先に答え： 3日目にやることは3つです。①対象の本人に通知する（メール・書面・アプリ内通知。連絡できない人には公表で代える）、②公表する（サイトのトップから1クリック、代表者名で）、③お問い合わせ窓口を同時に開く（電話とフォーム。公表の1時間前に稼働）。この3つを同じ日の同じ時刻に合わせるのがコツです。どれか1つが先に出ると、「知らされていない」「電話がつながらない」が起きます。

3日目の位置づけ：会社の中の話を、お客様の話に切り替える日

1日目は止めて残す、2日目は決めて報告する。ここまでは会社の中の仕事でした。3日目からは相手がお客様になります。お客様が知りたいのは原因ではなく、「自分は対象か」「何が漏れたか」「何をすればよいか」「誰に聞けばよいか」の4つです。通知文・公表文・窓口のすべてを、この4つの順番で作ります。

「本人への通知」と「代替措置」とは？

本人への通知とは、漏えいした個人データの本人に、事態の状況に応じて速やかに知らせることです。報告義務がある漏えい（第1回の4つの場合）では義務です。
代替措置とは、連絡先が分からない・退会済みなどで通知が難しいときに、公表と問い合わせ窓口の設置で代えることです。「難しいから何もしない」は認められません。

通知の方法向いている場合注意
メールメールアドレスがある会員件名に社名と「重要」。URLは自社ドメインのみ。フィッシングと見分けがつくように
アプリ内通知・ログイン後の画面アプリ会員、退会者には届かない公表文と同じ内容。プッシュ通知は短く、詳細は画面へ
書面（郵送）住所がある、高齢の方が多い、本人確認書類が漏れた日数がかかるため、先にメール・公表
公表＋窓口（代替措置）連絡先が無い・古い、退会者トップページから1クリック。窓口は公表と同時に開く

48〜72時間にやる3つのこと

1. 知らせる（48〜60時間）：本人への通知文は「5項目を、この順番で」

結論：お客様が知りたい順に書く。お詫びは短く、対象と対処を長く。

通知文に入れる5項目（法令で求められる内容を、読む順に並べたもの）：

  1. あなたが対象かどうか（「〇月〇日時点で〇〇にご登録のお客様」）
  2. 漏えいした（おそれのある）項目（氏名・メールアドレス・電話番号。含まれない項目も書く：「パスワード・クレジットカード番号は含まれません」）
  3. 原因と現在の状況（「外部からの不正アクセス。〇月〇日に遮断し、個人情報保護委員会へ報告、警察へ相談済み」）
  4. お客様にお願いしたいこと（不審なメール・電話・SMSに注意、同じパスワードを他で使っていれば変更、カードの利用明細の確認）
  5. お問い合わせ窓口（電話番号・受付時間・フォームのURL。窓口は通知と同時に稼働していること）

やってはいけない書き方：原因の技術説明から始める／「ご迷惑をおかけする可能性は低い」と先に書く／担当者個人のメールアドレスを載せる／「詳細は調査中」だけで対象の範囲を書かない。

2. 公表する（60〜66時間）：公表文は「通知文＋会社としての約束」

結論：公表文は通知文と同じ言葉で。足すのは「経緯の時系列」と「再発防止の約束」だけ。

公表文の構成（上から順に）：

順番見出し中身
1お詫び3行以内。代表取締役名
2発生した事象いつ・どのサービスで・何が起きたか
3対象のお客様と情報の項目「最大〇件（〇月〇日時点）」。含まれない項目も明記
4経緯（時系列）検知日→遮断日→報告日→公表日。時刻まで書けると信頼される
5現在の対応停止・調査（外部の専門機関）・警察・個人情報保護委員会
6お客様へのお願い通知文の4と同じ
7再発防止確定していなければ「原因確定後、改めて公表」と約束する
8お問い合わせ窓口電話・フォーム・受付時間
9続報の予定「〇月〇日までに続報」。日付を切ると問い合わせが減る

掲載場所は、自社サイトのトップページに目立つリンク、アプリ内、公式SNSの固定投稿。SNSには本文を書かず、公表ページへのリンクと一言だけ（SNS対応は別の記事で扱います）。

3. 支える（公表の1時間前〜72時間）：お問い合わせ窓口を「公表前に」開く

結論：窓口は公表と同時に鳴り始める。公表の1時間前に稼働していなければ、公表を遅らせる。

窓口の立ち上げチェック：

  1. 電話番号とフォームを用意する（通常のお客様窓口と分ける。既存窓口が麻痺する）
  2. 受付時間を決める（初日〜3日は延長。土日も）
  3. 想定質問と回答を10問作る（下の表）。回答は対策本部が承認した言葉だけを使う
  4. 「分からないこと」の答え方を決める（「現時点では確認できておりません。確認でき次第、公表ページでお知らせします」）
  5. 記録する：誰から・何を聞かれ・何と答えたか。質問の多い順に公表ページのFAQへ追加する（毎日更新）
  6. 強い口調・長時間の電話への線引きを決めておく（担当者を守る。別の記事で扱います）
想定質問（多い順）回答の骨子
私は対象ですか？対象の定義を伝える。個別照会の可否と方法
何が漏れたのですか？項目を読み上げ、含まれない項目も伝える
パスワード・カードは大丈夫ですか？自社の保持状況を事実で。変更・明細確認を案内
何をすればいいですか？お願い4点（不審連絡・パスワード・明細・相談先）
補償はありますか？決まっていなければ「検討中。決まり次第公表」
なぜ漏れたのですか？公表文の範囲で。推測は言わない
いつ分かったのですか？なぜ今？時系列を正直に
退会したのに、なぜ情報があるのですか？保存期間の説明。削除希望の受付
本当に御社からの連絡ですか？公式サイトからの確認方法を案内（電話番号を名乗って折り返しは提案しない）
責任者を出してください対策本部の対外担当へのエスカレーション手順

72時間が終わったら：確報・原因・再発防止へ

72時間で「止める・残す・集める／決める・報告する／知らせる・支える」が終わりました。その後は、確報（30日以内、不正の目的は60日以内）に向けて外部の専門機関の調査を進め、原因と再発防止策を確定させ、続報を出します。窓口の質問記録は、確報の「本人への対応」「二次被害のおそれ」の欄にそのまま使えます。再発防止と社内の「予兆の報告」は、連載の次のテーマで扱います。

2026年の事案から学べること

  • Eストアー（最終報 2026年10月16日）：利用者向けにフォームとメール、店舗向けに電話とメールと、相手ごとに窓口を分けて設置しました。連絡先が分からない方には公表と窓口で代えると明記しており、代替措置の実例です。カード情報についても「完全な番号とセキュリティコードは保持していない」と、含まれない情報を書いています。
  • ソースネクスト（2026年10月15日公表）：10月9日の不正利用を13日に把握し、15日に公表しています。検知から公表まで短く、第1報の時点で「調査中」の項目を明示しました（公表時点の内容）。

よくある質問（FAQ）

Q1. 本人への通知は、メールだけでよいですか？
A. メールアドレスが有効な方にはメールで構いません。件名に社名と「重要なお知らせ」を入れ、リンクは自社ドメインだけにします。連絡先が無い方には、公表と問い合わせ窓口で代えます（代替措置）。

Q2. 通知文に書かなければならない項目は何ですか？
A. 概要、漏えいした項目、原因、二次被害のおそれ、その他参考となる事項（お願い・窓口）です。お客様が読む順に「対象か→何が→原因と状況→お願い→窓口」と並べます。

Q3. 公表と本人通知は、どちらを先にすべきですか？
A. 同じ日の同じ時刻にそろえます。公表が先だと「自分は知らされていない」、通知が先だと「SNSで広まってから公表した」と受け取られます。

Q4. 問い合わせ窓口は自社の通常窓口で兼ねてよいですか？
A. 分けることを勧めます。公表直後は問い合わせが集中し、既存のお客様対応が止まります。番号とフォームを別に用意し、受付時間を延長します。

Q5. 「補償はあるのか」と聞かれたら、どう答えればよいですか？
A. 決まっていなければ「検討中で、決まり次第公表ページでお知らせします」と答えます。その場の判断で個別に約束しないよう、回答を対策本部で統一します。

連載の他の回

Zationパートナーズができること

漏えい公表に合わせた専用のお問い合わせ窓口（電話・フォーム）を、想定質問と回答の作成から即日で立ち上げます。質問記録は毎日まとめてお渡しし、確報の資料に使えます。詳しくは お問い合わせ窓口・コールセンター代行へ。

執筆：田村佳則（パートナーズタイムス編集長）　監修：田村佳則 編集長
公開：2026年10月20日　更新：2026年10月20日
本記事は現行の個人情報保護法（第26条・施行規則第10条）に基づきます。2026年7月17日公布の改正法は本稿時点で施行前です。

出典

  • 個人情報保護委員会 ガイドライン（通則編）3-5-4（本人への通知・代替措置）https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ ／「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/
  • Eストアー株式会社「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）https://estore.jp/press/20261016/
  • ソースネクスト株式会社「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）https://www.sourcenext.com/support/i/2026/1015_info/
  • 国家サイバー統括室・個人情報保護委員会・警察庁の注意喚起（2026年10月6日〜9日）
# 不正アクセス # 個人情報保護法 # 初動対応 # 情報漏えい