「ECサイトからのクレジットカード情報漏えい事案における法的留意点（下）」の版間の差分

サイバー攻撃を受けた被害実態が定かでないなかで義務づけられる速報、およびフォレンジック調査だけでも数週間はかかることが少なくないなかでの確報について、実務上の対応の工夫が重要となる。

以下では、改正法施行後8カ月間(本稿執筆時点)の実務の経験から明らかになった個人情報保護委員会の対応について紹介する。

==== 4 対外公表 ====

フォレンジック調査の完了後、決済代行会社と協議し、公表日を決定することとなる。

ECサイト運営企業がSNSのアカウントを用いて宣伝を行っている場合は、当該SNSアカウントでの発表も検討対象となる。SNSアカウントにおいて自社商品の宣伝を行いながらも、当該アカウントで漏えい事案公表に関する発信を行わないといった対応は、ユーザーからの批判を招くリスクを伴う。

上記3で説明したとおり、一定の漏えい事案においては本人への通知が個人情報保護法上の義務となる。

ECサイトでの漏えいの場合は、本人への通知はECサイトのアカウント作成時に登録されたメールアドレス宛に電子メールを配信する方法で行う場合が多いが、電子メールが届かない場合であっても、上記の例外に該当する場合を除いては原則として通知義務があることから、書面の郵送や電話による本人への伝達といった手段を検討する必要があると考えられる。

漏えい対象となった人数にもよるが、公表直後はユーザーからの問合せが殺到するため、筆者らの実務経験上 公表直後は土日祝一日も問合せ窓口の受付を実施することが望ましい。