２０２６年９月２５日、タイムズカーにおいて、外部からの不正アクセスにより、免許証画像を含む個人情報が流出しました。このような流出が発生した場合、企業が取らなければならない対応を解説します（本コラムは、企業側の視点からの解説となります。）。
第１ 個人情報保護法に関する基礎知識
１ 個人情報保護法とは
個人情報保護法（正式名称：個人情報の保護に関する法律）は、平成15年に成立した法律です。
この法律は、個人情報の適切な取り扱いに関し、個人情報の有用性に配慮しつつ、個人の権利利益の保護を図ることを目的としています。
平成28年には、国の機関として個人情報保護委員会が設立され、個人情報保護法のガイドラインの策定・公表や、事業者に対する監督などを行っています。
２ 個人情報とは（概要）
個人情報保護法では、「個人情報」とは、生きている個人に関する情報であることを前提に、①特定の個人であると分かるもの（氏名、住所、生年月日等）及び他の情報と紐づけることで容易に特定の個人であると分かるもの、または、②個人識別符号が含まれるものと定義されています（個人情報保護法第２条第１項）。
したがって、亡くなった方の情報は、個人情報保護法における「個人情報」にはあたりません。
また、法人（企業や団体など）は生きている個人ではないため、法人情報は「個人情報」に含まれません（もっとも、法人の情報であっても、法人の役員の氏名といった情報は、「個人情報」に含まれることになります。）。
第２ タイムズカーにおける不正アクセス事案
※ 以下、２０２６年１１月３日現在の公開情報に基づく内容になります。
タイムズカーによれば、２０２６年９月２５日、不正アクセスを検知し、その日のうちに、不正アクセス経路が遮断されました。
この不正アクセスにより、約６６２万件の氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報が流出し、そのうち約１４６万件について、暗号化された「本人確認書類の画像」データにアクセスされ、外部送信された痕跡が確認されたとのことです。
運転免許証等の本人確認書類の画像が流出したとの報道により、利用者の間では、借金の申し込みや口座開設に悪用されるのではないかという不安が広がりました。
第３ 外部からの不正アクセスがあった時の対応
１ 結論
外部からの不正アクセスにより、社内の個人データが漏えいした可能性がある場合には、個人情報保護委員会への報告や、本人への通知が必要になります。
２ 個人情報保護委員会への報告
(１) 報告義務があるケース
個人情報取扱事業者は、次の①から④までに掲げる事態を知ったときには、個人情報保護委員会への報告をしなければなりません（個人情報保護法２６条）。
① 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態
② 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
③ 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
④ 個人データに係る本人の数が1000人を超える漏えい等が発生し、又は発生したおそれがある事態
不正アクセス等により個人データが盗まれてしまう場合は、上記の③に該当することになります。
※ なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合など、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告する義務はありません。
(２) 報告の内容
個人情報取扱事業者は、報告の対象となる事態を知ったときは、個人情報保護委員会に対して、以下の内容を報告しなければなりません。
①概要
発生した事態の概要について、発生日、発覚日、発生事案、発見者、上記の各号のうちどれに該当するか、委託元及び委託先の有無、事実経過などを報告します。
②漏えい等が発生し、又は発生したおそれがある個人データの項目
漏えい等が発生した（又は発生したおそれがある）個人データの項目について、媒体や種類（顧客情報なのか従業員情報なのか等）とともに報告します。
③漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
漏えい等が発生した（又は発生したおそれがある）個人データに係る本人の数を報告します。
④原因
そのような事態が発生した原因について報告します。報告者又は委託先のどちらにおいて発生したのかについても報告します。
⑤二次被害又はそのおそれの有無及びその内容
生じた事態に起因して発生する被害又はそのおそれの有無、内容について報告します。
⑥本人への対応の実施状況
事態を知った後、本人に対して行った措置や通知の実施状況について報告します。
⑦公表の実施状況
事態の公表の実施状況について報告します。
⑧再発防止のための措置
漏えい等事案の再発防止措置について、すでに実施したものと、これから実施する予定のものを分けて報告します。
⑨その他参考となる事項
上記の①～⑧の他、事態を把握する個人情報保護委員会にとって参考となる事項があれば、報告します。
報告は、すみやかに実施する「速報」（事態の発覚から、目安として３～５日以内）と、調査後に詳細を報告する「確報」（同じく、不正アクセスの場合には６０日以内）の二段階があります。
３ 本人への通知
不正アクセスによる漏えい等の事案が発生した場合には、個人情報取扱事業者は、個人情報保護委員会への報告だけでなく、本人への通知も行う必要があります。
この本人への通知は、速やかに行われなければなりません。具体的に通知を行う時点は、個別の事案に応じて、その時点で把握している事態の内容や、通知により本人の権利利益が保護される蓋然性、生じる弊害など、いろいろな事情を勘案して判断されます。
したがって、現時点で本人への通知をすると、かえって被害が拡大するおそれがある場合や、混乱が生じるおそれがある場合には、その時点では通知を行う必要はなく、その後の状況に応じて、速やかに本人への通知を行うことになります。
なお、連絡先がわからない等の事情によって、本人への通知が困難な場合には、本人の権利利益を保護するために必要な代替措置（例えば、事案の公表、問い合わせ窓口の設置等）を講ずることによる対応も認められます。
第４ 最後に
不正アクセスのように、個人の権利利益が侵害されるおそれの大きい漏えい等の事態については、個人情報保護委員会への報告が義務付けられており、かつ、本人への通知も必要になります。
また、タイムズカーの事案は、マスコミ等により大きく報道されたほか、SNSでも情報や不安が広がりました。このような事態は、企業にとって大きなダメージとなりえます。
さらに、漏えい事案が発生した場合には、顧客への補償や今後の改善措置など、検討しなければならないことがいくつも出てきます。
個人情報の漏えい等の事案についてのご不安やご相談がある場合は、ぜひ当事務所までお問い合わせください。
グリーンリーフ法律事務所は、設立以来35年の実績があり、18名の弁護士が所属する、埼玉県ではトップクラスの法律事務所です。
企業が直面する様々な法律問題については、各分野を専門に担当する弁護士が対応し、契約書レビューも特定の弁護士が行います。このような専門性により、企業法務において大きな強みを持っています。企業法務を得意とする法律事務所をお探しの場合、ぜひ、当事務所との顧問契約をご検討ください。
※ 本コラムの内容に関するご質問は、顧問会社様、アネット・Ｓネット・Ｊネット・保険ネット・Dネット・介護ネットの各会員様のみ受け付けております。
この記事を書いた弁護士：弁護士 赤木誠治
個人情報保護法
弁護士法人グリーンリーフ法律事務所所属、埼玉弁護士会所属の弁護士。平成30年に弁護士登録をおこない、弁護士法人グリーンリーフ法律事務所に入所。事務所内においては個人情報保護法に関する問題を担当しており、顧問先を中心に多数の相談に対応。個人情報保護に関する顧問向けセミナーの講演実績も有する。
