個人情報が漏えいしたら｜ネットショップの報告と連絡の手順（個人情報保護委員会・本人・カード会社）

2026年10月23日時点の情報です。報告対象なら個人情報保護委員会へ速やかに速報を行います。目安は概ね3〜5日以内、確報は30日以内、不正目的の類型では60日以内です。 報告対象の事態では、原則として顧客本人にも、その状況に応じて速やかに通知する必要があります。 調査の完了を待たず、把握できた内容で報告を進め、楽天や決済関係者への連絡も並行して行います。

個人情報漏洩が疑われたときの初動

店舗の責任者へ直ちに共有し、被害の拡大防止と証拠の保全を、報告準備と並行して進めます。

個人情報保護委員会の通則編は、内部報告、被害拡大防止、事実調査、影響範囲の特定などを求めています。店舗では、次の手順で担当者と対応記録を整理すると、報告の準備が進みます。

1. 経営者や店長、個人情報管理責任者へ共有し、調査と対外連絡の担当者を決めます。
2. 誤公開の停止や対象システムの隔離など、被害を広げないための対応を検討します。
3. ログや発見時の画面、委託先からの通知を保存し、調査に必要な証拠を保全します。
4. 発覚日時、対象情報、本人の数、実施した措置を記録し、報告対象か確認します。
5. 調査と並行して関係先へ連絡し、連絡日時、伝えた内容、次の対応を記録します。

証拠が失われる操作は、調査担当者と相談して進めます。以上は、個人情報保護委員会の通則編3-5-2を踏まえた実務上の整理です。

個人情報保護委員会への報告対象となる4類型

個人データの漏えい等が、次のいずれかの類型に該当すれば、原則として委員会への報告が必要です。

「漏えい等」には、漏えいだけでなく滅失・毀損も含まれ、発生したおそれがある事態も対象になります。表は、通則編3-5-3-1の報告対象に沿った整理です。

1,000人以下でも、ほかの類型に該当すれば報告対象になり得ます。 すべての条件を満たす必要はありません。

不正目的の類型には、取得済み・取得予定の個人情報で、個人データとして取り扱う予定のものも含まれます。この範囲は2024年4月施行の改正に関係するため、保存前の情報も確認対象になります。

高度な暗号化など、必要な保護措置を講じたデータは、報告対象から除かれる場合があります。暗号化の有無だけでなく、復号に必要な鍵の管理状況なども確認して判断します。

報告の期限

速報と確報は、調査の完了日ではなく、報告対象事態を知った時点を基準に期限を管理します。

速報の「概ね3〜5日以内」は、その日まで待てるという意味ではありません。法令上の基準は「速やかに」であり、把握できた内容から報告を進めます。

確報は知った日を初日として数え、土日・祝日も含めます。期限日が行政機関の休日に当たる場合は、通則編に定める休日の扱いを確認します。

合理的な調査を尽くしても未判明事項が残る場合は、期限内に把握済みの内容を報告し、判明後に追完します。詳細は、通則編3-5-3-3・3-5-3-4に示されています。

法人では、いずれかの部署が知った時点が基準になります。個別判断を前提に、部署内の従業者が知った時点で部署が知ったと考えるため、社長への報告日まで起算点を遅らせないようにします。PPCのQ&A Q6-24

連絡する相手

委員会、本人、決済関係者、警察、モールは役割が異なるため、相手ごとに連絡状況を管理します。

警察への相談や楽天への連絡だけでは、委員会への報告や本人通知は完了しません。警察庁はオンライン相談窓口を案内していますが、被害届を提出する場合は、最寄りの警察署等への連絡が必要です。警察庁の相談窓口

楽天の公開サポート案内では、RMSコールセンターや担当ECコンサルタントの存在を確認できます。ただし、一般の漏えい事故に関する専用連絡先は、公開情報では確認できません。楽天市場のサポート案内

事故時の連絡経路は、契約時や管理画面で案内されている経路を確認します。一般サポートを漏えい専用窓口と決めつけず、事故担当部署への連携先を確認します。

個人情報保護委員会への報告方法と記載事項

通常は公式の報告フォームを利用し、速報では、その時点で把握している事項を入力します。

報告の入口は、PPCの「漏えい等の対応とお役立ち資料」です。マイナンバーの有無や、所管省庁への権限委任の有無によって、報告先を確認します。

1. マイナンバーが含まれるか確認し、不明な場合も公式案内に従ってフォームを選びます。
2. 報告者の名称欄には、実務担当者の個人名ではなく、事業者の名称等を入力します。
3. 判明した事実と調査中の事項を区別し、速報時点で分かっている内容を報告します。
4. 続報・確報の担当者と期限を決め、提出した内容と受付情報を店舗内で保存します。

報告事項は、次のようにまとめると準備しやすくなります。

漏えい等報告書の様式と書き方

公式ページの参考用Word様式は、通常の報告に使用するものではありません。社内で報告書を作るときの参考資料という位置づけで、委員会への報告には入力フォームを使うよう案内されています。

報告書を社内でまとめる場合は、フォームと同じ項目立てにしておくと、そのまま転記できます。PPCのページには民間事業者用の記入例が掲載されているため、入力前に記入例で書き方を確認します。速報の段階では、未確定の項目を「調査中」と明記し、推測で埋めないようにします。

2026年10月1日以降は、ランサムウェア事案と、その他サイバー攻撃等事案で共通様式も利用できます。ただし、その提出だけで楽天や決済会社への事故連絡まで完了するわけではありません。

顧客本人への通知内容と連絡方法

報告対象事態では原則として本人にも通知し、本人が被害を防ぐために必要な情報を分かりやすく伝えます。

法定の通知事項は、概要、対象情報の項目、原因、二次被害やそのおそれ、その他参考事項です。すべてが判明するまで通知を待ってよいという制度ではありません。通則編3-5-4

通知には、メールや郵送など、本人に合理的に伝わる方法を選びます。通知は、状況に応じて速やかに行います。

メールが不達でも、直ちに通知困難になるわけではありません。住所や電話番号など、別の連絡手段を保有していれば、その利用も検討します。PPCのQ&A Q6-30

カード情報漏洩時の連絡と決済再開

カード情報が関係するときは、契約先へ速やかに連絡し、クレジットカード・セキュリティガイドラインに沿って対応します。

6.1版は、契約するカード会社〈アクワイアラー〉またはPSP〈決済代行業者〉への連絡を求めています。店舗の契約先と、顧客が持つカードの発行会社は、役割が異なります。

1. 漏えい・漏えい懸念の内容を契約先へ伝え、必要な初動対応を確認します。
2. 契約先の要請に従い、漏えい拡大防止、カード決済の一時停止、証拠保全などを進めます。
3. 専門的な調査で原因と範囲を確認し、顧客対応や再発防止措置を契約先と調整します。
4. 再開に向けた対策を協議し、必要な資料を提出したうえで、契約カード会社の判断を求めます。

再開は、必要な対策や資料の提出を行ったうえで、契約カード会社の判断を求めます。店舗だけで再開を決めず、ガイドライン6.1版と契約先の指示を確認します。

楽天ペイ〈楽天市場決済〉のクレジットカード決済特約の第13条（カード情報の管理に関する特則）にも、カード情報が漏洩等した場合、直ちに楽天へ報告する定めがあります。この条項を、一般の顧客情報すべてに同じ条件があると広げて説明しないようにします。楽天の公開規約PDF

個人情報漏洩を公表するかの判断

事案の公表は一律の義務ではなく、本人通知の代替措置に当たるか、二次被害防止に役立つかを確認します。

PPCのQ&A Q6-33は、本人通知の代替措置として公表する場合を除き、公表が義務付けられているわけではないと説明しています。一方、事案の内容に応じて、公表が望ましい場合があります。

二次被害防止の観点から必要がない場合や、公表で被害が拡大する可能性がある場合は、公表しない判断も考えられます。判断理由と検討経緯を記録し、個人データ自体を公開しないようにします。PPCのQ&A Q6-33

個人情報漏洩に備える平時の対策

不要な個人情報を持たず、暗号化と鍵の分離、事故時の連絡先一覧を、普段から整えておきます。

1. 受注処理で出力したデータなどは保存目的と期間を決め、不要になった情報を適切に削除します。
2. 保存が必要な情報は暗号化を検討し、復号鍵をデータと分けて管理します。
3. 楽天、決済契約先、委託先、調査担当者の連絡先と、社内の代行担当者を一覧にします。

暗号化による報告対象の除外は、措置の内容を踏まえた判断が必要です。単にパスワードを付けたことだけで、報告不要と扱わないようにします。PPCのガイドラインに関するQ&A Q6-19

よくある質問（FAQ）

人数や漏えいの確定だけで判断せず、対象情報、発生原因、委託関係を確認して報告の要否を整理します。

顧客1人への誤送信でも報告が必要ですか

要配慮個人情報や財産的被害のおそれなど、人数以外の類型に該当すれば、報告対象になり得ます。1人だから不要とは決めず、送信した内容と事態を確認します。

漏えいが確定するまで報告を待てますか

報告対象には、漏えい等が発生したおそれがある事態も含まれます。確定や調査完了を一律に待たず、その時点で把握している内容から速報を進めます。

カード番号の下4桁だけでも報告対象ですか

PPCは、下4桁のみと有効期限の組合せでは、直ちに財産的被害の類型に当たるものではないと説明しています。ただし、不正アクセスなど、別の類型への該当性も確認します。PPCのQ&A Q6-12

委託先で漏えいした場合は店舗の報告が不要ですか

委託先が報告するはずと決めつけず、店舗と委託先の義務を確認します。委託先が所定の通知をして報告義務を免除される場合は、通知を受けた委託元が報告します。通則編3-5-3-5

店舗のホームページに載せれば本人通知になりますか

通常の公表だけで、本人への直接の通知に代えられるとは限りません。本人への通知が困難な場合には、公表や対象者が確認できる窓口の公表など、必要な代替措置を検討します。通則編3-5-4-5

漏えいの報告書はWordで作って提出できますか

通常の報告では、PPCの入力フォームを使います。Word様式は社内報告などの参考資料で、提出には使わないよう案内されています。サイバー攻撃等事案の共通様式は別の扱いのため、公式ページで提出方法を確認してください。