Q.StudioのGoogleスプレッドシート連携は、不正アクセスの後と移行後でそれぞれどうすればいいですか？

「暗号化して保存していたなら、中を見られることはないのでは」と感じた方もいるでしょう。ところが、暗号化したデータは、対応する鍵さえあれば元に戻せます。この元に戻す処理を復号と呼び、そのときに使う秘密の情報が復号鍵です。

通常、データが強固に暗号化されていれば、万が一サーバーからデータそのものが盗まれても、鍵がなければ中身を解読される心配はほとんどありません。今回の不正アクセスでは、暗号化して保管されていたスプレッドシート連携の認証情報などと一緒に、それを解くための復号鍵まで同じ環境から読み出されてしまいました。そのため、暗号化していた情報も、内容を知られた可能性があります。金庫の扉を頑丈に施錠していたものの、その鍵自体を金庫のすぐそばから持ち去られてしまったような状態と言えますね。ただし、Studioが保存していたあらゆるデータが同じ状態だったとまでは言えません。

調査において第三者が実際にデータを取得した確証は見つかっていませんが、読み出されたものとして警戒する必要があります。後からStudio側で鍵を新しく更新しても、過去の侵入時に持ち出された可能性のあるデータそのものを取り戻すことはできません。連携をそのまま使い続けてもかまわない状況で、Studio側の解除とGoogle側のアクセス権の削除が勧められているのは、このためです。Googleアカウントと外部アプリの接続は、利用者がGoogleアカウントの画面からいつでも変えられます。

予約フォームの回答が流出した可能性のある情報に入るかは、その回答がStudioのサーバーに残っていたかで分かれます。

回答全体が対象なので、予約の希望日時も氏名、メールアドレス、電話番号も、流出した可能性のある情報として同じ扱いです。

メールアドレスは、それだけで誰のものかわかるなら個人情報です。単独ではわからなくても、ほかの情報と簡単に照らし合わせて特定できるなら、まとめて個人情報になることがあります。希望日時だけで個人情報になるとは限りませんね。名前や連絡先と同じ行に並んでいるなら、ひとまとまりで扱うのが自然でしょう。個人の権利や利益を害するおそれが生じた場合は、個人情報保護委員会への報告だけでなく、予約を入れた顧客本人への通知が必要になる場面も出てくるでしょうね。

もうひとつ、Studioへの回答保存をオフにしていたとしても、スプレッドシート連携の認証情報は別個に影響を受けた可能性があるため、回答データの保存有無だけで油断せず、連携設定の点検をあわせて進める必要があります。

あります。個人データの取り扱いを外部に委託している事業者には、委託先で安全管理がきちんと行われるよう、必要で適切な監督をする義務があります。個人情報保護法第25条の定めです。これは監督の義務の話で、損害賠償の責任がそのまま決まるわけではありません。

クラウドサービスの利用については、サービス提供事業者がサーバー内の個人データを取り扱わない契約になっており、適切なアクセス制御が講じられている場合などには、委託先の監督義務が課されない例外も存在します。そうしたケースであっても、利用している事業者自身の安全管理措置義務が免除されるわけではありません。

もし報告の対象となる重大な漏えい事態が発生した際は、クラウドを利用している事業者自身が個人情報保護委員会への報告義務を負います。委託先で漏えいが起きたときは原則として委託元と委託先の双方が報告義務を負いますが、委託先が委託元へ速やかに事態を通知した場合は、委託先側の報告義務が免除される仕組みです。それでも委託元の報告義務は残ります。

報告の対象になる漏えいを知ったら、速やかに報告します。Studioからの連絡を受けた日を起点に、早めに動き出すほうが安心ですね。

顧客情報や採用応募などをフォームで日常的に集めていると、自社サイトも一刻も早く他のCMSへ引っ越すべきだろうかと、焦りを感じる担当者も多いはずです。安全管理措置の厳しさは、取り扱う個人データが漏れた際の影響度やリスクの大きさに応じて適切に設計すべきものとされています。量が多いほど対策を厚くするのは自然です。でも、量が多いからといって移管が義務になるわけではありません。

Webサイト全体のデザインや公開基盤はStudioのまま活かしつつ、フォームの取り扱いだけを切り分ける方法もあります。事前に設定すれば、回答をStudioに残さず、メールだけで受け取ることができます。この設定では添付ファイルを受け取れません。履歴書や写真をフォームで集めているサイトには合わないでしょう。

その一方で、保存を途中で無効にしても、それまでに届いた回答は完全に削除するまで残ります。サイトを移しても、過去の回答が流出した可能性まではなくなりません。

報告の判断も、移管とは別に必要です。不正な目的の行為による漏えいやそのおそれは、報告の対象になります。民間事業者の「1,000人を超える」という人数の基準は別の類型の話です。不正アクセスの場合は、対象者が1人でも本人への通知が必要になることがあります（漏えい等の対応）。

移管を急ぐかは、これからも同じ量の個人情報を集め続けるか、添付ファイルが必要かを見て決めます。

本人への通知で伝える項目は次のとおりです。

• 事案の概要
• 漏えいした、または漏えいのおそれがある個人データの項目
• 原因
• 二次被害やそのおそれの有無と、その内容
• その他参考になること

参考事項には、不審なメールや連絡への警戒を呼びかけるなど、本人が自分の身を守るために取れる自衛策を具体的に記載します。何が漏れたかによって書くべき対策は変わるので、自分のフォームの入力項目に合わせて書きます。

通知のタイミングも悩むところです。すべての事実関係が完全に判明するまで連絡を先延ばしにするのではなく、把握できた状況に応じて速やかに発信することが大切です。判明していること、知らせることで本人の保護に役立つか、知らせることでかえって混乱が起きないか。この3点を考えて時期を決めます。

問い合わせ先は、法律で決まった項目ではありません。それでも、文末には不安を感じた顧客が直接相談できるよう、専用の問い合わせ窓口と電話番号を明記しておきます。

送信の作業にも気をつけてください。複数の人へ送るとき、BCCに入れるべきアドレスを宛先やCCに入れると、受け取った人同士でアドレスが見えてしまいます。お詫びのメールで新たな漏えいを起こさないよう、BCCを使っていることも含めて、送信者以外の人がメール全体を見てから送ります。

漏えいのお詫び状に、プリペイドカードや商品券を同封している例を見かけることがあります。同じようにしたほうがいいのか、迷う方もいるでしょう。

まず整理しておきたいのは、法律上の手続きとして求められているのは報告と本人への通知だという点です。不正アクセスによる個人データの漏えいは、報告が必要になる場合の例に入っています。民事上の損害賠償義務と、企業が謝罪の意を示すために任意で行う配慮措置とは、法的な性質がまったく異なるものです。

損害賠償の金額は、漏えいした個人情報の内容や態様、個人のプライバシーがどの程度侵害されたかによって個別に判断されます。クレジットカード情報が漏れて不正に使われ、実際にお金の被害が出た場合は、その被害額も損害になります。フォームの回答が名前とメールアドレスくらいで、実害も確認されていない場合とは、事情がかなり違いますね。漏えいが過失によるものでも、民事で損害賠償を求められる可能性はあります。

金券を配ったからといって、企業の責任がなくなるわけではありません。限られた時間と費用を金券の手配に費やすよりも、流出の経緯や原因を包み隠さず説明し、二次被害を防ぐための注意喚起や問い合わせ窓口の充実に努めるほうが、利用者にとっても実質的な安心感につながりやすいですね。

費用の負担先も考えておきたいところです。委託先が情報漏えいを起こした場合、委託元は契約違反を理由に、委託先に損害賠償を求められます。Studioとの関係が委託にあたるかは、契約の内容によって変わります。金券を配るかを決める前に、Studioとの契約や利用規約で、事故のときの責任がどう定められているかを見ておきましょう。