**法的注意事項：**以下の内容は、2026年8月時点で確認できる法令、政府のガイドラインおよび公開情報をもとに整理したものであり、一般的なBlog情報として提供するものです。特定の事案における法的助言に代わるものではありません。台湾、米国、EUおよび日本の個人情報・情報セキュリティ関連法令は、今後改正される可能性があります。また、米国の各州、業界、および一部のEU加盟国では、追加の規制が適用される場合があります。実際の事案については、データ主体の所在地、企業の営業所在地、業種、データ処理活動、およびインシデント発生時点で有効な法令などを踏まえて判断する必要があります。
個人情報の漏えいは、もはや単に「ハッカーにデータを盗まれる」だけの問題ではありません。
誤って送信したEmail、設定を間違えたクラウドフォルダ、無効化されていない退職者のアカウント、公開状態になっているAPI、共有フォルダに保存されたカスタマーサポートの録音データ、さらには従業員が個人情報を含むファイルを誤った宛先に送信してしまうことなど、さまざまな原因によって個人情報の漏えいが発生する可能性があります。
そして一般の人にとって、本当に厄介なのは「データを見られてしまった」という事実そのものではなく、漏えい後に発生する可能性のある連鎖的なリスクです。
- 標的型・精密詐欺
- アカウントの乗っ取り
- クレジットカードの不正利用
- なりすまし
- プライバシーや名誉の侵害
- 金銭的損失
- 長期的な嫌がらせ
企業にとっては、問題はさらに複雑です。個人情報の漏えいが発生した場合、脆弱性を修正するだけでは済まず、次のような対応が必要になる場合があります。
- インシデント対応
- デジタル・フォレンジック
- 個人情報保護法
- 監督当局への報告
- 本人への通知
- 民事上の損害賠償
- 行政上の制裁
- 刑事責任
- GDPR
- 米国各州のデータ漏えい関連法
- 日本のAPPI（個人情報保護法）
- 金融、医療、上場企業などに適用される業界規制
したがって、本当に重要なのは「個人情報の漏えいが発生するかどうか」ではなく、次のことです。
もし本当に発生したら、私はどのように対処すればよいのか、分かっていますか？
個人情報漏えいが起きたら、まずこの5つを覚えておこう
もし、あなたが「あなたの個人情報が漏えいした可能性があります」という通知を受け取ったばかりなら、必ずしも最初からこの記事を最後まで読む必要はありません。
まずは、次の5つを覚えておいてください。
- まず、実際にどのような情報が漏えいしたのかを確認する。
- パスワードが漏えいした可能性がある場合は、すぐに変更し、同じパスワードを使い続けない。
- 金融情報が漏えいした場合は、すぐに公式の連絡先を通じて銀行またはクレジットカード会社に連絡する。
- 相手があなたの氏名、住所、注文内容、購入金額などを知っているからといって、本物のカスタマーサービスだと信じない。
- 漏えい通知、取引履歴、SMS、Email、カスタマーサービスとのやり取り、その他の証拠を保存しておく。
そのうえで、漏えいしたデータの種類や事案の状況に応じて、警察への届け出、苦情・申立て、損害賠償請求、その他の法的措置が必要かどうかを判断します。
一、「個人情報」とは何か？マイナンバーのような身分証番号だけではない
台湾の「個人情報保護法」によれば、個人情報は身分証番号だけを指すものではありません。
情報によって直接または間接的に特定の自然人を識別できる場合、それは個人情報に該当する可能性があります。例えば、氏名、生年月日、国民身分証統一番号、パスポート番号、連絡先、財務状況、教育、職業、病歴、医療情報、遺伝情報、健康診断情報、犯罪歴、社会活動などが含まれます。
言い換えると、次のようになります。
個人情報は、単独で一人の人物を特定できなければならないわけではありません。異なる情報を組み合わせることで、特定の個人を直接または間接的に識別できる場合も、個人情報保護法による保護の対象となる可能性があります。
例えば、次のような情報です。
- 氏名
- 電話番号
- 住所
- 注文情報
- 会員番号
- 購入・消費履歴
- IPアドレス
- 端末情報
これらの情報が個人情報に該当するかどうかは、具体的な状況や、特定の個人を直接または間接的に識別できるかどうかによって判断されます。
一般的な個人情報は、簡単に次のように分類できます。
- 基本的な識別情報：氏名、誕生日、身分証番号、パスポート番号、写真。
- 連絡先情報：携帯電話番号、住所、電子メール、LINE ID。
- アカウントおよびインターネット関連情報：アカウント、パスワード、ログイン履歴、IPアドレス、端末情報。
- 取引情報：注文情報、購入商品、支払方法、クレジットカード番号の一部。
- 財務情報：銀行口座、収入、ローン、信用情報。
- 雇用・教育情報：勤務先、役職、学校、履歴書、従業員番号。
- 特にセンシティブな情報：病歴、医療情報、遺伝情報、健康診断情報、犯罪歴など。
特に台湾の個人情報保護法では、病歴、医療情報、遺伝情報、性生活、健康診断、犯罪歴などの情報について、より厳格な規制が設けられています。
⚠️ データがより多く、より詳細であるからといって、必ずしも被害が発生したことを意味するわけではありません。しかし一般的には、標的型詐欺、なりすまし、その他のリスクが高まる可能性があります。
氏名とEmailだけが漏えいした場合と、氏名、身分証番号、住所、携帯電話番号、銀行口座、購入履歴などが同時に漏えいした場合では、リスクは大きく異なります。
後者の場合、不正行為を行う者が銀行、ECサイト、病院、政府機関などになりすますことが容易になる可能性があります。さらに、実際の注文内容や購入情報まで伝えることで、あなたの警戒心を下げようとすることも考えられます。
二、個人情報が漏えいした後、どのような問題が起こる可能性があるのか？
個人情報が漏えいしたからといって、「次の瞬間に必ずお金を盗まれる」というわけではありません。
より一般的なのは、攻撃者がまず漏えいした情報を利用して相手との信頼関係を作り、その後、被害者を危険な操作へと誘導するケースです。
1. 📱 標的型詐欺とフィッシングメッセージ
最も一般的な二次被害のリスクは、必ずしもアカウントがすぐに乗っ取られることではありません。むしろ、「自分のことを詳しく知っている」詐欺電話を受けるケースです。
例えば、相手は次のような情報を知っている可能性があります。
- あなたの氏名
- 電話番号
- 注文情報
- 購入した商品
- ホテルの予約情報
- 銀行名
- 購入金額
そして、次のような理由を持ち出します。
- 「注文が二重に決済されています」
- 「会員ランクのアップグレードにエラーが発生しています」
- 「返金処理に失敗しました」
- 「クレジットカードを再認証する必要があります」
このような理由で、インターネットバンキングやATMを操作させたり、偽サイトをクリックさせてクレジットカード情報やアカウント情報を入力させたりします。
したがって、次の点を覚えておいてください。
「相手が私の個人情報を知っている」ことは、「相手が公式の機関である」ことを意味しません。
不審な電話、SMS、Emailを受け取った場合は、自分で公式サイトや銀行の正式な電話番号を調べ、相手が提示した連絡先をそのまま利用しないようにしてください。
2. 🔑 アカウントの乗っ取り
漏えいした情報にアカウントとパスワードが含まれており、さらに他のWebサイトでも同じパスワードを使用している場合、攻撃者による「クレデンシャルスタッフィング攻撃（パスワードリスト攻撃）」を受ける可能性があります。
いわゆるクレデンシャルスタッフィング攻撃とは、すでに漏えいしているアカウントとパスワードを利用して、他のWebサイトへのログインを試みる攻撃です。
例えば、次のようなケースです。
Email：[email protected]
パスワード：12345678
もしこのパスワードを同時に次のサービスでも使用していたら：
- Gmail
- ショッピングサイト
- クラウドストレージ
- 会社のシステム
その場合、いずれか一つのプラットフォームから情報が漏えいしただけでも、他のアカウントにまで連鎖的な影響が及ぶ可能性があります。
パスワードの使い回しは、次のように考えると分かりやすいでしょう。
家の玄関、オフィス、金庫を、すべて同じ1本の鍵で開けているようなものです。
その鍵のうち1本が盗まれるだけで、他の場所まで影響を受ける可能性があります。
3. 💳 クレジットカードの不正利用や金銭的損失
クレジットカード番号、有効期限、セキュリティコード、ネットバンキングの認証情報、その他の認証情報などが第三者に知られた場合、次のような被害が発生する可能性があります。
- クレジットカードの不正利用
- モバイル決済への不正な登録・紐付け
- 銀行口座への不正ログインの試行
- アカウントのなりすまし利用
ただし、注意が必要です。
金融情報が漏えいしたからといって、必ず不正利用や口座の損失が発生するわけではありません。
実際のリスクは、攻撃者がどのような情報を入手したのか、銀行や決済プラットフォームにどのような認証メカニズムが導入されているのか、そしてその情報が実際に不正利用されたのかどうかによって異なります。
たとえ氏名、電話番号、注文情報しか漏えいしていない場合でも、決して軽視してはいけません。
なぜなら、詐欺グループはまず本物の情報を利用して相手の信頼を得たうえで、被害者自身に次のような情報を提供させようとする可能性があるからです。
- OTP認証コード
- クレジットカードのセキュリティコード
- ネットバンキングのパスワード
- 本人確認情報
4. 🪪 身元情報の悪用・なりすまし
身分証明書のコピー、パスポート、健康保険証、自然人証明書に関連する情報、その他の本人確認情報が漏えいした場合、それらが悪用され、次のようなサービスへの申し込みを試みられる可能性があります。
- アカウント
- 携帯電話番号・通信回線
- オンラインサービス
- 金融サービス
- その他、本人確認が必要なサービス
実際になりすましが成功するかどうかは、それぞれの機関が採用している本人確認の手続きや仕組みにも左右されます。
したがって、より正確な表現は次のようになります。
「身分証明書の情報が漏えいしたら、必ずなりすまし被害に遭う。」
ではなく、
情報がより詳細で完全であるほど、潜在的ななりすましのリスクは一般的に高くなります。
5. 🧠 精神的ストレスと名誉・評判への被害
もし漏えいした情報が次のようなものであった場合：
- 医療記録
- 健康状態
- 個人的な連絡先情報
- 勤務先での評価
- 家族に関する情報
- その他のセンシティブな情報
次のような影響が生じる可能性があります。
- 不安
- 嫌がらせ
- 名誉・評判の毀損
- 人間関係への影響
- 職場への影響
- プライバシーの侵害
個人情報保護法は、「お金をだまし取られた」ケースだけを対象とするものではありません。
法律上の要件を満たす場合には、財産的損害だけでなく、非財産的な損害についても損害賠償の対象となる可能性があります。
三、個人情報の漏えいを発見したら、すぐに取るべき8つのステップ
企業や政府機関から、次のような通知を受け取った場合：
「あなたの個人情報が影響を受けている可能性があります。」
Emailを削除するだけで済ませないでください。
以下の8つのステップに従って対応することをおすすめします。
1. まず「何が漏えいしたのか」を確認する
単に次のように考えるだけでは不十分です。
「私の個人情報が漏えいした。」
できる限り、次の点を確認する必要があります。
- どの機関で事故が発生したのか？
- 漏えいが発生したのはいつなのか？
- いつ発見されたのか？
- どのような情報が漏えいしたのか？
- パスワードが含まれているのか？
- パスワードは安全なハッシュ化処理が施されているのか？
- 身分証明書、パスポート、または本人確認書類のコピーが含まれているのか？
- クレジットカード、銀行口座、または取引履歴が含まれているのか？
- 医療情報やその他のセンシティブな情報が含まれているのか？
- 情報はすでに公開されているのか？
- ダウンロード、販売、または不正利用される可能性があるのか？
企業から個人情報の漏えいについて通知を受けた場合は、相手に次の事項について説明を求めることができます。
- 影響を受けたデータの種類
- 事故が発生した日時
- すでに実施された是正・救済措置
- あなた自身が取るべき防護措置
- 今後の問い合わせ窓口
2. すぐにパスワードを変更する。しかも、1つのWebサイトだけでは不十分
漏えいした情報にパスワードが含まれている可能性がある場合は、まず次のアカウントを優先して対応します。
- 電子メール
- インターネットバンキングおよび金融関連のアカウント
- Apple、Google、Microsoftなどの主要アカウント
- SNS
- メッセージングアプリ
- ショッピング、ホテル予約、フードデリバリーなどのサービス
- 仕事用アカウント
- クラウドストレージ
もし同じパスワードを複数のWebサイトで使用していた場合：
そのパスワードを使い回しているすべてのアカウントで、パスワードを変更してください。
新しいパスワードでは、次のような情報を避けてください。
- 氏名
- 生年月日
- 携帯電話番号
- 身分証番号
- 単純な連続番号
- 会社名
できればパスワードマネージャーを利用し、Webサイトごとに異なる強力なパスワードを設定することをおすすめします。
3. 多要素認証（MFA）を有効にする
多要素認証（MFA）とは、パスワードだけではなく、さらに1つ以上の認証要素を必要とする仕組みです。例えば、次のようなものがあります。
- 認証アプリ
- デバイスによる確認
- セキュリティキー
- 生体認証
たとえパスワードが漏えいしたとしても、追加の認証によって第三者による不正ログインを防げる可能性があります。
もしプラットフォームが次のような認証方式を提供している場合：
- SMSによる認証
- 認証アプリ
- Passkey
- セキュリティキー
利用するプラットフォームが対応している範囲で、より安全性の高い認証方式を選択し、バックアップコードも安全に保管してください。
4. 金融情報が漏えいした場合は、すぐに銀行へ連絡する
次のような情報が関係している場合：
- クレジットカード
- 銀行口座
- ネットバンキングのパスワード
- 金融サービスの認証情報
- モバイル決済
銀行の公式Webサイト、通帳、またはクレジットカードの裏面に記載されている正式な電話番号を利用して、直接銀行へ連絡してください。
不審なSMSや知らない番号からの電話で案内された電話番号は使用しないでください。
銀行には、次のような対応を依頼することができます。
- クレジットカードの一時停止または再発行。
- 不要な海外取引やオンライン取引の停止。
- 振込およびカード利用限度額の引き下げ。
- 最近の不審な取引の確認。
- ネットバンキングのパスワードの再設定。
- 登録済みデバイスの再設定。
- すべての取引について通知を受け取る設定。
すでにクレジットカードの不正利用や身に覚えのない送金が発生している場合は、直ちに銀行へ異議申し立ての手続きを行い、次の情報を保存してください。
- 受付番号・案件番号
- 問い合わせ日時
- 取引履歴
- 関連書類
5. 「あなたの情報を知っている人」を信用しない
個人情報が漏えいした後、詐欺師にとって最大の武器となるのは：
本物の情報を知っている可能性があることです。
そのため、相手があなたの次のような情報を言い当てたとしても：
- 氏名
- 住所
- 注文番号
- 購入金額
- 会員情報
だからといって、その相手が本物のカスタマーサービス担当者、銀行職員、政府機関の職員であるとは限りません。
次の原則を覚えておいてください。
- SMSで届いた認証コードを教えない。
- 電話の指示に従ってATMを操作しない。
- 画面共有を開始しない。
- 知らない人からの遠隔操作を受け入れない。
- 不審なSMSやEmailのリンクをクリックしない。
- ネットバンキングのパスワードを教えない。
- クレジットカードのセキュリティコードを教えない。
- いったん電話を切り、自分で公式の電話番号を調べてから、改めて連絡する。
不審に思った場合は、165反詐欺相談専用ダイヤルに電話して相談することができます。すでに詐欺被害に遭っている場合、または緊急性がある場合は、警察に連絡し、できるだけ早く被害届を提出してください。
6. 📝 すべての証拠を保存する
以下の情報を保存してください。
- 会社から送付された個人情報漏えいに関する通知。
- Emailの全文。
- SMSやメッセージングアプリでのやり取りのスクリーンショット。
- 不審なURLおよび送信者情報。
- 銀行の取引履歴。
- 警察への被害届・相談に関する資料（被害届の控えなど）。
- 会社のカスタマーサービスとの通話日時、時間、および問い合わせ・案件番号。
- 事案への対応に伴って発生した費用の領収書・証明書類。
- アカウントへの不審なログインに関する通知。
証拠は、警察に届け出るためだけに必要なのではありません。
将来的に次のような問題に発展した場合にも重要になります。
- 苦情・申立て
- 消費者紛争
- 民事上の損害賠償請求
- 保険金請求
- 監督当局による調査
これらの記録は、いずれも重要な証拠となる可能性があります。
7. 🚨 個人情報漏えいを起こした機関に正式な書面で問い合わせる
台湾の個人情報保護法では、本人は自分の個人情報について一定の権利を有しており、照会、閲覧、複製物の交付、補充、訂正、さらに法定の要件を満たす場合には、収集、処理、利用の停止または削除などを請求することができます。
Emailまたは書面によって、次のような事項を問い合わせることができます。
「私は最近、貴社において個人情報に関するセキュリティインシデントが発生したことを知りました。私自身が影響を受けているかどうか、どのような種類の個人情報が関係しているのか、事故が発生した日時および発見された日時、考えられる原因、現在実施されている是正・救済措置、ならびに私自身が取るべき防護措置についてご説明ください。また、本件に関する問い合わせ窓口および今後の調査結果の通知方法についてもご案内ください。」
書面でやり取りを行うメリットは、将来的に紛争が発生した場合に、次の事項を証明できることです。
- いつ問い合わせたのか
- 何を質問したのか
- 相手がどのように回答したのか
- 相手が積極的に対応したのかどうか
8. 🔎 継続的に監視する。3日間だけ確認して終わりにしない
個人情報はクレジットカードとは異なります。
クレジットカードであれば利用停止やカードの再発行ができます。しかし、
氏名、生年月日、身分証番号、住所などの情報は長期間にわたって存在し続ける可能性があり、コピーされたり、再び悪用されたりする可能性もあります。
そのため、個人情報が漏えいした後は、数日間だけ確認して終わりにするべきではありません。
実際にどのくらいの期間監視を続けるべきかは、漏えいした情報の機微性やリスクの程度に応じて判断することができます。
定期的に次の事項を確認することをおすすめします。
- Emailのログイン履歴
- アカウントのログイン履歴。
- クレジットカードの利用明細および銀行取引。
- 新たに登録・紐付けされたモバイル決済。
- 携帯電話回線や身に覚えのないサービスに関する通知。
- 信用情報やローンに関する通知。
- SNSアカウントに見覚えのない投稿やメッセージなど、異常な活動がないか。
四、もし自社で個人情報漏えいが発生した場合、企業はどのように対応すべきか？
企業がハッカーによる攻撃を受けたからといって、必ずしも企業が法律に違反したことを意味するわけではありません。
しかし、逆に言えば：
「私たちも被害者です」というだけで、企業に法的責任がまったくないことを意味するわけではありません。
監督当局や裁判所は、企業について次のような点をさらに確認する可能性があります。
- 事前に適切な安全管理措置を講じていたか
- アクセス権限の管理は合理的であったか
- 保有しているデータの棚卸し・把握を行っていたか
- ログを取得・保存していたか
- 脆弱性への修正対応を行っていたか
- 委託先の管理を適切に行っていたか
- インシデントを発見した後、直ちに被害拡大を防ぐ措置を講じたか
- 適切な調査を行ったか
- 法令に従って通知を行ったか
- 適切な是正・救済措置を講じたか
したがって、企業が個人情報漏えいインシデントに対応する際、「ハッカーを追い出す」ことだけを行えばよいわけではありません。
1. 🚨 直ちにインシデント対応を開始する
まず、事故の影響範囲をコントロールする必要があります。例えば：
- 感染した端末・機器を隔離する
- 不正利用されたアカウントを無効化する
- 漏えいした鍵・認証キーを失効させる
- 脆弱性を修正する
- データが引き続きダウンロードされることを阻止する
- 異常なAPIを停止する
- 不審な送信元からのアクセスを制限する
しかし、
⚠️ 慌ててコンピューターを初期化したり、ログを削除したり、システムを再インストールしたりしないでください。
これらの操作によって、後の調査に必要な証拠が失われる可能性があるためです。
情報セキュリティ、フォレンジック、または専門のインシデント対応担当者の支援を受け、次の情報を保全する必要があります。
- システムログ
- ログイン履歴
- ネットワークトラフィック
- EDR / SIEMのログ
- アクセス履歴
- APIログ
- クラウドのAudit Log
- 関連機器
2. 🔎 インシデントの影響範囲を明確にする
企業は、次の事項を確認する必要があります。
- 事故が発生した日時
- 事故が発見された日時
- 攻撃の侵入口
- 攻撃の原因
- 影響を受けたシステム
- 関係する個人情報の種類
- 影響を受けたデータ件数
- センシティブな情報が含まれているか
- パスワードが含まれているか
- 金融情報が含まれているか
- データが公開されたか
- データがダウンロードされたか
- どの顧客が影響を受けたのか
- どの従業員が影響を受けたのか
- 取引先・パートナーが関係しているか
- 委託先・外部ベンダーが関係しているか
- クラウドサービス事業者が関係しているか
特に、次の2つを区別することが重要です。
「システムが侵害された」
と、
「個人情報が実際に不正に取得されたことが確認された」
は、法律上およびインシデントの評価上、必ずしも完全に同じ意味ではありません。
3. 📣 本人に通知する
台湾の現行個人情報保護法第12条では、公務機関または非公務機関が保有する個人情報について、盗取、漏えい、改ざん、その他の侵害が発生した場合、調査・確認を行ったうえで、適切な方法により本人に通知することが定められています。
また、監督当局への報告義務があるか、どの監督当局に報告する必要があるのか、報告期限がいつなのかについては、事案が属する業界、所管する事業主管機関、およびその他の関連法令を踏まえて、さらに判断する必要があります。
通知には、単に次のように書くだけでは不十分です。
「十分に注意してください。」
できる限り、次の事項を説明する必要があります。
- どのようなインシデントが発生したのか
- いつ発生したのか
- いつ発見されたのか
- どのような情報が影響を受けた可能性があるのか
- 会社がすでにどのような対応を行ったのか
- 本人がどのような防護措置を取るべきなのか
- カスタマーサービスおよび苦情・申立ての窓口
- 今後の情報をどのように入手できるのか
4. 🏛️ 業種ごとの報告義務を確認する
企業は「個人情報保護法」だけを確認すればよいわけではありません。
業界によっては、独自の安全管理措置やインシデント報告に関する規定が設けられている場合があります。例えば：
- 金融
- 通信
- 医療
- 保険
- 証券
- EC・電子商取引
- 運輸・交通
- 政府機関
- 台湾の「サイバーセキュリティ管理法（資通安全管理法）」の適用対象
したがって、企業は次のすべてを確認する必要があります。
個人情報保護法 ＋ 所管する事業主管機関の規定 ＋ その他の適用法令
そのうちの一つの法律だけを確認すればよいわけではありません。
特に注意：台湾の「72時間」は一律ではない
2025年11月11日に公布された台湾の個人情報保護法の改正では、個人情報の安全インシデントに関する通報、対応、記録などの規定が新設・調整され、関連する行政上の責任についても変更が加えられました。ただし、現在、政府の公式情報では、これらの改正規定の施行日は「未定」とされています。
したがって、2026年8月現在：
まだ施行されていない改正法に含まれる「72時間」などの規定を、台湾のすべての企業に現在すでに適用されている一律の個人情報漏えい通知期限として扱うことはできません。
実際の通報期限については、インシデントが発生した時点で有効な法令、業界ごとの規定、および主管当局の要求事項に基づいて判断する必要があります。
5. 🧾 インシデントの記録を完全に保存する
企業は、以下の情報を保存する必要があります。
- インシデントのタイムライン
- 発見日時
- 法的にインシデントを認識した日時
- リスク評価
- 影響を受けたデータ
- 影響を受けた人数
- 法的判断
- 意思決定を行った担当者
- 通報日時
- 通知内容
- 修正・修復措置
- 救済措置
- 対応が遅れた理由
これらの記録は、主管当局による調査を円滑にするだけでなく、企業自身が合理的なインシデント対応措置を講じたかどうかを証明するうえでも役立ちます。
五、個人情報が漏えいした後、どのような法的責任が生じる可能性があるのか？
個人情報の漏えいには、次のような責任が関係する可能性があります。
- 行政上の責任
- 民事上の責任
- 刑事上の責任
これら3種類の責任は、同時に発生する可能性があります。
例えば：
企業が行政上の制裁を受けると同時に、被害者から民事上の損害賠償を請求される可能性があります。また、刑事上の構成要件を満たす故意の違法行為が別途存在する場合には、刑事責任が生じる可能性もあります。
1. 行政上の責任：主管当局は罰金を科し、是正を命じることができる
ここでは、必ず次の2つを区別する必要があります。
現在施行されている法令
と
2025年11月に公布された、まだ施行されていない改正規定
現在施行されている台湾の個人情報保護法の枠組みでは、非公務機関には、保有する個人情報ファイルについて安全管理義務があります。現行第27条では、個人情報が盗取、漏えい、改ざん、その他の侵害を受けることを防止するため、適切な安全措置を講じることが求められています。
現行第48条では、第27条第1項などの安全管理義務に違反した場合について、次のような制裁が規定されています。
- 新台湾ドル2万台湾ドル以上、200万台湾ドル以下の罰金
- 期限を定めて是正を命じる
- 期限までに是正しない場合、1回ごとに15万台湾ドル以上、1,500万台湾ドル以下の罰金を科すことができる
- 重大な事案については、さらに高額な制裁が定められている場合もある
これらの規定は、現在施行されている安全管理義務および2023年改正後の第48条に基づくものです。
したがって：
⚠️ 「ハッキング被害に遭ったら、必ず1,500万台湾ドルの罰金が科される」という意味ではありません。
実際に違法行為に該当するか、またどの程度の制裁が科されるかについては、次のような点を考慮する必要があります。
- 安全管理義務に違反していたか
- 適切な技術的措置を講じていたか
- 適切な組織的措置を講じていたか
- アクセス権限の管理が合理的であったか
- データの棚卸し・把握を行っていたか
- 監査記録が存在するか
- 脆弱性への修正対応を行っていたか
- 委託先の管理を適切に行っていたか
- インシデント発生後に積極的な対応を行ったか
- 主管当局による調査結果
また、2025年11月に改正された第48条では、安全管理および通報に関する一部の制裁規定がさらに見直されていますが、現時点ではまだ施行されていません。
2. 民事上の責任：被害者は損害賠償を請求できる
台湾の個人情報保護法では：
- 公務機関が個人情報保護法に違反して当事者の権利を侵害した場合、損害賠償責任を負う可能性があります。
- 非公務機関が個人情報保護法に違反して当事者の権利を侵害した場合も、同様に損害賠償責任を負う可能性があります。ただし、非公務機関が故意または過失がなかったことを証明できる場合には、損害賠償責任を負わない可能性があります。
対象となる可能性のある損害には、次のようなものがあります。
- 実際に発生した財産上の損害
- インシデントへの対応に必要となった費用
- プライバシー権の侵害
- 名誉・評判の毀損
- その他の非財産上の損害
個人情報の漏えいでは、いくら賠償されるのか？
これは多くの人が最も気になる問題です。
台湾の個人情報保護法第28条では、被害者が実際の損害額を証明することが困難または不可能な場合、裁判所に対して、侵害の状況に応じて次の金額を基準として算定するよう請求することができます。
1人・1事案につき500台湾ドル以上、2万台湾ドル以下
を基準として計算します。
同一の原因となる事実によって多数の人の権利が侵害された場合、合計額の上限は原則として：
2億台湾ドル
とされています。
ただし、法律上の例外もあります。
最も重要なのは：
⚠️ 個人情報漏えいの通知を受け取ったからといって、自動的に2万台湾ドルの賠償金を受け取れるわけではありません。
実際に損害賠償を請求できるかどうかについては、通常、次の点を確認する必要があります。
- 被告が個人情報保護法に違反しているか。
- 個人情報が実際に侵害されたか。
- 企業に故意または過失があったか。
- 情報漏えいと損害との間に因果関係があるか。
- 被害者が実際に財産上または非財産上の損害を受けたか。
- 裁判所が侵害の程度・状況をどのように認定するか。
3. 刑事上の責任：故意に違法な個人情報利用を行った場合、懲役刑の可能性もある
ここでも、よくある誤解を避ける必要があります。
「個人情報が漏えいした」ことと「必ず個人情報保護法上の刑事犯罪が成立する」ことは同じではありません。
単なる過失によって個人情報が漏えいした場合、それだけで当然に個人情報保護法第41条の刑事犯罪が成立するわけではありません。
現在施行されている第41条は、特定の主観的意図を有し、個人情報保護法の関連規定に違反し、かつ他人に損害を生じさせる行為について刑事責任を定めており、最高で5年以下の懲役、および100万台湾ドル以下の罰金を併科することができます。
例えば：
従業員が利益を得る目的で、会社の顧客リストを故意に持ち出し、詐欺グループに販売した。
これに対して：
会社の設定ミスによって、データが意図せず公開された。
この2つのケースでは、刑事責任についての評価が大きく異なる可能性があります。
したがって：
企業がハッカーによる攻撃を受けた場合、まず判断すべきなのは、安全管理義務を適切に履行していたか、そしてインシデントへの対応が適切であったかという点です。刑事責任については、さらに行為者の主観的な意図やその他の法定構成要件を確認する必要があります。
また、2025年11月に改正された第41条では文言が変更されていますが、現在、政府の公式情報では、この改正規定はまだ施行されていないとされています。
六、国境を越えた個人情報漏えいにはどう対応する？EU・米国・日本の規定
企業が台湾で事業を運営していても、顧客、従業員、またはユーザーが次の地域に所在している場合：
- 欧州連合（EU）
- 米国
- 日本
個人情報漏えいについて、台湾の法律だけが適用されるとは限りません。
特に次のような事業では注意が必要です。
- 越境EC
- SaaS
- アプリ
- クラウドサービス
- 宿泊予約プラットフォーム
- 航空会社
- 金融サービス
- グローバル会員制プラットフォーム
これらの企業では、特に注意する必要があります。
越境インシデントを判断する際には、単に：
「会社はどこに登記されているのか？」
だけを見るのでは不十分な場合があります。
さらに、次のような事項も関係する可能性があります。
- データ主体が所在する地域
- 企業が現地の顧客に商品やサービスを提供しているか
- 個人情報の処理活動
- 業種
- 現地のデータ保護法
- 越境データ移転に関する規制
1. EU：GDPRはリスクに応じた判断と72時間以内の通知を重視
GDPRでは、個人情報の漏えいを次のように呼びます。
Personal Data Breach
その範囲は、「データがハッカーに盗まれた」場合だけではありません。
例えば、次のようなケースも含まれる可能性があります。
- 不正アクセス
- 無断での情報開示
- データの紛失
- データの破壊
- データの改ざん
- ランサムウェアによってデータが利用できなくなること
- Emailの誤送信による個人情報の漏えい
- クラウドのアクセス権限設定ミス
GDPRにおける個人情報漏えい対応の基本的な流れ
1. まず、自然人の権利と自由にリスクが生じるかを判断する
インシデントについて：
自然人の権利と自由に対してリスクを生じさせる可能性が低い
場合、原則として監督機関への通知を行わなくてもよいとされています。
ただし、次のような記録は残しておく必要があります。
- インシデントの内容
- 影響
- その判断に至った理由
- 救済・是正措置
などの記録です。
これは、GDPRにおける「アカウンタビリティ（説明責任）」という考え方の重要な部分です。
2. 通報義務がある場合、原則として72時間以内に監督機関へ通知
GDPR第33条の核心となる要求事項は次のとおりです。
個人情報の漏えいが自然人の権利および自由に対してリスクを生じさせる可能性がある場合、原則として、認識した時点から72時間以内に、所管の監督機関へ通知しなければなりません。
重要なのは：
72時間は、「最初にコンピューターの様子がおかしいことに気付いた時点」から機械的にカウントされるわけではありません。
重要なのは、データ管理者が合理的に次の事実を認識した時点です。
「Personal Data Breach」に該当するインシデントが発生したこと。
そのため、企業はインシデント対応プロセスの中で、次の時点を明確に記録する必要があります。
- 異常を発見した日時
- 侵入を確認した日時
- 個人情報が影響を受けたことを確認した日時
- 法的にインシデントを認識した日時
72時間以内にすべての情報を把握できない場合でも、まず初期段階の通知を行い、その後、追加情報を補足することができます。
欧州データ保護委員会（EDPB）も、企業はデータの種類、機微性、数量、想定される損害、影響を受ける人、その他の要素に基づいてリスク評価を行うべきであると強調しています。
3. リスクが高い場合、データ主体への通知も必要になる可能性がある
個人情報の漏えいによって、自然人の権利および自由に対して次のような影響が生じる可能性が高い場合：
高いリスク
監督機関への通知だけでなく、不当な遅延なく、影響を受けた本人に通知することも通常必要になります。
通知内容については、可能な限り明確に次の事項を説明する必要があります。
- 何が起きたのか
- どのようなデータが関係しているのか
- どのようなリスクが生じる可能性があるのか
- 本人がどのような対策を取ることができるのか
- 企業がどのような救済・是正措置を講じたのか
- 問い合わせ窓口
4. データ処理者にも通知義務がある
インシデントが次のような事業者で発生した場合：
- クラウドサービス事業者
- 外部委託のカスタマーサポート
- システム運用・保守事業者
- SaaSプロバイダー
- その他のデータ処理者
データ処理者は、不当な遅延なくデータ管理者へ通知する必要があります。
そのため、企業は外部委託契約において、通常、次のような条件を定めます。
法定期限よりも短い社内向けのインシデント通知期限。
例えば、疑わしいインシデントを発見した場合、法定期限が迫るまで待つのではなく、数時間以内に企業へ通知することをサプライヤーに義務付ける、といった規定です。
GDPRの72時間は「72時間以内にすべての調査を完了する」という意味ではない
これは非常に重要なポイントです。
企業は：
「72時間以内にすべてのデジタル・フォレンジック調査を完了する」
ことがGDPRの要求事項だと考えるべきではありません。
重要なのは：
調査がまだ完全に終了していないことを理由に、企業が通知などの対応をまったく行わないことはできないという点です。
現時点で把握している情報を先に提出し、その後、追加情報を補足することができます。
GDPRの最高罰金額はいくら？
GDPRの行政制裁金は、違反した規定によって異なるレベルが設定されています。
重大な違反の一部について、法律上の最高額は次のとおりです。
2,000万ユーロ、または企業の直前会計年度における全世界年間売上高の4％のいずれか高い方。
ただし、これは：
法律上定められた最高限度額です。
つまり：
「個人情報が漏えいしたら、必ず2,000万ユーロの罰金が科される」
という意味ではありません。
実際の制裁金を決定する際には、次のような要素も考慮されます。
- インシデントの性質
- 継続期間
- 故意または過失
- データの種類
- 影響を受けた人数
- 損害の程度
- 企業の協力状況
- 改善措置
2. 米国：単一の統一ルールはなく、州法と業界法を同時に確認する必要がある
米国の個人情報漏えいに関する制度は、GDPRとは大きく異なります。
最大の特徴は：
すべての一般企業、すべての種類のデータ、そしてすべての個人情報漏えい事件を包括的に規制する単一の連邦法は存在しないということです。
実務上は、同時に次のような規定を確認する必要があります。
- 州法
- 連邦法
- 業界関連法規
- 契約上の義務
- 決済カード関連のルール
- 主管当局の要求事項
米国では、50州、ワシントンD.C.および一部の領域において、データ漏えい時の通知に関する法律が定められています。ただし、個人情報の定義、インシデントの定義、通知対象、通知期限、暗号化されたデータに対する例外などについては、地域によって完全に同じではありません。
したがって：
企業は、本社所在地の州だけを確認すればよいわけではありません。
影響を受けた人が次の地域に居住している場合：
- California
- New York
- Texas
- Florida
それぞれの州法を個別に確認する必要が生じる可能性があります。
米国企業が個人情報漏えいを発見した後、どのように対応すればよいのか？
以下のような方向性でインシデント対応プロセスを構築することができます。
- 直ちにインシデント対応チームを立ち上げる。
- 情報セキュリティ、フォレンジック、法務、事業運営、人事、広報および経営層を含める。
- 影響を受けたシステムを隔離する。
- データがさらに流出することを阻止する。
- デジタル証拠を保全する。
- 攻撃の侵入口を確認する。
- データの種類を確認する。
- 影響を受けた人数を確認する。
- 影響を受けた人が居住する州を確認する。
- 州ごとに通知義務を分析する。
- 業界ごとに連邦法上の規制を分析する。
- 影響を受けた人への通知を行う。
- 脆弱性を修正する。
- その後のなりすまし犯罪や詐欺のリスクを監視する。
米国の医療業界：HIPAA
企業がHIPAAの規制対象となっており、保護されていない医療情報（PHI）が漏えいした場合、次の対象者・機関への通知が必要になる可能性があります。
- 影響を受けた個人
- HHS
- 特定の状況におけるメディア
500人以上に影響する場合、HHSへの通知は原則として不当な遅延なく行う必要があり、発見から60暦日以内に行わなければなりません。
500人未満の場合、HHSへの報告制度は異なり、通常は年度単位で報告することができます。
したがって：
米国における「60日」という期限も、すべての企業に共通する一律の期限ではありません。
米国上場企業：SECの4営業日
米国の上場企業は、SEC（米国証券取引委員会）のサイバーセキュリティ・インシデント開示規則にも注意する必要があります。
企業があるサイバーセキュリティ・インシデントについて、重要性（material）があると判断した場合、原則として：
重要性を判断した後、4営業日以内
にForm 8-K Item 1.05を通じて開示する必要があります。
ここは非常に間違えやすいポイントです。
SECの「4営業日」は、「最初にハッカーによる攻撃を発見した時点」から数えるものではありません。
むしろ：
企業がそのインシデントを重要なもの（material）であると判断した時点
が基準となります。
したがって、米国の上場企業は同時に次のような義務に対応しなければならない可能性があります。
州のデータ漏えい通知法＋業界関連法＋SECの開示義務
つまり、そのうちの一つだけを処理すればよいというわけではありません。
3. 日本：APPIは特定の重大な事案について、義務的な報告と本人通知を求める
日本では、主に次の法律に基づいて個人情報保護制度が運用されています。
「個人情報の保護に関する法律」
英語では通常、次のように呼ばれます。
Act on the Protection of Personal Information（APPI）
主な監督機関は：
Personal Information Protection Commission（PPC）
どのような個人情報漏えい事件が報告の対象となるのか？
日本のAPPI制度の重要なポイントの一つは、特定の種類に該当し、個人の権利利益に重大な影響を及ぼす可能性がある事案について、報告および本人への通知を求めていることです。
主に次のようなケースが含まれます。
- 病歴、健康情報、犯罪歴などの「要配慮個人情報」が含まれている場合。
- データが不正に利用されることによって財産的損害が発生する可能性がある場合。例えば、クレジットカード情報や、決済機能を有するアカウントおよびパスワードなど。
- 不正な目的で行われた可能性がある事案。例えば、外部からの不正アクセス、従業員による悪意のあるデータ持ち出し、ランサムウェア、データ窃取など。
- 1,000人を超えるデータ主体の個人データが関係する事案。
日本のPPCが現在公表している公式情報でも、速報と確報の期限が明確に区別されています。
日本における3～5日、30日、60日とはどう考えればよいのか？
報告の対象となる事案に該当する場合、PPCの公式説明では次のようになっています。
速報
原則として：
発見日から3～5日以内
にまず速報を行います。
確報
一般的なケースでは：
発見日から30日以内
に確報を完了します。
ただし、次のようなケース：
不正な目的による利用のおそれがある場合
には、確報の期限が：
発見日から60日以内
となる場合があります。
ただし、ここでは必ず注意が必要です。
⚠️ 60日は特定の場合における確報の期限であり、企業が「60日目まで待ってから対応を開始してよい」という猶予期間ではありません。
企業はインシデントを発見した後、直ちに次の対応を行う必要があります。
- 事故を封じ込める
- 調査する
- 評価する
- 証拠を保全する
- 報告義務の有無を判断する
- 影響を受けた本人へ通知する
日本でも本人への通知が求められる
要件を満たす事案については、企業は原則として、できるだけ速やかにデータ主体本人へ通知する必要があります。
通知内容には、次のような事項を含めることができます。
- インシデントの概要
- どのような個人情報が関係しているのか
- 発生原因
- 想定されるリスク
- すでに講じた対策
- 問い合わせ窓口
本人への直接の通知が実際には困難な場合には、規定に従い、本人の権利利益を保護することができる別の方法を講じることも可能です。
日本の制度における重要な特徴の一つは：
「すでにデータがダウンロードされたことが確認された場合」に限って評価するわけではないということです。
個人情報の漏えい、滅失、毀損、および不正利用のおそれがある事案についても、APPIの規定に基づいて評価する必要があります。
日本のPPCも、ランサムウェアなどのケースを漏えい等の事案における対応範囲に含めています。
七、台湾・EU・米国・日本にはどのような違いがあるのか？
| 比較項目 | 台湾 | EU GDPR | 米国 | 日本 APPI |
|---|---|---|---|---|
| 制度構造 | 個人情報保護法＋所管官庁および業界規制 | GDPR＋加盟国および業界規制 | 州法＋連邦法＋業界規制 | APPI＋特定業界および関連規制 |
| 核心となる判断 | インシデント発生時に有効な法令および業界規制に基づいて判断 | 個人の権利および自由に対するリスクに基づいて判断 | 州法、データの種類、居住地および業界規制に基づいて判断 | 特定の重大なインシデント類型に基づいて判断 |
| 監督機関への通知 | 適用される法律および業界規制に基づく | 要件を満たす場合、原則72時間以内 | 州および業界によって規定が異なる | 要件を満たす場合、速報は約3～5日 |
| 本人への通知 | 個人情報保護法および関連規定に基づく | 高いリスクがある場合、原則として必要 | 州法および業界規制に基づく | 要件を満たす場合、速やかに通知 |
| 最大の特徴 | 業界規制が分散しており、法改正の施行日にも注意が必要 | 72時間＋リスクベース＋アカウンタビリティ | 高度に細分化されており、州ごとの分析が必要 | 特定の重大事案＋速報／確報 |
| よくある誤り | まだ施行されていない改正法を現行法として扱う | すべてのフォレンジック調査が完了するまで通知を待つ | 本社所在地の州だけを確認する | 60日を対応の猶予期間だと考える |
情報源： [eur-lex.europa.eu], [edpb.europa.eu] [ncsl.org], [hhs.gov], [sec.gov] [ppc.go.jp], [ppc.go.jp]
最も重要な4つの違い
第一に、期限が異なります。
GDPRには、比較的明確な「72時間以内に監督機関へ通知する」というルールがあります。日本では、速やかな速報とその後の追加報告が基本となります。米国では、州法や業種ごとの規制を確認する必要があります。台湾では現在も、事故発生時点で有効な個人情報保護法、業種別の規制、および所管官庁の要求に基づいて判断する必要があり、海外の「72時間」という期限を台湾のすべての企業に適用される法定期限と直接みなすことはできません。
第二に、通知義務が発生する基準が異なります。
EUでは、個人の権利と自由に対するリスクを中心に判断します。日本では、要配慮個人情報、財産的被害、不正目的、および1,000人を超える個人データなど、一定の類型が明確に定められています。米国では、個人情報の定義、実際に取得されたかどうか、損害リスクなどについて、州ごとに異なる規定があります。
第三に、監督機関の構造が異なります。
EUでは、各国のデータ保護監督機関がGDPRを執行します。日本では個人情報保護委員会（PPC）が中心となります。米国では、州司法長官、FTC、HHS、SEC、その他の業種別監督機関が同時に関係する可能性があります。国際的なデータ漏えい事故では、複数の監督機関にそれぞれ報告する必要が生じる場合があり、一つの通知を送ればすべての義務を果たしたことになるわけではありません。
第四に、記録義務も同様に重要です。
最終的に外部への通知が必要かどうかにかかわらず、企業は、発見日時、事故を認識した日時、リスク評価、影響を受けたデータ、法的判断、意思決定者、是正措置、通知が遅れた場合の理由などを記録しておく必要があります。特にGDPRでは、「通知しない」と判断した場合であっても、その判断理由と根拠を監査可能な形で記録・保存しておくことが重要です。
八、台湾では本当に個人情報漏えい事件が発生しているのか？
答えは、「はい。しかも、インターネット企業だけで発生しているわけではありません」です。
台湾では現在、すべての業種にそのまま適用できる単一の「個人情報漏えい発生率」は存在しません。
その理由として、報告制度がそれぞれ異なる所管官庁に分散していること、事故の定義が異なること、さらに、一部の企業では詐欺被害、ダークウェブ上での販売、あるいは所管官庁による調査をきっかけとして初めて漏えいに気づくケースが考えられることなどが挙げられます。そのため、実態を正確に反映しない可能性がある単一の割合を引用するよりも、実際の行政処分や公開された事例からリスクを理解するほうが適切です。
事例1：上海商業儲蓄銀行の顧客情報漏えい
2023年、台湾の金融監督管理委員会（FSC）は、上海商業儲蓄銀行における顧客情報漏えいに関する不備について、銀行法に基づき1,000万台湾ドルの罰金を科しました。FSCが指摘した問題には、パソコン管理者の権限管理やポータブルデバイスの管理が不十分であったこと、社内規定に従った個人情報の利用履歴を保存していなかったこと、さらに情報セキュリティ監視ソフトウェアのテストおよび実施確認が不十分であったことなどが含まれています。この事例は、企業にとって問題は必ずしも「ファイアウォールの強度」だけではなく、アクセス権限の管理、USBなどのポータブルデバイス、そしてログや記録の保存も同様に重要であることを示しています。詳しくは、FSCが公開している処分内容：「上海商業儲蓄銀行客戶資料外洩所涉缺失一案」をご参照ください。
事例2：第一金人寿のテレマーケティング録音データ漏えい
2025年、第一金人寿は、匿名化されていないテレマーケティングの録音データを従業員教育に利用し、そのファイルを共有フォルダに保存していたことに加え、個人情報の棚卸しに完全には含めておらず、アクセスおよび削除の履歴も十分に保存していなかったことから、合計60万台湾ドルの罰金を科され、期限を定めた改善を命じられました。この事例は、個人情報がデータベースだけに存在するわけではなく、顧客対応の録音、紙の書類、共有フォルダ、従業員教育用の資料などにも個人情報が含まれる可能性があることを示しています。詳しくは：「第一金人壽辦理電話行銷及個資保護作業裁罰案」をご参照ください。
事例3：チャイナエアライン、格上レンタカー、iRentなどの事件
台湾の国家発展委員会（NDC）は、2023年に個人情報保護法の改正について説明した際、チャイナエアライン、格上レンタカー、iRentなどの個人情報漏えい事件を例として挙げ、交通主管機関が事業者に対して期限を定めた改善を求め、行政処分を行ったことを説明しました。これらの事例は、航空、レンタカー、EC、宿泊、金融、保険など、大量の消費者データを保有する業種であれば、攻撃や不正アクセスの対象となる可能性があることを示しています。
九、よくある5つの誤解
誤解1：「身分証番号が漏えいしなければ深刻ではない」
氏名、電話番号、メールアドレス、注文内容などを組み合わせるだけでも、非常に精度の高い標的型詐欺に利用される可能性があります。
誤解2：「パスワードを変更すれば大丈夫」
身分証情報、住所、取引情報、医療情報などがすでに漏えいしている場合、パスワードの変更で対処できるのはアカウントのリスクだけです。その他のなりすましやプライバシー侵害を防ぐことはできません。
誤解3：「会社はハッカーに攻撃された被害者なのだから、責任はまったくない」
会社が被害者であることと、会社が個人情報を保護する義務を十分に果たしていたかどうかは、別の問題です。基本的なセキュリティ対策、アクセス権限の管理、監査ログなどが適切に整備されていなければ、企業が行政上および民事上の責任を負う可能性があります。
誤解4：「お金をだまし取られていなければ、損害賠償を請求できない」
個人情報保護法は、財産上の損害だけでなく、非財産上の損害も認めています。ただし、被害者は自らの権利がどのように侵害されたのかを説明する必要があり、裁判所も具体的な事情に基づいて判断します。漏えい通知を受け取っただけで、自動的に賠償を受けられるわけではありません。
誤解5：「データを削除すれば証拠は残らない」
事故発生後にファイルを無計画に削除したり、システムを再インストールしたり、ログを消去したりすると、調査が困難になる可能性があります。また、企業自身がどのようなセキュリティ対策や対応を行ったのかを証明できなくなる可能性もあります。正しい対応は、まず対象を隔離し、証拠を保全したうえで、専門家による分析と復旧を行うことです。
十、個人情報漏えい時のセルフチェックリスト
👤 個人向け
- ☐ 漏えいしたデータの種類を確認する
- ☐ パスワードが含まれているか確認する
- ☐ 他のサービスでも使い回しているパスワードをすべて変更する
- ☐ 多要素認証（MFA）を有効にする
- ☐ メールアカウントのログイン履歴を確認する
- ☐ SNS・ソーシャルメディアのアカウントを確認する
- ☐ 金融情報が漏えいした場合は銀行に連絡する
- ☐ クレジットカードと銀行口座の取引履歴を確認する
- ☐ モバイル決済の利用状況を確認する
- ☐ 情報漏えいに関する通知を保存する
- ☐ SMSやメールを保存する
- ☐ カスタマーサービスとのやり取りを保存する
- ☐ 不審なリンクをクリックしない
- ☐ OTP（ワンタイムパスワード）を他人に伝えない
- ☐ クレジットカードのセキュリティコードを他人に伝えない
- ☐ 詐欺の疑いがある場合は165全民防騙網に連絡する
- ☐ 財産上の被害が発生した場合は速やかに警察へ届け出る
- ☐ アカウントと金融状況を継続的に監視する
🏢 企業向け
- ☐ 個人情報・情報セキュリティインシデント対応チームを立ち上げる
- ☐ インシデント指揮センターを設置する
- ☐ 影響を受けたシステムを隔離する
- ☐ 被害の拡大を防止する
- ☐ システムログを保全する
- ☐ デジタル証拠を保全する
- ☐ 攻撃経路を特定する
- ☐ インシデントのタイムラインを明確にする
- ☐ 影響を受けたデータを特定する
- ☐ データ件数を確認する
- ☐ 影響を受けた人数を確認する
- ☐ センシティブなデータが含まれているか確認する
- ☐ 金融情報が含まれているか確認する
- ☐ データがダウンロードまたは公開されたか確認する
- ☐ 台湾の個人情報保護法の適用状況を確認する
- ☐ 所管官庁・業種別の規制を確認する
- ☐ 国境を越えたデータに関係する国を確認する
- ☐ GDPRが適用されるか確認する
- ☐ APPIが適用されるか確認する
- ☐ 米国の州法を確認する
- ☐ HIPAA、SECなどの業種別規制が関係するか確認する
- ☐ 法律上の「知悉した日時」を記録する
- ☐ 通知期限の一覧を作成する
- ☐ 委託先事業者の通知義務を確認する
- ☐ 本人への通知が必要か判断する
- ☐ カスタマーサービスと救済窓口を提供する
- ☐ 脆弱性を修正する
- ☐ アクセス権限を再設定する
- ☐ 証明書とTokenを失効させる
- ☐ 委託先事業者を再評価する
- ☐ インシデント報告書を完成させる
- ☐ 事後改善を実施する
- ☐ インシデント対応訓練を実施する
十一、企業は日頃からどのように個人情報漏えいを防ぐべきか？
本当に成熟した情報セキュリティとは、個人情報が漏えいしてから対応することではありません。
企業は、事故が発生する前から、包括的なデータ保護体制を構築しておく必要があります。
1．データの棚卸しを徹底する
企業は少なくとも、次のことを把握しておく必要があります。
「自社にはどのような個人情報があるのか？」
そして、
「それらのデータはどこに保存されているのか？」
たとえば、次のような場所です。
- Database
- NAS
- File Server
- Cloud Storage
- CRM
- ERP
- SaaS
- カスタマーサービスシステム
- バックアップ
- 紙の書類
2．データ分類を構築する
データを機密性のレベルに応じて分類します。たとえば：
- 公開
- 社内
- 機密
- 個人情報
- センシティブな個人情報
さらに、分類に応じて、それぞれ異なる以下のルールを設定します。
- アクセス権限
- 暗号化要件
- 保存期間
- バックアップ方法
- 削除方法
3．最小権限を徹底する
従業員に対して、
「仕事をしやすいから、すべての情報を見られるようにしておこう。」
という考え方を認めるべきではありません。
代わりに、
Need to Know
および
Least Privilege
の原則を採用します。
4．退職者のアカウントを直ちに無効化する
個人情報漏えいの多くは、必ずしも高度なハッカーによるものとは限りません。
たとえば、
退職した従業員のアカウントがまだログインできる。
というケースもあります。
そのため、次のようなプロセスを構築する必要があります。
人事の退職手続き → ITへの通知 → アカウント無効化 → Token失効 → VPN失効 → Cloud権限失効
という一連のプロセスです。
5．重要データを暗号化する
少なくとも、次の点を検討する必要があります。
- 通信時の暗号化
- 保存データの暗号化
- バックアップの暗号化
- 鍵管理
特に、次のような情報については注意が必要です。
- 身分証情報
- 金融情報
- 医療情報
- パスワード
- センシティブな個人情報
6．ログと監視を整備する
企業は、重要なシステムについて、少なくとも次の質問に答えられる状態を維持する必要があります。
- 誰がログインしたのか？
- 誰が閲覧したのか？
- 誰がダウンロードしたのか？
- 誰が変更したのか？
- いつ行われたのか？
- どのIPアドレスからアクセスしたのか？
ログがなければ、事故が発生した後にできることは、往々にして、
「推測する。」
十二、まとめ：個人情報漏えい後は、スピードと記録が同じくらい重要
個人情報の漏えいを「完全に元に戻す」ことは困難です。しかし、適切に対応することで、被害を大幅に抑えることは可能です。
一般の人にとって最も重要なのは、できるだけ早くパスワードを変更し、多要素認証を有効にし、金融機関に連絡し、標的型詐欺に注意するとともに、証拠を保存しておくことです。
企業にとっては、技術的な脆弱性だけに対処するのではなく、事故調査、法的判断、監督機関への報告、本人への通知、そしてその後の改善まで同時に進める必要があります。
事故が異なる国の顧客や従業員に関係する場合、企業は会社の登記所在地の法律だけに基づいて対応すべきではありません。
同じ一つの事故でも、EUのGDPRにおける72時間以内の通知、日本のAPPIに基づく重大な漏えい等の報告、米国各州の住民への通知、さらに金融、医療、上場企業などに適用される業種別規制が同時に発動する可能性があります。
国際的なインシデントで最も重要なのは、どれか一つの法律を選ぶことではありません。まず、データ主体がどの国・地域に分布しているのか、どのような種類のデータが含まれているのか、そして最も短い通知期限はいつなのかを確認する必要があります。そのうえで、法務、情報セキュリティ、事業運営、広報が共同で通知内容を管理し、報告漏れ、報告遅延、地域ごとの説明内容の不一致を防ぐことが重要です。
個人情報保護は、情報システム部門だけの仕事ではありません。
カスタマーサービスの録音、紙の履歴書、共有フォルダ、マーケティングリスト、委託先のシステム、退職者のアクセス権限など、さまざまなものが情報漏えいの入口になる可能性があります。
本当に成熟した対応とは、事故が発生する前に、データの棚卸し、アクセス権限の分類、インシデント報告プロセス、定期的な訓練を完了しておくことです。顧客が詐欺電話を受けてから、初めて原因を探し始めるのではありません。
最後に、実務上とても重要な原則を一つ覚えておいてください。
個人情報が一度漏えいしたら、まずリスクをコントロールし、次に影響範囲を確認し、同時に証拠を保全し、最後に責任を追及する。
本当に成熟した企業とは、
「事故が起きた後、どれだけ速く対応できるか。」
だけで評価される企業ではありません。
むしろ、
事故が起こる前から、データがどこにあるのか、誰がアクセスできるのか、どのように監視するのか、どのように報告するのか、そして事故発生時に誰が意思決定を行うのかを把握している企業です。
個人情報保護は、本質的に情報セキュリティでもあります。
実際に個人情報漏えい事件に対応している場合は、165全民防騙網で不審な詐欺について確認できます。個人情報保護法および政府による対応については、個人情報保護委員会準備処「個人資訊外洩處理流程」および「個人資料保護法」の現行条文も参考にしてください。
十三、参考資料
法律・政府関連リソース
- 個人資料保護法 完整條文
- 個人資訊外洩處理流程
- 個資外洩糾紛解決流程
- 個人資料保護法第28條：公務機關損害賠償責任
- 個人資料保護法第29條：非公務機關損害賠償責任
- 個人資料保護法第41條：刑事責任
- 個人資料保護法第48條：行政罰則
- 個人資料保護法修法問答集
- 165全民防騙網
- 國發會：個資法修正與企業個資外洩罰責
- 個資外洩72小時通報配套草案相關報導
台湾における個人情報漏えい・行政処分事例
- チャイナエアライン会員の個人情報漏えい事件、交通部が処分を検討
- 格上レンタカー個人情報漏えい事件、公路総局が10万台湾ドルの罰金
- iRent個人情報漏えい事件、公路総局が20万台湾ドルの罰金
- 上海商業儲蓄銀行の顧客情報漏えいに関する行政処分
- 第一金人寿の個人情報保護業務に関する行政処分
司法実務
EU GDPRと個人情報漏えいガイドライン
- EU「一般データ保護規則（General Data Protection Regulation, Regulation (EU) 2016/679）」
- European Data Protection Board：GDPRに基づく個人データ侵害通知に関するガイドライン9/2022
- European Data Protection Board：個人データ侵害通知の事例に関するガイドライン01/2021
米国の個人情報漏えいと業種別規制
- Federal Trade Commission：Data Breach Response, A Guide for Business
- National Conference of State Legislatures：Security Breach Notification Laws
- U.S. Department of Health and Human Services：HIPAA Breach Notification Rule
- U.S. Department of Health and Human Services：Submitting Notice of a Breach to the Secretary
- U.S. Securities and Exchange Commission：Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure
