お店の顧客情報に漏えいのおそれ｜報告期限とお客様への通知

予約システムやネットショップの運営会社から、「顧客情報が漏れた可能性がある」と連絡が来た。店主や兼任担当者が最初に確認したいのは、何が起きたかに加え、誰へ、いつ、何を伝える必要があるかです。

漏えいの確定や調査完了を待たず、確認できた事実から報告対象かを確認します。行政への報告、お客様本人への通知、Web上の公表は、それぞれ分けて進めます。

この記事では、民間事業者の報告対象となる4類型、速報と確報の期限、本人通知、委託先との分担を説明します。最後に、記入して使える初動メモを載せました。

クラブツーリズムは2026年10月31日の第1信で、前日に不正アクセスを検知し、インターネット会員情報約432万件が外部へ流出した可能性を発表しました。同発表には、行政への報告と対象者への順次連絡も記載されています。約432万件は漏えいが確定した人数ではありません。また、この発表だけで報告日時や期限の遵守までは判断できません。

まず責任者へ共有し、調査と報告の確認を並行する

個人情報保護委員会のガイドラインは、内部報告、被害拡大防止、調査、影響範囲の特定などを示しています。これらを進めながら、行政報告と本人通知が必要かを確認します。

最初の記録では、「事態を知った日時」「情報源」「確認済みの事実」「未判明事項」を分けます。運営会社の連絡に「可能性」と書かれているなら、社内メモでも確定した事実へ書き換えません。一方、未確定という理由だけで、報告対象の確認を後回しにもしません。

たとえば対象人数が不明でも、不正アクセスという状況や対象情報の種類から確認できることがあります。分かっている情報を責任者と共有し、調査の担当と報告・通知の担当を決めます。

人数だけで決めない、報告対象の4類型

民間事業者では、次の4類型に該当する個人データの漏えい等、またはそのおそれがある事態が報告対象になります。「漏えい等」には、漏えいのほか滅失や毀損も含まれます。

1,000人以下でも、ほかの類型に該当すれば報告対象になり得ます。人数だけで「報告は不要」と判断しないでください。逆に、漠然とした不安だけで、法令上の「おそれ」に当たると一律に決めることもできません。

高度な暗号化などによる例外の適用も含め、具体的な事実を公式窓口や専門家へ伝えて確認します。報告先は原則として個人情報保護委員会ですが、権限が委任されている分野には別の報告先があります。マイナンバーの有無や利用できる提出方法も、委員会の公式案内で確認してください。

速報は速やかに、確報は知った日から30日・60日以内

報告対象の事態では、最初の速報と、調査結果をまとめる確報を分けます。速報は速やかに行い、ガイドラインでは概ね3⁠〜⁠5日以内が目安とされています。これは、3日目や5日目まで待ってよいという意味ではありません。

速報では、その時点で把握している内容を報告します。対象人数や原因などに未判明事項があっても、すべての調査が終わるまで待つ扱いではありません。

確報は、事態を知った日から30日以内です。不正目的の行為による類型では60日以内となります。起点となる「知った日」を記録し、該当する類型と提出予定を確認します。この30日・60日を、お客様への通知期限へそのまま当てはめないことも大切です。

お客様への通知と、Web上の公表は分ける

報告対象の事態では、本人への通知も状況に応じて速やかに行います。原因や人数などの全事項が判明するまで待つものではありません。分かったことと分からないことを区別して伝えます。

通知内容は、事態の概要、対象となる情報項目、原因、二次被害またはそのおそれ、その他参考になる事項です。原因が未判明なら、そのことを明示し、確認できていない安全性や被害の有無を言い切らないようにします。

サイトへお知らせを載せたからといって、本人通知が済んだとは限りません。本人への通知が困難で、本人の権利利益を保護するために必要な代替措置を取る場合には条件があります。Web公表だけで足りるかは、具体的な状況に応じて確認してください。

委託先から連絡が来たら、担当と次の連絡を決める

予約や通販のサービス会社に情報を預けていても、「運営会社が対応する」という一言で確認を終えないようにします。

委託元と委託先は、原則として双方に報告義務があります。所定の要件を満たして委託元へ通知した場合、委託先が報告義務を免除される扱いがありますが、委託元の責任までなくなるわけではありません。

連絡を受けたら、対象情報、事態を知った日時、判明事項、追加情報の予定を確認します。そのうえで行政報告と本人通知について、誰が担当し、いつ進捗を共有するかを具体化します。連絡が止まらないよう、次回の連絡日時と窓口も残します。

架空の連絡文をメモに転記すると、何が残るか

以下は、本記事の記入欄を点検するための架空例です。実際の事故、顧客からの連絡、実運用の記録ではありません。

予約情報が流出した可能性があります。対象人数と原因は調査中です。次回の連絡時期は未定です。

この文面だけを元の記入欄へ転記すると、「確認済みの事実」に書けるのは、流出の可能性を知らせる連絡があったことです。流出そのものや人数、原因は確定事項として書けません。「未判明事項」には、流出の有無、対象人数、原因が残ります。

また、連絡文には受信日時も担当者もありません。この文面からは埋められないため、実際には受信記録などを確認する必要があります。「次の更新日時」も未定のままです。

転記前後を比べると、元のメモには未判明事項を並べる欄があっても、それを誰が確認するかを明記する欄がありませんでした。「次の更新日時」だけでは、予定が決まっていないときの確認先も残りません。そこで、下のメモには「未判明事項の確認担当」と「次回連絡が未定の場合の確認先」を加えました。

これは架空文面を使った文章上の記入点検です。事故対応の有効性や、行政報告・本人通知の適法性を検証したものではありません。HaruIroAIは、分からないことを推測で埋めず、確認する担当と連絡先を残せる形を重視します。

記入して使う、顧客情報の事故・初動メモ

以下は本記事用に作成した記入欄案です。実運用済みの資料や、公式の提出様式ではありません。

事態を知った日時：
情報源：
確認済みの事実：
未判明事項：
未判明事項の確認担当：
対象情報と人数の見込み：
拡大防止措置：
委託先の窓口：
行政報告の担当・予定：
本人通知の担当・予定：
次の更新日時：
次回連絡が未定の場合の確認先：

まず「知った日時」「確認済みの事実」「担当」「次の更新日時」を埋め、公式案内から報告対象と報告先を確認してください。未判明事項には確認担当を、次回連絡が未定なら確認先を残します。このメモを埋めること自体は、行政報告や本人通知の完了を意味しません。具体的な法的判断に迷う場合は、公式窓口や専門家へ確認します。

顧客情報の預け先や、緊急連絡先を把握したい方へ

平時の準備では、予約・通販などの利用サービスについて、管理担当と緊急時の問い合わせ先を把握しておくことから始められます。

Webまわりの管理担当や連絡先の把握について相談したい方は、はるいろWeb担当の初回相談（30分・⁠無料）をご覧ください。相談欄ではLINEを優先して案内しています。この記事の窓口案内は、法的判断、行政への提出代行、緊急事故対応の提供を約束するものではありません。

関連記事・参照資料

続報や預け先の確認は情報漏えいの発表文12件を10月15日の夜に読み直した、侵入口や予防点検は焼肉きんぐを含む直近の不正アクセス13件、発表文を読み比べたで扱っています。

制度の根拠は、個人情報保護委員会の漏えい等の対応とお役立ち資料とガイドライン（通則編）3-5です。事例はクラブツーリズムの2026年10月31日付第1信に基づきます。資料の確認日は2026年11月1日です。制度案内や事案の続報は、各公式ページで最新情報を確認してください。