相談
