漏えい等の報告で、アクセスの記録(ログ)から示すこと

個人情報の漏えい等を個人情報保護委員会に報告するとき、アクセスの記録が裏づけるのは、9 つの報告項目のうち 4 つです。いつから何が起きたかという経過、触れられた個人データの項目、その本人の数、そして原因です。記録で「見られていない」と確かめられなければ、その範囲は漏えいのおそれに当たり得ます。報告が要る 4 つの事態と期限は漏えい等とは(個人情報保護法の報告義務)にあります。

報告の項目と、記録で示すもの

報告の項目は、個人情報保護法の施行規則 8 条 1 項が定める 9 つです。委員会が公開している報告書の様式と記載例を見ると、記録から埋める欄がどれかが分かります。

残りの 5 つ(二次被害、本人への対応、公表、再発防止の措置、その他参考となる事項)は、記録よりも事後の対応で決まります。

委員会の記載例のうち不正アクセスの例では、発生日が 2 月 1 日、発覚日が 4 月 1 日です。発覚のきっかけは決済代行会社からの連絡でした。事業者は外部の業者に調査を頼み、侵入の痕跡から 2 月の日付までさかのぼっています。発覚より前の記録が残っていなければ、発生日と経過の欄を記録からは埋められません。

記録がないと「見られていない」と言えない

報告の対象には、漏えい等が発生した事態だけでなく、発生したおそれがある事態も含まれます。個人情報保護委員会のガイドライン(通則編)の 3-5-3-1 は、おそれを「漏えい等が疑われるものの漏えい等が生じた確証がない場合」と説明しています。

この線引きを記録が左右することは、委員会の Q&A(Q6-2)から読み取れます。設定の誤りで個人データが外から見られる状態になった場合を例にとります。閉じるまでに第三者が見ていないことが「アクセスログ等から確認された場合」は、漏えいに当たりません。逆に、アクセスログ等が確認できない場合は「漏えい（又は漏えいのおそれ）に該当し得ます」としています。記録がなければ、見られていないことを示す材料がないからです。当たるかどうかは、その時点で分かっている事実をもとに、事案ごとに判断します(通則編 3-5-3-1)。

本人の数も同じ考え方で数えます。確定できないときの数え方も通則編にあります。おそれがある個人データの本人の数が「最大 1,000 人を超える場合」は、施行規則 7 条 4 号(1,000 人を超える事態)に当たります。入られたアカウントで開ける顧客が何人いるかが、そのまま「最大」の候補になります。どの顧客の画面を開いたかを記録で絞れなければ、開ける顧客全員を数えることになると読めます。

共有の ID では「誰が」が記録に残らない

報告書の原因の欄では、まず事態がどちらの取扱いで起きたか(様式でいう「主体」)を、報告者・委託先・不明から選びます。自社のシステムで起きたなら、入ったのが外部の人でも主体は報告者です。そのうえで、不正アクセスか従業員不正かといった原因の種類と、その詳細を書きます。

誰が入ったかが分からないと決められないのは、この種類のほうです。施行規則 7 条 3 号の「不正の目的をもって行われたおそれがある」行為をした人には、外部の第三者だけでなく従業者も含まれます(通則編 3-5-3-1)。通則編は、従業者の持ち出しがおそれに当たり得る例も挙げています。サーバーや端末に「通常の業務で必要としないアクセスによりデータが窃取された痕跡」が認められた場合です。

あるアクセスが通常の業務に要るものだったかは、誰のアクセスかが分かって初めて判断できます。1 つの ID とパスワードを複数の人で使う共有アカウントでは、記録に残る ID は人ではなくアカウントを指します。パスワードを知っている退職者が入っても、パスワードを盗んだ外部の人が入っても、記録の上では同じ ID に見えます。どこから入ったか(接続元)で見分けられることもありますが、記録だけでは原因の種類を決めにくく、使える人への聞き取りで絞ることになります。

確報までに記録を出せるか

速報は、事態を知った後、速やかに出します(通則編の目安は概ね 3〜5 日以内)。中身は、報告する時点で把握している範囲で足ります。記録が問われるのは、30 日以内(3 号の事態は 60 日以内)に出す確報です。確報では 9 項目のすべてを報告します。合理的な努力を尽くしても分からない項目は、分かりしだい追加で報告します(通則編 3-5-3-4)。聞き取りにかかる日数も、記録を委託先やサービスの提供者から取り寄せる日数も、この期限の中で見込んでおくことになります。

なお、2026 年 7 月 17 日に公布された改正個人情報保護法には、本人への通知の義務を一部緩める見直しが入っています。この改正法の施行は、原則として公布から 2 年以内です。委員会の資料には、報告の側の見直しも方針として挙がっています。体制や手順について第三者の確認を受けることを前提に一定の範囲で速報を免除すること、違法な第三者提供を報告の対象に加えることなどです。こちらは、いつから適用されるかが資料に書かれていません。報告の決まりについて、この記事はいまの施行規則と通則編に沿っています。

平時に確かめておくこと

通則編の別添は、組織的安全管理措置の手法の例として、担当者の情報システムの利用状況(ログイン実績、アクセスログ等)の記録を挙げています。

委員会は 2026 年 10 月 7 日の注意喚起で、安全管理措置の見直し案を先に示しました。確定は 2027 年 4 月の予定です。案では、技術的安全管理措置(システムの側で行う安全対策)の「講じなければならない措置」に、いまの別添にない「不正アクセス等の検知等」が加わる予定です。不正アクセスを早く見つける仕組みを、平時から整えておく措置です。確定するまでは案で、いまの義務ではありません。

案で手法の例として挙がっているのは、認証や操作などの記録を一定の期間保管すること、改ざんや不正な消去から守ること、定期的に分析することです。注意喚起は、手法の例はすべてを行わなくても直ちに法に反するものではない、としています。委員会の「WARNING」も、不正ログインの事例の原因に、記録の保存と監視のルールがなく検知が遅れたことを挙げています。

報告の項目から逆にたどると、平時に確かめておくことは次の 4 つです。

1. 個人データを扱うシステムで、記録に残る ID が一人の人を指しているか。指していなければ、原因の種類も、通常の業務に要らないアクセスかどうかも判断できません。
2. ログインだけでなく、どの画面を開き、何を書き出したかが残るか。ログインの記録だけでは、本人の数と項目を絞れません。
3. 記録を何日分残すか。記載例のように発覚までに 2 か月かかることもあり、それより短い保存期間では、記録から発生日までさかのぼれません。
4. 記録を誰が消せるか。入った本人が記録を消せる状態では、見られていないことを示す材料になりません。