情報漏洩が発覚した直後、D2C事業者が最初に置くべき優先順位とは

---

「漏洩しているかもしれない」と気づいた瞬間、頭の中で何かがざわつく感覚を覚えた方は少なくないと思います。受注も発送も問い合わせも、すべて自分たちで回しながら、その場でどう動くかを判断しなければならない——D2C・EC事業の現場は、そういう場所です。

この記事では、漏洩が分かった直後に何を先に置くべきかを、個人情報保護委員会の資料と実例をもとに整理します。法律の細かい解釈は専門家に委ねつつ、「経営判断の軸」として使える優先順位の考え方を示します。

---

少人数のD2Cで優先順位が崩れやすい理由

受注・発送・問い合わせを同じ人が担う現場の焦り

D2CやEC事業の多くは、受注管理・商品発送・顧客対応・サイト管理を、同じ数人のチームで回しています。そこに「漏洩かもしれない」という情報が入ってきたとき、最初に頭をよぎるのは「早く直して、販売を再開しなければ」という焦りではないでしょうか。

その焦りは、まったく自然なものです。売上が止まれば事業が傷む。顧客からの問い合わせが増えれば対応が追いつかなくなる。その感覚は間違っていません。

ただ、その焦りが「優先順位を崩す」のです。「直す」ことを最初に置いてしまうと、後の調査に必要な証拠が消え、報告の期限を知らないまま時間が過ぎ、気づいたときには対応の順番が大きく狂っていた——そういうことが起きやすい構造が、少人数のD2C現場にはあります。

担当者が一人で判断を抱えやすい構造

少人数チームでは、「これは誰に報告すべき事態か」「どこまで自分で対応すべきか」という判断を、担当者が一人で抱えやすい構造があります。

問い合わせ窓口に「カード情報が不正に使われた」という連絡が届いたとき、その担当者は「確認してから上に報告しよう」と思うかもしれません。しかし、後で述べるように、報告の期限はその「気づいた時点」から動き始めています。確認を待っているあいだに、期限のカウントが進んでいるのです。

責任者への報告を後回しにするほど、その後の対応の選択肢が狭まる。これが、少人数のD2C現場で優先順位が崩れやすい、もう一つの理由です。

---

最初に置くべきは「報告」と「拡大防止」

個人情報保護委員会の「望ましい措置」の第一段階

個人情報保護委員会の資料『個人データの漏えい等の事案が発生した場合等の対応について』では、漏えい等が発覚した場合に講ずることが望ましい措置として、次の6つが示されています。

1. 事業者内部における報告及び被害の拡大防止
2. 事実関係の調査及び原因の究明
3. 影響範囲の特定
4. 再発防止策の検討及び実施
5. 影響を受ける可能性のある本人への連絡等
6. 事実関係及び再発防止策等の公表

最初に置くべき対応は、①です。責任ある立場の者に直ちに報告し、被害が拡大しないよう措置を講ずること——これが第一段階です。改ざん箇所を修正することや、原因を完全に究明することは、この後に続く段階です。

「直す」と「止める」は別の行動

漏洩が分かった直後、「直す」と「止める」を同じ行動だと混同しやすいのですが、これらは異なります。

「直す」 は、改ざんされたファイルを修正したり、不正アクセスの経路を塞いだりすることです。

「止める」 は、その時点でこれ以上被害が広がらないようにすることです。たとえば、クレジットカード決済を一時停止する、問い合わせ対応の中で「現在システムの確認中です」と伝えることなどが「止める」に当たります。

この2つには順番があります。「直す」前に「止める」を置く必要があります。そして「止める」の前に、「報告」が来ます。報告があってはじめて、組織として動くための判断軸が生まれるからです。

---

凍結対象を保全しながら被害を止める

「凍結対象」とは、その時点の状態のまま残しておくべきもの

漏洩が分かった直後、次のものはその時点の状態のまま残しておく必要があります。

• 改ざんされたファイル
• アクセスのログ・記録
• 使っていた端末
• 届いた不審なメール

これらを「凍結対象」と呼びます。後の調査で「何が起きたのか」を明らかにするために、この時点の状態を保存しておくことが不可欠です。

凍結対象を残すことと、拡大を止めることは両立させる

「凍結対象を残す」と「被害の拡大を止める」は、一見すると矛盾しているように見えるかもしれません。しかし、この2つは両立できます。

具体的には次のような形です。

• 改ざんされたファイルのコピーを取った上で、改ざんされた部分を修正する
• 問題が疑われる端末はそのまま保管しながら、別の端末で業務を再開する

「残してから止める」という順番で対応することが重要です。

端末の初期化など不用意な操作を避ける

個人情報保護委員会の『不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点』では、調査の前に端末を初期化するなどの不用意な操作を避けることが重要だと指摘されています。

初期化してしまうと、後の調査で「何が起きたのか」を明らかにする手がかりが失われます。焦って端末を「きれいにしよう」とする行動が、後の調査を根本から難しくしてしまうのです。

---

報告期限はすでに動いている——起算点の考え方

「知った時点」から期限が始まる

個人情報保護委員会への報告には期限があります。重要なのは、その期限が「いつから」動き始めるかです。

弁護士法人三宅法律事務所の解説『個人情報保護委員会への漏えい報告義務があるのはどんな場合？』では、法人の場合、速報の起算点は「いずれかの部署が当該事態を知った時点」とされています。

つまり、原因が完全に判明した時点ではなく、「何か異常がある」と気づいた時点から、期限のカウントが始まります。経営層が正式な報告を受けた時点を待つ必要はありません。

「知った」に含まれる範囲は広い

「知った」という範囲は、予想より広く解釈されます。

たとえば、顧客からの問い合わせ窓口に「カード情報が不正に使われた」という連絡が届いた場合、その部署が「知った」に含まれる可能性があります。つまり、問い合わせ対応の担当者が異常に気づいた時点で、すでに報告期限が動き始めているということです。

担当者が「まず自分で調べてから報告しよう」と判断したとしても、期限のカウントはその瞬間から始まっているのです。

速報はおおむね3〜5日以内、確報は30日以内

個人情報保護委員会への報告は、速報と確報の2段階があります。

• 速報：発覚日からおおむね3〜5日以内。完全な原因究明は不要。分かっている範囲で報告する
• 確報：発覚日から30日以内。不正な目的で行われたおそれがある場合は60日以内

速報の段階では「すべてを解明してから報告する」必要はありません。「こういう事態が起きています」という現時点での状況を伝えることが求められています。

土日祝日も日数に含まれる

この日数には土日祝日も含まれます。金曜日に漏洩が判明した場合、速報の期限は翌週の水曜日か木曜日ということになります。「週明けに対応しよう」と判断した時点で、期限の多くが消費されている可能性があります。

---

4つの類型で「報告と通知が必要か」を判断する

報告と本人への通知が必要になる4つの類型

個人情報保護委員会への報告と本人への通知が必要かどうかは、漏洩の内容によって判断されます。個人情報保護委員会の『漏えい等報告・本人への通知の義務化について』では、次の4つの類型が示されています。

1. 要配慮個人情報が含まれる場合（健康・病歴・犯罪歴など）
2. 財産的被害が生じるおそれがある場合（クレジットカード情報など）
3. 不正の目的をもって行われたおそれがある場合
4. 1,000人を超える漏えい等の場合

このいずれかに該当すれば、個人情報保護委員会への報告と本人への通知が必要になります。

1,000人以下でも報告が必要な場合がある

「1,000人を超える」という類型があるため、「1,000人以下なら報告は不要」と判断したくなります。しかし、他の3つの類型のいずれかに該当すれば、1,000人以下でも報告と通知が必要になります。

D2C・EC事業でクレジットカード情報を扱っている場合、たとえ漏洩が少数であっても「財産的被害が生じるおそれがある」類型に該当する可能性があります。件数だけを見て「報告不要」と判断するのは、リスクがあります。

個別の判断は専門家に確認する

自社の漏洩がこの4つのどれに該当するかは、事業内容や漏洩の内容によって変わります。個別の判断は、弁護士や個人情報保護委員会の窓口に確認することをお勧めします。この記事はあくまで判断の軸を整理したものであり、法的助言ではありません。

---

漏洩発覚直後にやりがちなこと vs. 先に置くべきこと

発覚直後にやりがちなこと	先に置くべきこと	根拠
改ざん箇所をすぐ直す、端末を初期化する	凍結対象を残してから、拡大を止める	個人情報保護委員会『不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点』
原因が完全に分かるまで報告を待つ	分かっている範囲で速報を出す（おおむね3〜5日以内）	個人情報保護委員会『漏えい等の対応とお役立ち資料』、弁護士法人三宅法律事務所『個人情報保護委員会への漏えい報告義務があるのはどんな場合？』
担当者だけで対応を判断する	責任ある立場の者に直ちに報告する	個人情報保護委員会『個人データの漏えい等の事案が発生した場合等の対応について』
カード決済をそのまま続ける	決済代行会社との取り決めを確認し、必要に応じて一時停止する	実例（通販事業での対応）
「1,000人以下だから報告は不要」と判断する	4つの類型のいずれかに該当するか確認する	個人情報保護委員会『漏えい等報告・本人への通知の義務化について』

---

実例に見る、報告から調査・公表までの流れ

通販事業での漏洩事案の経過

実際の事案から、対応の流れを確認します。

ある通販事業では、2025年8月4日に自社の通販サイトのシステムの一部が第三者に改ざんされていることを確認しました。その4日後の8月8日に、個人情報保護委員会への報告と警察への相談を行い、決済代行会社との取り決めに基づいてクレジットカード決済を停止しています。その後、外部の専門家によるフォレンジック調査を実施し、調査の完了後に漏えいの対象範囲を公表しました。

報告・相談・決済の停止が同時に進む

この事案から読み取れることがあります。報告と警察への相談、そして決済の停止が、ほぼ同時に並行して進んでいる点です。

「報告が完了してから次の対応へ」ではなく、「報告と決済停止を並行して動かす」という判断がなされています。少人数のチームでこれを回すのは負荷が高いですが、順番を待っているほど、被害が広がり続けるリスクがあります。

カード決済を扱う場合は、決済代行会社との取り決めを事前に確認する

この事案では「決済代行会社との取り決めに基づいて」決済を停止しています。自社でクレジットカード決済を扱う場合は、事前に決済代行会社との契約内容を確認し、漏洩が判明した場合の対応フローを把握しておくことが重要です。漏洩が発覚してから契約書を探すのでは遅い場合があります。

---

調査・影響範囲の特定・本人連絡は事実が固まってから

速報の後、調査と影響範囲の特定が続く

速報を出した後、個人情報保護委員会の資料に示された流れに沿って対応が続きます。

• 事実関係の調査及び原因の究明
• 影響範囲の特定
• 再発防止策の検討及び実施
• 影響を受ける可能性のある本人への連絡等
• 事実関係及び再発防止策等の公表

速報の段階では「すべてを解明する」必要はありません。しかし速報を出した後は、この調査と特定のプロセスを確実に進める必要があります。

フォレンジック調査で「何が起きたか」を明らかにする

個人情報保護委員会の『不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点』では、不正アクセス発生時の対応として次の点が重要だと指摘されています。

• 証拠保全を意識しながら対応すること
• 関係者への情報連携と封じ込めを行うこと
• 調査の前に不用意な操作（端末の初期化など）を避けること

外部の専門調査会社によるフォレンジック調査は、「何が起きたのか」を正確に明らかにするために有効です。社内だけで調査を完結させようとすると、調査の精度に限界が生じる場合があります。

本人への連絡と公表は、事実が固まってから

本人への連絡と公表は、調査が完了し影響範囲が特定された後に行われます。「どの範囲の人に、どのような情報が漏洩したのか」が明らかになってから通知と公表を行うことが、個人情報保護委員会の資料でも示されています。

「早く公表すべきか、待つべきか」という判断に迷う場合は、弁護士や個人情報保護委員会の窓口への相談が判断の基準になります。

---

D2C事業者がまず確認しておくべき優先順位の全体像

ここまでの内容を整理します。漏洩が発覚した直後の対応は、次の順番で考えることが基本になります。

第一に動かすこと

• 責任ある立場の者への即時報告
• 被害の拡大防止（決済停止・業務の切り分けなど）

同時に行うこと

• 凍結対象の保全（ログ・ファイル・端末を初期化せず残す）
• 決済代行会社への連絡と確認

報告後に続けること

• 個人情報保護委員会への速報（おおむね3〜5日以内）
• 外部専門家によるフォレンジック調査の検討
• 影響範囲の特定と確報の準備（30日以内）
• 本人への連絡と公表（影響範囲が確定した後）

少人数のD2C現場では、これらを並行して進めることは容易ではありません。しかし「何を先に置くか」という軸だけは、平時から共有しておく価値があります。

---

漏洩発覚の前に確認しておきたいこと

情報漏洩への対応で最も難しいのは、「初めて直面したときに判断を迫られる」という点です。発覚してから契約書を探す、決済代行会社の連絡先を調べる、フォレンジック会社の候補を探す——これらを同時並行でやらなければならない状況は、判断の質を大きく下げます。

今すぐ確認できることが一つあります。今夜、業務が落ち着いた10分で、自社の決済代行会社との契約書の「漏洩時の対応条項」を開いてみてください。それだけで、いざというときの初動が変わります。

---

D2C事業者の情報漏洩対応FAQ——よくある疑問と整理

漏洩の「疑い」の段階でも、個人情報保護委員会に報告する必要がありますか？

個人情報保護委員会の資料『漏えい等の対応とお役立ち資料』では、「発覚した場合」に報告することとされています。「疑い」の段階では、まず社内で事実関係を急いで確認し、「実際に漏洩が起きたのか」を見極めることが先です。ただし、調査の過程で「漏洩の可能性が高い」と判断された場合は、完全な原因究明を待たずに速報を出すことが求められます。

1,000人以下の漏洩なら、報告と本人への通知は不要ですか？

いいえ。個人情報保護委員会の『漏えい等報告・本人への通知の義務化について』では、報告と通知が必要になる4つの類型が示されています。「1,000人を超える」はその1つに過ぎません。たとえばクレジットカード情報が漏洩した場合は「財産的被害が生じるおそれがある」に該当し、1,000人以下でも報告と通知が必要になります。

警察には連絡すべきですか？

個人情報保護委員会への報告が義務とされているのに対し、警察への届出が法的に義務かどうかは、この記事で参照した出典には明記されていません。実際の事案では、個人情報保護委員会への報告と同時に警察への相談を行っているケースがあります。不正アクセスが疑われる場合は、弁護士や個人情報保護委員会の窓口に相談の上、警察への届出の必要性を判断されることをお勧めします。

原因が分かる前に、本人に連絡したり公表したりしてもいいですか？

個人情報保護委員会の『個人データの漏えい等の事案が発生した場合等の対応について』では、本人への連絡と公表は「漏えい等事案の内容等に応じて」行うとされています。調査が完了し「どの範囲の人に、どのような情報が漏洩したのか」が明らかになった後に行うことが想定されています。ただし個別の状況によって判断が異なるため、弁護士や個人情報保護委員会への確認をお勧めします。

外部の調査会社にフォレンジック調査を依頼すべきですか？

個人情報保護委員会の『不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点』では、「専門の調査会社にフォレンジック調査を依頼する」ことが重要だと指摘されています。特に不正アクセスが疑われる場合は、社内だけで対応を完結させようとせず、外部の専門家の支援を受けることが、「何が起きたか」を正確に明らかにするために有効です。

今のLPが「どこで・なぜ」成果を落としているのか。その一点を一緒に見るところから始めます。