第１ 本記事の対象と結論
本記事は，タイムズモビリティ株式会社が令和８年９月２５日及び同月２８日に公表した「タイムズカーWebサイト」への不正アクセスを題材として，個人情報保護法上の漏えい等報告，本人通知，退会者・入会未完了者及び法人会員に関する通知先の切り分け並びに貸渡約款の読み方を整理するものである。基準日は令和８年９月２９日であり，今後の続報，個人情報保護委員会の判断又は裁判によって事実関係及び法的評価が変わる可能性がある。
令和８年１０月１３日追補：同社が同月６日に更新した公式FAQも確認した。
第６，第９，第１１及び第１２の追加説明は，同FAQの公表内容に基づく。
なお，令和８年７月１７日に個人情報保護法等の改正法が公布されたが，主要部分は公布日から２年以内の政令で定める日から施行される。本件の報告及び本人通知は，令和８年９月２９日現在の施行法を前提に検討する。将来，施行日，委員会規則又はガイドラインが定められた場合には再確認を要する。
結論は次のとおりである。
- ① 公表された約６６０万件は「アカウント数」であり，直ちに約６６０万人の本人を意味しない。
- ② 不正アクセスによる個人データの漏えい等は，本人が１０００人を超えるか否かとは別に，個人情報保護法施行規則７条３号の報告対象となり得る。
- ③ Webサイトでの公表と，本人に直接知らせる法２６条２項の通知は別である。連絡可能な本人への個別案内，通知不能者への代替措置及び各方法の到達記録を分けて管理する必要がある。
- ④ 退会者や入会未完了者も，対象情報が保有されていれば通知対象となり得る。現にサービスを利用できるかどうかと，漏えいした情報の本人であるかどうかは別問題である。
- ⑤ 法人会員では，法人，契約担当者及び登録運転者を同一視せず，漏えいした情報ごとに自然人である本人を特定する必要がある。
- ⑥ 貸渡約款のパスワード管理条項，責任制限条項又はみなし到達条項から，サーバへの不正アクセスについて当然に本人側の責任となるとの結論は出ない。
第２ 第１報から第３報までに判明したこと
確認済み（一次資料）として，令和８年９月２５日の第１報は，同日午前９時７分に不正アクセスを検知し，第三者がシステムにアクセスした形跡を確認したこと，タイムズカー会員及び退会済み会員の氏名，住所，生年月日，電話番号，メールアドレス，会員番号，免許情報，本人確認書類，法人会員情報及び連携サービスＩＤ等が漏えいした可能性があることを公表した。同月２６日の追記では，同日午前７時２５分までに不正アクセス経路及び攻撃元との通信を遮断し，その後は第三者がアクセスできない状態であることを確認したとしている。
午前９時７分から翌日午前７時２５分までという時間は「検知から遮断確認まで」であり，侵入開始から遮断までの滞留時間を意味しない。最初の侵入日時，侵入継続期間及び最初に情報が取得された日時は，第２報までの公表資料からは確認できない。
確認済み（一次資料）として，同月２８日の第２報は，一部の会員情報が第三者に取得されたことを確認し，漏えいしたアカウント数を約６６０万件とした。対象には，現会員，退会済みの者，入会申込みをしたものの入会が完了していない者並びにタイムズビジネスサービスの現会員及び退会済みの者が含まれる。
漏えいした項目は対象者ごとに異なるとされ，氏名，法人会員の所属部署名，住所，生年月日，電話番号，メールアドレス，運転免許情報，本人確認書類情報（運転免許証画像等），パスワード及び連携サービスＩＤが列挙されている。他方，クレジットカード情報は漏えいしていないことが確認されたとされている。
第２報は，連携サービスＩＤを「WESTER ID等（計９件）」と記載している。しかし，「９件」が９人分，９個のＩＤ又は９種類の連携サービスのいずれを意味するかは，公表文だけでは明確でない。また，連携先のパスワード又は認証情報まで取得されたことや，直ちに連携先へログインできることが確認されたわけではない。
同社は，パスワードは復元できない形式で保管され，当該情報を用いてアカウントが不正利用されるおそれはないと説明している。また，第２報時点で，不特定多数への公開及び本件に起因する不正利用等は確認されていないとしている。これらは公表者の説明であり，暗号化又はハッシュ化の方式，ソルトの有無，計算コスト，個別の不正利用調査の範囲等は公表資料だけでは確認できない。
同社は，同月２９日の第３報で，運転免許証画像等の本人確認書類が漏えいしたアカウント数は約１６０万件であることを確認したと公表した。漏えいが確認されている情報として，運転免許証画像，現住所確認書類画像（公共料金の請求書等），学生証画像（学生プランの場合）及び家族確認書類画像（家族プランの場合）が挙げられている。同社は，同日から本人確認書類の漏えいが確認された会員にメールで個別の案内を始め，漏えいの詳細は外部専門機関の調査結果を踏まえて２週間程度を目処に改めて案内するとしている。本人確認書類の画像は，本人が任意に変更しにくい情報であるから，個人情報保護法施行規則７条２号（財産的被害が生じるおそれ）の検討と，本人通知で伝える二次被害の内容（第５以下）に影響する。
第３ 約６６０万「アカウント」と本人の数は同じとは限らない
第２報が公表したのは「漏えいしたアカウント数」である。個人情報保護法施行規則７条４号が用いるのは「本人の数」であり，両者をそのまま置き換えることはできない。
同じ自然人が，個人会員のアカウント，法人会員の登録運転者としてのアカウント，又は関連サービスとの連携により複数の識別子を持つことがあり得る。反対に，一つの法人会員アカウントに複数の登録運転者が結び付いていることもあり得る。したがって，事業者は，アカウント単位の調査表とは別に，名寄せの根拠と限界を記録した本人単位の通知台帳を作る必要がある。
もっとも，本件について「６６０万件が１０００人を超えるか」を確定しない限り報告義務を判断できないわけではない。次節のとおり，不正アクセスという原因に着目した別の類型があるからである。
報道で示される「件数」が，アカウント数，本人数，流出した情報項目数又は法令違反数のいずれであるかも区別する必要がある。
米国のMeta判決における４３８９万９７２５件は，被害者数ではなく，２６個の表示ごとに想定読者数を積み上げた州消費者保護法上の違反件数であった。
算定方法は，メタに約４兆円の制裁金―ケンブリッジ・アナリティカ事件と４３８９万件の「違反」の数え方で整理している。
第４ 不正アクセスでは１０００人超でなくても報告対象となり得る
個人情報保護法２６条及び同法施行規則７条は，報告及び本人通知の対象となる事態を四つの類型に分けている。そのうち，施行規則７条３号は，不正の目的をもって行われたおそれがある行為による個人データの漏えい等又はそのおそれを対象とする。この類型には１０００人超という人数要件がない。
同号は，個人情報取扱事業者が取得し，又は取得しようとしている個人情報であって，個人データとして取り扱うことを予定しているものを含む。このため，入会手続が完了していないというだけで，入会申込時に送信された本人確認書類等が当然に報告対象外になるわけではない。実際に取得された項目，保存先，利用予定及び不正アクセスとの関係を確認する必要がある。
なお，本件について同社は個人情報保護委員会及び警察へ報告したと公表しているが，委員会がどの類型への該当性を認定し，どのような指導その他の権限行使をしたかは，令和８年９月２９日現在の公表資料からは確認できない。
第５ 公表と本人への個別通知は別の手続である
法２６条２項は，報告対象事態が生じたとき，個人情報取扱事業者が本人に対し，状況に応じて速やかに通知することを原則としている。本人への通知が困難であり，その権利利益を保護するため必要な代替措置を講ずるときは，公表等を代替措置とすることができる。
個人情報保護委員会FAQによれば，漏えい等事案について公表すること自体は一律の法的義務ではない。他方，公表は本人通知の代替措置となることがあり，二次被害防止，類似事案防止又は再発防止の観点から公表が望ましい場合もある。したがって，「ホームページで公表したから全員への本人通知を終えた」と機械的に扱うことはできない。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正）も，３－５－２において，「なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。」としている（同ガイドライン５８頁～５９頁）。また，個人情報保護委員会への報告事項には「公表の実施状況」が含まれている（施行規則８条１項７号）。
運転免許証画像等については，不正利用によって財産的被害が生じるおそれのある個人データとして施行規則７条２号に該当するかが問題となる。ただし，本件のように不正アクセスによる第三者取得が確認された事案では，同条３号に該当すれば，２号該当性を別途確定しなくても法２６条２項の本人通知の対象となり得る。「現時点で不正利用が確認されていない」というだけで，本人通知が不要になるわけではない。
Xの投稿では，投稿者が同社に対し，免許証情報の漏えいは財産的被害を生じるおそれがあるため本人通知を要するのではないか，通知しない場合にはその理由を示してほしいと問い合わせ，その後通知が来た旨を述べている。これは投稿者の説明であり，実際の問い合わせ内容，応答経緯又は個々の対象者への通知状況を一次資料で確認したものではない。しかし，免許証画像等は，パスワードのように本人が任意に直ちに変更できる情報ではなく，本人確認への悪用リスクが継続し得る。したがって，事業者には，通知の有無だけでなく，各本人について漏えいした具体的項目，想定される二次被害，取るべき対応，不正利用の監視範囲及び問い合わせ先を明示することが重要である。
別のX投稿は，運転免許証画像が本人確認に悪用される危険を指摘している。この問題提起には実務上の重要性があるが，流出した静止画像だけで，現在の銀行口座開設，携帯電話契約その他の本人確認を当然に通過できるわけではない。本人確認方法は業種及び事業者によって異なり，容貌画像，ライブ撮影，ＩＣチップ又は公的個人認証等が併用される。
携帯電話契約の非対面本人確認では，運転免許証等の画像と容貌画像を送信する方式は令和８年３月末で認められなくなり，ＩＣチップ等を利用する方法へ移行した。犯罪収益移転防止法上の金融機関の非対面本人確認についても，金融庁は令和９年３月３１日までと同年４月１日以降の方法を分けており，画像を取得しただけで本人確認が完了するとは限らない。もっとも，画像がフィッシング，なりすまし連絡又は名義冒用の準備資料として用いられる危険は残るため，リスクを過小評価してよいという意味ではない。
第２報は，対象となる者へ順次個別に案内するとしている。実務では，メール送信，郵送その他の方法ごとに，送信日時，到達又は不達，宛先の根拠，再送，問い合わせ対応及び代替措置へ移行した理由を残す必要がある。「不正利用は確認されていない」との記載も，確認時点，調査対象及び調査方法を伴う説明として管理し，続報で状況が変われば更新すべきである。
なお，第三者が個人情報保護委員会に対し，特定の事業者の漏えい等報告書の開示を請求した場合，文書の存否自体を明らかにしない存否応答拒否がされるのが通例であり，情報公開・個人情報保護審査会は，事業者が漏えいや報告の事実を公表していない事案でこれを妥当としてきた。他方，同審査会は，事実関係が既に公表されていれば，存否を明らかにしても事業者の正当な利益を害するおそれは認められないとの判断枠組みも示している。本件の第２報は個人情報保護委員会への報告を記載しているから，報告書の存否を伏せる理由は乏しいと考えられる。詳しくは，漏えい等報告書は情報公開請求で開示されるかで整理している。
第６ 退会者及び入会未完了者への通知
退会者については，退会によってサービス利用資格がなくなっても，事業者が過去の本人確認書類，連絡先又は利用記録を保存していれば，その情報の本人であることは変わらない。退会時の削除対象，法令又は紛争対応上の保存根拠，バックアップからの消去時期及び実際の保存期間を分けて確認する必要がある。
同社の公式FAQ（令和８年１０月６日更新）Q５は，退会者への個別案内を同月１日から始めたとし，登録連絡先が現在も有効とは限らないため慎重に対応すると説明している。
登録時の連絡先へ送信したことと，到達したことを分け，通知不能者の連絡先確認・再送及び代替措置を管理する必要がある。
新たな個人情報を問い合わせに用いる場合は，メール内のリンクからではなく，自分で確認した公式窓口を利用する。
入会未完了者についても，契約が成立していないことと，入会申込時に個人情報が取得され保存されていることは別である。本人通知の宛先は，審査のために取得したメールアドレス等が現に利用できるかを確認し，通知不能であればその記録を残すべきである。
タイムズカー貸渡約款３条４項は，入会申込時に提出した申込書，運転免許証の写し等を理由のいかんを問わず返却しないと定める。しかし，「返却しない」という契約条項は，保存期間を無期限とすること，又は削除・消去請求に常に応じなくてよいことを直ちに意味しない。利用目的，法令上の保存義務，紛争対応の必要性及び安全管理上のリスクを踏まえ，保有の必要性を期間ごとに点検する必要がある。
同FAQのQ８は，氏名・住所・生年月日は税法等に基づいて７年間，運転免許情報及び画像はなりすまし対策・問い合わせ対応のため７年間保管していると説明する。
二つは同じ７年でも，公表された保存理由が異なる。
これを「税法が運転免許証画像の７年保存を義務付けている」と読み替えてはならない。
FAQだけでは，具体的な根拠条文，対象書類，起算点又は入会未完了者を含む適用範囲を確定できない。
個々の保存期間の適否は，保存目的，必要性，代替手段，対象・起算点及び安全管理措置に即して検討する。
第７ 法人会員，契約担当者及び登録運転者の切り分け
貸渡約款４９条によれば，法人がタイムズビジネスサービス会員登録を申し込み，法人が利用者として指定した者のうち同社が承認した者が「登録運転者」となる。登録運転者は複数名登録でき，実際の貸渡契約は同社と法人会員との間で成立するとされている。
この構造では，少なくとも，①契約当事者である法人，②法人側の契約又は請求担当者，③登録運転者，④各情報の本人を区別する必要がある。法人への一通の通知が，所属部署名，氏名，住所，免許証画像等を漏えいした全ての登録運転者への本人通知を当然に代替するとは限らない。
通知設計では，漏えい項目ごとに本人を特定し，法人経由の通知が適切か，登録運転者へ直接通知すべきか，既に退職した登録運転者へどのように連絡するかを検討する。法人へ通知を委ねる場合にも，対象者一覧，通知内容，期限，到達確認及び未達者の取扱いを合意し，実施結果を確認する必要がある。
第８ 貸渡約款を読むときの注意点
１ パスワード管理条項
貸渡約款４条２項は，会員に会員番号及びパスワードの善管注意義務を課し，会員が同項に違反して不正利用された場合の料金等を会員に負担させる。しかし，この条項だけから，事業者のサーバへの不正アクセス，認証情報の保存方法又は安全管理措置に関する責任まで会員へ移転するとの結論は出ない。
２ 責任制限条項
貸渡約款２４条４項は，「貸渡契約に関して」会社の責めに帰すべき事由で会員に損害が生じた場合の責任を，故意又は重過失を除き，通常生ずべき現実の損害及び当該貸渡契約の利用料金相当額に限定する。個人情報漏えいによる請求がこの条項の「貸渡契約に関して」に含まれるか，個々の対象者との契約関係があるか，消費者契約法その他の強行法規との関係で有効かは，具体的な請求原因と事実関係により判断される。公表資料だけで適用の有無は確定できない。
３ 個人情報の取扱い
貸渡約款３５条は，個人情報の取得者，管理責任者，利用目的，委託，開示・訂正・削除・利用停止・消去等の請求窓口を定める。本件の問い合わせ窓口と，保有個人データに関する開示等請求の窓口及び手続は同じとは限らないため，目的に応じて使い分ける必要がある。
４ みなし到達条項
貸渡約款４３条２項は，住所又はメールアドレスの変更届を怠った場合，従前の届出先への書類又はメールが通常到達すべき時に到達したものとする。もっとも，この条項が個人情報保護法２６条２項の本人通知についてどの範囲で意味を持つかは別途検討を要する。現実の不達を把握した後も通知済みと扱えることを当然に保証する条項ではない。
第９ 対象者が当面行うこと
- ① タイムズカーを装うメール，SMS又は電話からリンクを開かず，公式サイトを自分で開いて案内を確認する。
- ② 同じ又は似たパスワードを他サービスで使っている場合は，他サービス側のパスワードを変更し，多要素認証を設定する。
- ③ 不審なログイン，連携サービスＩＤの異常，身に覚えのない契約又は本人確認書類の悪用が疑われる場合は，画面，日時，送信元，URL及び通話記録を保存する。
- ④ 個別通知を受けた場合は，自己について漏えいした項目，対象アカウント，登録区分及び連絡先変更の反映状況を確認する。
- ⑤ 必要に応じて，貸渡約款３５条記載の手続により，保有個人データの開示等を請求する。
- ⑥ 本人確認書類画像が対象である場合は，JICC，CIC又は全国銀行個人信用情報センターへの本人申告を検討する。
- ⑦ 本人申告と信用情報の開示を区別し，必要に応じて開示により身に覚えのない契約情報の登録がないか確認する。
信用情報機関への本人申告
JICCは，運転免許証等の現物が手元にあっても，画像を送信して情報が流出した場合を「名義の悪用防止」の本人申告コメントの対象例としている。登録されたコメントは，加盟会員がキャッシングやローン等の申込みについて支払能力を調査する際の参考となる。CIC及び全国銀行個人信用情報センターにも本人申告制度がある。
ただし，本人申告は契約を一律に停止する制度ではなく，名義冒用の防止を保証するものでもない。全国銀行個人信用情報センターへの照会は会員の与信判断に限定され，預金口座開設時には行われない。また，３機関は加盟会員が異なるため，JICCは広く注意喚起する場合には各機関へ登録することを勧めている。
信用情報機関に何が登録されるか，CIC・JICC・全国銀行個人信用情報センターの違い，開示と本人申告の使い分けは，信用情報機関とは―CIC・JICC・KSCの違い，開示方法・費用と何年で消えるか（AI作成）で整理している。
本人申告をしたことと，不審な契約がないことを開示で確認したことを分け，それぞれの受付番号と結果を保存するとよい。
第２報はパスワードを復元できない形式で保管していたと説明するが，パスワードの使い回しがある場合の他サービス側の安全確認まで不要になるわけではない。他方，具体的な不正利用を確認していない段階で，運転免許証の再交付等を一律に勧めることも相当でない。再交付，本人申告又は信用情報開示その他の対応は，自己について漏えいした項目，個別の悪用兆候，各制度の対象範囲及び費用を確認して判断する必要がある。
同FAQのQ９は，非対面の本人確認では容貌画像との照合や本人名義口座による確認等が用いられると説明する一方，ほかの情報・手段を組み合わせた不正行為等の可能性を完全には否定していない。
追加の確認手続があることを被害の不存在の保証とせず，静止画像だけで必ず本人確認を通過できるとの説明もしない。
Q１０は，SMS認証コード，パスワード，各種暗証番号等を聞き出そうとする連絡に注意を求め，同社が電話やメール等でそれらを聞くことはないと説明する。
不審な連絡にはその場で情報を渡さず，自分で開いた公式窓口へ確認する。
照会を受けたときは，相手が既知の氏名や住所を述べたことだけで本人性を判断しない。
第１０ 事業者が残すべき通知台帳
同種事案で事業者が作る通知台帳には，少なくとも次の欄が必要である。
- ① 対象アカウント，名寄せ後の本人識別子及び名寄せ根拠
- ② 現会員，退会者，入会未完了者，法人担当者又は登録運転者という区分
- ③ 本人ごとに漏えいした情報項目と，対象範囲を確定した証拠
- ④ メール，郵送，法人経由その他の通知方法，送信日，到達，不達及び再送
- ⑤ 公表を代替措置とした場合の「通知が困難」である具体的理由
- ⑥ 二次被害の兆候，問い合わせ，訂正内容及び続報の要否
事故全体で漏えいした可能性のある項目の一覧と，各本人について実際に漏えいした項目は区別しなければならない。通知文を一律に作成する場合にも，「全項目があなたについて漏えいした」という誤解を生じさせない表現と，個別確認の方法が必要である。
第１１ 損害賠償と裁判例
最高裁平成２９年１０月２３日判決・平成２８年（受）第１８９２号は，漏えいした個人情報について不快感又は不安を抱いたというだけで損害がないとした原審について，プライバシー侵害による精神的損害の有無及び程度を十分に審理していないとして破棄差戻しとした。同判決が一律の慰謝料額を定めたわけではない。
氏名，住所等の基本的情報を中心とした過去の認容額を，運転免許証画像，認証情報又は複数サービスと結び付くＩＤの漏えいへ機械的に当てはめることはできない。漏えい項目，取得経路，拡散範囲，回収可能性，不正利用，事後対応及び本人への具体的影響を個別に検討する必要がある。
裁判例の認容額及び判例秘書に収録された裁判所HP未掲載判決は，別記事「個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額」で整理している。本件固有の損害賠償を判断した裁判例は，令和８年９月２９日現在，公表資料及び今回確認した資料の範囲では確認していない。本件の事業者名又は事故名による判例秘書の独立検索は実施していないため，これを「裁判例が存在しない」という意味に解してはならない。
本人申告，信用情報開示又は本人確認書類の再交付に要した費用は，対策の必要性及び相当性，本件との因果関係並びに事業者の補償方針によって評価が分かれる。これらの費用が当然に賠償される，又は同社が既に補償すると決定したとの公表は確認していない。
同社の公式FAQ（令和８年１０月６日更新）Q６は，外部専門機関による調査の結果を踏まえて全体方針を決定する予定と説明するにとどまる。
これを補償の決定，賠償義務の承認又は個々の費用の当然の償還と読み替えない。
第１２ 確認済み・公表者の説明・投稿者の説明・推論・未確認事項
１ 確認済み
第１報及び第２報が公表され，第２報が第三者による一部情報の取得，約６６０万アカウント，対象者区分，漏えい項目並びに個人情報保護委員会及び警察への報告を記載していること，貸渡約款に本記事で引用した各条項が存在することは，各一次資料で確認した。第３報が，本人確認書類が漏えいしたアカウント数を約１６０万件とし，学生証画像等の書類の種類を挙げていることも，一次資料で確認した。
２ 公表者の説明
パスワードが復元できない形式で保管されていること，クレジットカード情報が漏えいしていないこと，不特定多数への公開及び本件に起因する不正利用が確認されていないことは，同社の第２報による説明である。
退会者への個別案内を令和８年１０月１日から始めたこと，氏名等と運転免許情報・画像の７年間の保管理由，非対面の本人確認の追加手続と不正利用の可能性の留保，補償の全体方針を調査結果を踏まえて決定する予定であることは，同社の公式FAQ（同月６日更新）による説明であり，独立した事実認定ではない。
３ 投稿者の説明
一つのX投稿は，同社に対し，免許証情報の漏えいと財産的被害のおそれ，本人通知の要否及び通知しない場合の理由を問い合わせ，その後通知が来た旨を述べている。別のX投稿は，免許証画像による名義冒用の危険，退会者及び入会未完了者を含む対象範囲並びに連携サービスＩＤ等を問題としている。後者のうち，約６６０万アカウント，運転免許証画像等，退会者及び入会未完了者並びに連携サービスＩＤは第２報で，学生証画像は第３報で確認できるが，国内での規模順位，過去事案より危険であるとの比較及び静止画像だけで各種本人確認を通過できるとの評価は，一次資料で確認した事実ではない。
４ 推論
約６６０万アカウントと本人の数が一致しない可能性があること，法人会員への通知だけでは登録運転者への本人通知として十分でない場合があること，免許証画像等は本人が任意に直ちに変更しにくくフィッシング又は名義冒用の準備資料として利用されるリスクが継続し得ること及び貸渡約款の各条項だけで本件の民事責任を決められないことは，公表資料，法令及び約款を組み合わせた法的・実務的な分析である。
５ 未確認事項
本人の実数，対象者ごとの漏えい項目，最初の侵入日時，侵入継続期間，侵入手法，認証情報の具体的な保存方式，名寄せ方法，個別通知の完了率，通知不能者への代替措置，個人情報保護委員会の法的評価，実際の不正利用及び損害，本件固有の裁判例は未確認である。「WESTER ID等（計９件）」の単位及び内訳，X投稿者と同社との実際の問い合わせ・応答経緯並びに通知の到達時点も未確認である。第２報が予告する再発防止策の続報と，第３報が予告する漏えいの詳細の案内も確認対象として残る。
公式FAQのQ８にいう「税法等」の具体的な根拠条文，対象書類，起算点及び入会未完了者への適用範囲も未確認である。
第１３ 関連記事
大規模漏えいを想定した企業の平時の準備，証拠保全，行政報告，本人通知及び公表の判断順序は，情報漏洩が相次ぐ今，企業の信頼を守る法務の備えで整理している。
①外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督
②個人情報保護法の安全管理措置は機密性に偏っているか――情報セキュリティ３要素のバランスと報告義務の構造
③個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額
④弁護士が依頼者の本人確認を行う場合―対象業務・確認方法・記録保存・令和９年見直し
⑤漏えい等報告書は情報公開請求で開示されるか―存否応答拒否を妥当とした答申・取り消した答申と公表済み事案での争い方
第１４ 出典及び調査範囲
①タイムズモビリティ株式会社「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第１報）※追記あり」
②同「『タイムズカーWebサイト』への不正アクセスに関する調査結果および今後の対応について（第２報）」及び同「『タイムズカーWebシステム』への不正アクセスに関する調査結果および今後の対応について（第３報）※追記あり」
③タイムズカー貸渡約款
④個人情報の保護に関する法律
⑤個人情報の保護に関する法律施行規則
⑥個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正版PDF５８頁～５９頁）
⑦個人情報保護委員会「漏えい等の対応とお役立ち資料」
⑧個人情報保護委員会FAQ「漏えい等事案が発生した場合に、公表を行うことは義務付けられていますか。」
⑨個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について
⑩日本信用情報機構「不正利用防止の届け出」
⑪日本信用情報機構「本人申告コメントの手続き」のFAQ
⑫CIC「本人申告とは」
⑬全国銀行個人信用情報センター「本人申告の手続き」
⑭金融庁「オンラインで完結可能な本人確認方法に関する金融機関向けQ&A」
⑮デジタル庁「マイナンバーカードの機能のスマートフォン搭載に関する検討会（第７回）」
⑯最高裁平成２９年１０月２３日判決・平成２８年（受）第１８９２号
⑰タイムズモビリティ株式会社「タイムズカーWebサイトへの不正アクセスに関するご質問と回答」（令和８年１０月１日作成，同月６日最終更新）Q５～Q１０
判例調査については，関連記事の作成時に，裁判所Webサイト掲載裁判例及びLLI／DB判例秘書収録の裁判所HP未掲載判決を確認している。本記事ではその調査結果を引用したが，本件の事業者名又は事故名による判例秘書の独立検索は実施していない。令和８年９月２９日時点では事故公表直後であり，本件固有の裁判判断を示すものではない。
なお，Xの投稿（https://x.com/igaki/status/2104589979431456922及びhttps://x.com/t__kimura/status/2104531650285891955）は，免許証情報が容易に変更できないこと，本人通知の要否及び本人確認への悪用リスクに関する問題提起として参照した。投稿者と同社との問い合わせ・応答経緯，通知の到達時点，学生証画像の漏えい及び各投稿者の比較評価は一次資料で確認していないため，投稿者の説明又は未確認事項として扱った。本記事の事故内容に関する事実認定は，上記の公表資料，法令，行政資料及び判決原文に基づいた。