お問い合わせ
0120-855-995
LINEで相談個人情報漏洩の被害者対応マニュアル｜謝罪・補償・再発防止の正しい進め方
2025年12月23日
個人情報漏洩は、企業の信用を根底から揺るがす重大インシデントです。発生直後の一言・一手が、信頼回復のスピードも、法的リスクも、コストも大きく左右します。
ここでは、漏洩発覚からの初期対応、被害者への謝罪と補償（損害賠償）方針の決定、そして再発防止策の策定・公表までを、実務で使える形で解説します。
発覚直後にやるべきこと：正確な情報と“安心できる窓口”を最速で
まずは、事実を正確に伝え、被害者の不安を最小化すること。スピードと透明性が命です。
ただし、原因や被害範囲の特定に時間を要するケースもあり、不確定な情報の開示はかえって混乱を招きます。そのようなケースではその時点で確実にわかっていることと、被害拡大防止のためにお願いする対応を中心に開示し、その後、事実が分かり次第、随時アップデートしていくこととなります。
基本原則
迅速な一次公表
事実関係の骨子がまとまり次第、最初のアナウンスを出す（「調査中」であっても、分かっている範囲を明確に）。
正確性と一貫性
社内外でメッセージを統一し、誤解を生む表現を避ける。
被害者中心の姿勢
企業の弁解ではなく、影響を受けた方の安全確保と不安解消を最優先。
証拠保全
原因調査・法令上の報告・保険申請に必要なログ・記録・時系列を取得・整理。
最初に伝えるべき要点（一次公表の骨子）
- いつ、どこで、何が起きたか（発生日・検知日・概要）
- 影響の可能性がある情報（氏名・住所・連絡先…等：確定/可能性の区別を明示）
- 現時点で把握している被害の有無（不正利用の兆候など）
- 直ちに講じた対策（アクセス遮断、調査着手、関係機関相談等）
- 専用窓口（電話／メール／受付時間）と次回アップデート予定
専用窓口（コールセンター）の立ち上げ
- 専用ダイヤルと専用メールを開設（既存窓口と分ける）。
- FAQとトークスクリプトを準備（本人確認、想定質問、注意喚起文言）。
- 応対者の研修：感情ケア（傾聴・共感）と事実伝達（ブレない情報）の両立。
謝罪文の作り方：形式ではなく“安心”を届ける文章に
謝罪文は、被害者の不安を和らげ、今後の行動を案内するための“安全運転マップ”です。テンプレの羅列ではなく、読み手が「何をすればよいか」を理解できる文章にします。
必須要素
- 深いお詫びの表明と責任の受け止め
- 事故の概要（発生・検知・判明の経緯、対象情報、件数の見込み）
- 二次被害の注意喚起（想定されるリスクと、今すぐ取ってほしい対策）
- 会社として講じた措置と今後の見通し（いつ、何を、どこまで）
- 個別相談の導線（専用窓口・受付時間・本人確認方法）
- 再発防止への具体的コミット（期限・責任者・監査計画）
謝罪文（例）
────────────────
件名：個人情報漏えいに関するお詫びとご報告
お客さま各位
このたび、当社においてお客さまの個人情報の一部が外部へ漏えいした可能性が判明しました。関係する皆さまに多大なるご心配とご迷惑をおかけしておりますこと、心より深くお詫び申し上げます。
1.事案の概要
・発生日（推定）：〇年〇月〇日／検知日：〇年〇月〇日
・判明経緯：〇〇の監視アラートを契機に調査を実施
・漏えいの可能性がある情報：氏名、住所、電話番号、メールアドレス 等
・対象件数：現時点の見込み〇件（確定次第、改めてご報告します）
2.現在判明している被害状況
・不正利用の事実：現時点では確認されておりません／一部兆候を確認し調査中です
3.直ちに講じた対策
・当該システムの遮断およびログの保全、専門機関と連携した原因調査
・監督機関への報告準備／関係各所への連絡
4.お客さまへのお願い（二次被害防止）
・不審なメールやSMS、電話にご注意ください
・パスワードの再設定（使い回しの停止）をお願いいたします
5.お問い合わせ窓口
・専用ダイヤル：〇〇-〇〇〇〇-〇〇〇〇（平日9:00–18:00）
・専用メール：privacy@xxxxx.co.jp
※ご本人確認のため、氏名・ご登録電話番号の照会にご協力ください
6.再発防止策
・アクセス権限の再設計、監視強化、第三者によるセキュリティ監査を〇月末までに実施
・結果と改善状況は当社Webサイトにて順次ご報告いたします
本件を厳粛に受け止め、再発防止に全力で取り組んでまいります。
〇年〇月〇日 〇〇株式会社 代表取締役 〇〇〇〇
────────────────
裁判例を踏まえた補償・損害賠償の考え方
補償は「法的責任の有無」と「信用回復」の双方を見据えて設計します。金額だけでなく、提供タイミング・手続の平等性・説明の透明性が重要です。
検討の軸
- どの情報が漏れ、どの程度のリスクが生じたか（個人識別性、機微性、組み合わせによる悪用可能性）
- 二次被害の有無（迷惑メール・勧誘電話・成りすまし等）
- 影響人数と総額インパクト（単価×件数）
- 補償以外の保護措置（信用情報モニタリング、ID保護、なりすまし対策支援）
- 補償の公平性（対象範囲、応募・申請方式、周知手段）
参考になる金銭補償のレンジ（相場“例”のイメージ）
- 氏名・住所・連絡先等の流出、二次被害なし：数千円程度の見舞金を採用する事例が散見
- センシティブ情報（健康・金融属性 等）を含む、二次被害なし：1万円前後まで引き上げる事例あり
- 二次被害が具体化：数万円規模の和解・支払いが選択される高額例も存在
※個別事案で大きく異なります。弁護士の個別評価が前提です。
金銭以外の保護措置（組み合わせが有効）
- パスワード一斉リセットサポート／使い回し検知の案内
- クレジット監視・本人確認強化サービスの無償提供（一定期間）
- 迷惑連絡ブロックの実務支援（手順書・設定サポート）
方針の出し方（意思決定の型）
- 迅速な“仮方針” → 監督機関・顧問弁護士とすり合わせ → “確定方針”公表
- 分割公表（第1報：骨子／第2報：補償詳細）は有効。拙速な金額提示で後退するより、段階的に正確さを優先。
再発防止：“具体と期限”を示す
被害者対応と並行して、原因究明と恒久対策を“期日つきで”示します。
口約束ではなく、計画・実行・検証のサイクルを対外的に示すことが信用回復の近道です。
技術的対策
- 権限の最小化と棚卸、ログ監視・SIEM強化、メール・Webゲートウェイの高度化
- 脆弱性診断とパッチ運用の定例化、保存データの暗号化・トークナイゼーション
- 重要システムのネットワーク分離、バックアップのオフライン化と復元訓練
組織・人的対策
- 事故対応マニュアルの改訂（一次公表手順、連絡網、FAQ、サンプル文書）
- 年次の机上演習（Table-top）と年1–2回の実地訓練
- 委託先・共同利用先を含めた契約条項の見直し（監査権・報告義務・SLA）
ガバナンス・公表
- 経営層の関与（取締役会での定期報告、責任者の明確化）
- いつまでに何を完了するか（期限・KPI）をリリースで明示
- 第三者監査の結果概要を公開（守秘を害さない範囲）
よくある“やってはいけない”誤り
- 事実未確定を理由に沈黙を続ける（不信の最大要因）
- 専用窓口がつながらない／回答が日によってブレる
- 法令報告や本人通知の判断を先送りする
- 補償の対象・手続が不透明で、不公平感を生む
- 「再発防止策」を一般論で濁し、期限や責任者を示さない
まとめ：信頼回復は“誠実×透明×継続”の積み上げ
生き残る企業は、早く、正確に、誠実に動きます。
初期対応で被害者の不安を下げ、裁判例・リスクを踏まえた補償を設計し、再発防止を“期限つきの約束”として実行する。
この一連の流れを丁寧にやり切ることが、失墜した信頼を取り戻す唯一の道です。
よくある質問（FAQ）
Q：すぐ公表すべきですか？事実が固まっていないのですが。
A：「分かっている範囲」を一次公表し、確定できた事項から段階的に更新するのが原則です。沈黙は不信を招きます。弁護士と広報で骨子を固め、タイムラインを示しましょう。
Q：個人情報保護委員会への報告と本人通知は、どんなときに必要？
A： ①要配慮個人情報が含まれる場合、② 財産的被害が生じるおそれがある場合、③ 不正アクセス等の不正行為による漏えいの場合及び④ 漏えい等の件数が1,000件以上の場合に委員会報告と本人通知が求められます。
Q：謝罪文で法的責任を認めたことになりませんか？
A：表現に注意すれば大丈夫です。事実経過とお詫び、被害者保護措置、再発防止を中心に、過失の断定や法的評価を避けた文言設計を行います。リーガルレビューは必須です。
Q：補償額はどう決めるべき？
A：漏えいした情報の性質、二次被害の有無、裁判例の傾向、人数、総額影響、平等性、説明可能性で総合判断します。金銭に加え、信用監視や設定支援など“実効的な保護”を組み合わせるのが効果的です。
Q：二次被害が確認できない場合でも補償は必要？
A：ケースバイケースです。二次被害がなくても、見舞金や保護サービスの提供を選ぶ企業は少なくありません。信用回復と訴訟回避の観点から、総合判断します。
Q：委託先からの漏洩です。責任の所在と対応は？
A：原則として貴社にも管理責任が問われ得ます。委託契約の報告義務・監査条項・賠償条項を確認し、貴社主導で被害者対応を実施。並行して委託先への是正・求償の検討を行います。
Q：集団での請求や訴訟が来たときの初動は？
A：受任窓口を一本化し、事実関係・影響範囲・補償方針を速やかに開示。和解の選択肢を含め、経営と法務で戦略判断します。
Q：クレジットカード情報が絡む場合の追加対応は？
A：カード会社や決済代行との連携、監視強化、カード再発行支援が必要です。連絡・再発行の費用負担方針も明示します。
Q：再発防止策は何から着手すれば良い？
A：権限最小化、ログ監視強化、パスワード・MFA運用、脆弱性パッチの定例化、バックアップのオフライン化（復元訓練付き）を“今月中の短期タスク”として着手。並行して第三者診断と監査計画を立てます。
※内容によってはご相談をお受けできない場合がありますので、ご了承ください。
