「現時点で漏えいの事実は確認されていない」と公表してよいか―調査段階・ログの有無で変わる書き方と個人情報保護法の「おそれ」（AI作成）

第１　本記事の対象と結論

１　対象と基準日

サイバー攻撃を受けた企業の公表文には，「現時点で個人情報の漏えいの事実は確認されておりません」という表現がよく使われる。
この一文は，まだ調査に着手していない段階でも，十分なログに基づいて調査を終えた段階でも，同じ文言で書くことができる。
しかし，読む側は「漏えいはなかった」に近い意味で受け取りやすく，後に漏えいが判明したときに，前の公表が事実を小さく見せていたと受け止められるおそれがある。

本記事は，民間の個人情報取扱事業者が不正アクセスやランサムウェアの被害を受けた場面を対象に，個人情報保護法上の「漏えい」と「おそれ」の意味，政府の公表ガイダンスが示す留意点，及び調査の段階ごとの公表文の書き方を整理する。
基準日は令和８年１１月７日である。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は令和８年６月一部改正版，同ガイドラインに関するＱ＆Ａは令和７年７月１日更新版によった。
行政機関等，上場会社の適時開示，金融・医療・電気通信等の業法上の報告は対象外とする。

２　結論

①「漏えいの事実は確認されていない」は，個人情報保護法上の「漏えいのおそれ」がないことを意味しない。
ガイドラインは，漏えい等が疑われるものの確証がない場合を「おそれ」としており，確証がないこと自体は「おそれ」を否定する理由にならない。
②個人情報保護委員会のＱ＆Ａは，設定ミスで個人データを閲覧できる状態になった事案について，第三者が閲覧していないことがアクセスログ等で確認できた場合を漏えいに当たらない例とし，アクセスログ等が確認できない場合は漏えい又はそのおそれに当たり得るとしている。
③ランサムウェアで個人データが暗号化されて復元できなくなった場合は，同じ内容のデータが他に保管されていない限り，漏えいが確認されていなくても「毀損」に当たる。
④政府の公表ガイダンスは，調査途中の公表で不確実な情報を確定情報のように伝えると誤解を与えること，及び第一報で被害はないとした後に漏えいが判明した例があることを指摘している。
⑤公表文では，調査の段階，調査の対象と期間，確認できたこと，確認できなかったこととその理由を分けて書くのがよい。

第２　個人情報保護法の「漏えい」と「おそれ」

１　報告と本人通知の対象は「おそれ」を含む

個人情報保護法２６条１項は，個人データの漏えい，滅失，毀損その他の事態のうち，個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときに，個人情報保護委員会への報告を義務付けている。
同条２項は，同じ場合に本人への通知を義務付け，通知が困難なときは本人の権利利益を保護するために必要な代わりの措置で足りるとしている。

個人情報保護法施行規則７条は，報告の対象となる事態として，①要配慮個人情報を含む個人データ，②不正に利用されると財産的被害が生じるおそれがある個人データ，③不正の目的をもって行われたおそれがある行為による個人データ，④本人の数が千人を超える個人データについて，それぞれ漏えい等が「発生し、又は発生したおそれがある事態」を挙げる。
不正アクセスやランサムウェアは，通常，③の類型で検討することになる。

報告は，事態を知った後速やかに行う速報と，事態を知った日から３０日以内（③の類型は６０日以内）に行う確報に分かれる（施行規則８条１項・２項）。
ガイドラインは，速報の「速やか」の目安を，事態を知った時点から概ね３日～５日以内としている（通則編３－５－３－３）。
速報は，報告をしようとする時点で把握している事項を報告すれば足りる（施行規則８条１項柱書）。

個人情報保護委員会は，漏えい等報告と本人通知の制度を解説する動画を令和６年に公開している（動画の説明文によれば令和４年３月時点の内容）。

２　「おそれ」とは確証がない場合をいう

ガイドラインは，「おそれ」の意味について，次のとおり説明している（通則編３－５－３－１（※２），印刷６２頁）。

「漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。」

この説明によれば，「漏えいの事実は確認されていない」という状態は，漏えいが疑われる事実関係がある限り，まさに「おそれ」の段階に当たる。
公表文で「確認されていない」と書きながら，個人情報保護委員会には「おそれ」として速報することは矛盾しない。
反対に，公表文に「確認されていない」と書いたことを理由に，報告や本人通知を不要と判断することはできない。

もっとも，「おそれ」があるといえるには，漏えい等を疑わせる事実関係が必要である。
ガイドラインは，サイバー攻撃で漏えいのおそれがある事態に当たり得る例として，データが窃取された痕跡が認められた場合，情報を窃取する振る舞いが判明しているマルウェアへの感染が確認された場合，攻撃者の指令サーバとして知られている通信先への通信が確認された場合，入力ページを改ざんした痕跡が確認された場合，及び公的機関や専門家等から一定の根拠に基づく連絡を受けた場合を挙げている（通則編３－５－３－１（※４），印刷６２頁～６３頁）。
他方，Ｑ＆Ａは，マルウェアを検知したことだけで直ちに漏えいのおそれがあると判断するものではなく，防御システムによる実行抑制や外部通信の遮断状況等も考慮するとしている（Ｑ＆Ａ６－１７）。
「おそれ」の判断の詳細は，脆弱なPHPを使っていただけで漏えい等報告は必要か―PHP2Shellと個人情報保護法２６条，施行規則７条３号の「おそれ」及び本人通知でも扱っている。

３　漏えいしていないと言うにはログ等による確認が要る

ガイドラインは，個人データを第三者に閲覧されないうちに全てを回収した場合は漏えいに当たらないとしている（通則編３－５－１－２，印刷５７頁）。
Ｑ＆Ａは，その例として，誤送信したメールを受信者が閲覧せずに削除したことが確認された場合と，設定ミスで閲覧可能になっていた個人データについて，閲覧できない状態にするまでの間に第三者が閲覧していないことがアクセスログ等から確認された場合を挙げた上で，次のとおり述べている（Ｑ＆Ａ６－２，印刷３６頁）。

「なお、上記の事例において、誤送信先の取扱いやアクセスログ等が確認できない場合には、漏えい（又は漏えいのおそれ）に該当し得ます。」

また，個人データを記録したＵＳＢメモリを紛失し，紛失場所が社内か社外か特定できない場合も，漏えい又はそのおそれに当たると考えられるとしている（Ｑ＆Ａ６－３）。
これらの例からは，「漏えいしていない」と言うためには，閲覧や持出しがなかったことを記録等で確かめる必要があり，記録がないために確かめられないことは，漏えいがなかったことの根拠にならないと読める。

４　ランサムウェアでは「毀損」も確かめる

ガイドラインは，ランサムウェア等により個人データが暗号化され，復元できなくなった場合を，個人データの「毀損」の例に挙げている（通則編３－５－１－４，印刷５８頁）。
同じ内容のデータが他に保管されている場合は毀損に当たらないが，同時に個人データが窃取された場合は漏えいにも当たる。
施行規則７条３号の報告を要する事例にも，ランサムウェア等により個人データが暗号化され，復元できなくなった場合が挙げられている（通則編３－５－３－１，印刷６１頁）。

したがって，ランサムウェアの被害で「漏えいの事実は確認されていない」とだけ書くと，毀損の有無という別の論点が抜け落ちることがある。
バックアップから復元できたかどうかは，毀損に当たるかどうかに直結するため，公表文でも分けて書くのが望ましい。
クラウド事業者が被害を受けた場合の滅失・毀損とバックアップの考え方は，クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップで整理している。

第３　調査の段階ごとの書き方

１　同じ一文が四つの違う状態を表す

「漏えいの事実は確認されていない」は，少なくとも次の四つの状態のいずれでも書けてしまう。
読者が知りたいのは，事業者がどこまで調べ，何が分かり，何が分からないのかである。
そこで，公表文では，次の表のように調査の段階を明らかにして書き分けるのがよい。
記載例は一般的な書き方の例であり，実際の文案は，調査結果，報告・通知の要否及び本人が取るべき行動に合わせて作る。

２　調査に着手していない段階

被害の発覚直後は，ネットワークの遮断と証拠の保全が優先され，漏えいの有無を調べる作業はまだ始まっていないことが多い。
この段階で「漏えいの事実は確認されていない」と書くと，文言としては正しくても，確認作業をしていないことが読者に伝わらない。
まだ分からないことは「判明していない」と書き，いつ頃，何を次にお知らせするかを示す方が正確である。

この段階でも，漏えい等を疑わせる事実関係があれば，個人情報保護委員会への速報の要否は検討しなければならない。
公表文の表現と，報告の要否の判断は別の問題である。

３　調査中の段階

調査中の公表では，「現時点」がいつかと，どの範囲まで調べ終えたかを書く。
調べ終えた範囲で証跡が見つかっていないことと，残りの範囲で見つかる可能性があることは，両方書く必要がある。
政府の公表ガイダンスも，速報性と正確性の両立のため，第１報，第２報のように段階的に公表する方法を示している（後記第４の１）。

４　ログが不足したまま調査を終えた段階

最も注意を要するのがこの段階である。
フォレンジック調査を終えても，ログが保存されていなかった，保存期間が短かった，又は攻撃者に消去されていたために，調べられない期間や機器が残ることがある。
この場合に「調査の結果，漏えいの事実は確認されませんでした」とだけ書くと，調査が尽くされた上での結論のように読まれる。

個人情報保護委員会が関係機関と開催する「個人情報保護法サイバーセキュリティ連絡会」がまとめた参考資料は，調査報告書の証拠価値は前提となったログの状況により大きく左右されるとし，重要なログが保存されない設定だった場合や不正アクセスの影響で消失した場合はその旨を明らかにすることが重要であるとしている（「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」３３頁）。
同資料は，調査で明らかにならなかった点についてはその理由を明らかにすることが重要であるとし（３４頁），攻撃者によるログの消去が確認された場合はそれが漏えいの可能性の評価にどう影響するかを明らかにすることも重要であるとしている（３８頁）。
これは調査報告書についての着眼点であるが，報告書の留保を公表文で落としてしまえば，読者には伝わらない。
調査報告書の読み方は，情報漏えいのフォレンジック報告書をどう読むか―調査範囲，ログ欠落及び「痕跡なし」の限界で詳しく扱っている。

ログが不足して漏えいの有無を確かめられない場合は，前記第２の２・３のとおり，個人情報保護法上は「おそれ」の段階にとどまることが多いと考えられる。
その場合，報告対象事態に当たれば，報告と本人通知の対象から外れるわけではない。

５　十分なログで調査を終えた段階

調査に必要な期間と種類のログがそろい，調査を終えて形跡が見つからなかった場合に，初めて「形跡は確認されなかった」という表現が実質的な意味を持つ。
それでも，調べたのはどの機器・システムの，いつからいつまでの記録かを書いておくと，後の検証に耐えやすい。
同じ参考資料も，調査対象とした機器と，調査対象としなかった機器の理由を明らかにすることを勧めている（３２頁）。

ガイドラインは，当初報告対象事態に当たると判断したものの，その後実際には当たらないことが判明した場合には，本人への通知は不要としている（通則編３－５－４－３，印刷６９頁）。
調査の結果，漏えいのおそれがなかったと判断できる根拠がそろったときは，その根拠を示して続報を出すのがよい。

第４　政府の公表ガイダンスが示す留意点

１　公表の項目と段階的な公表

総務省，内閣官房内閣サイバーセキュリティセンター（当時），警察庁及び経済産業省が令和５年３月８日に公表した「サイバー攻撃被害に係る情報の共有・公表ガイダンス」（サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会）は，被害公表時に示す内容として，攻撃の種類・概要，侵害されたシステムと範囲（現時点で判明しているもの），侵害原因（判明している場合），発生日時や侵害期間（判明している場合），影響の内容と範囲（現時点で判明しているもの），初動対応，専門組織への相談や所管省庁等への報告の状況，及び相談先を挙げている（Ｑ１６，印刷７２頁）。
調査終了後の公表では，侵害原因と攻撃の経緯，影響範囲，対応の経緯，再発防止策及び問い合わせ先が加わる。
同ガイダンスは，速報性と正確性の間にジレンマがあるとし，第１報，第２報のように適切な時期に分けて段階的に公表する方法も有効であるとしている（印刷７３頁）。

２　不確実な情報を確定情報のように伝えない

同ガイダンスは，被害公表の留意点の一つとして，次の点を挙げている（Ｑ１７，印刷７６頁）。

「第一報や調査が途中の段階で公表する場合に、不確実な情報を確定情報のように伝えてしまうと誤解を与えるケースがあること」

調査途中の「漏えいの事実は確認されていない」は，読み手によっては「漏えいはなかった」という確定情報のように受け取られる。
この留意点は，まさにこの一文に当てはまる。

３　「被害はない」とした後に漏えいが判明した例がある

同ガイダンスは，過去のサイバー攻撃が発覚して調査を進める場合について，機微な情報が侵害されたかもしれない段階で第一報を出したところ，その後の調査でそこまで侵害されていなかったと判明するケースがあり得る一方で，第一報の段階で機微な情報の漏えい被害はないと公表していたが，その後の調査で漏えいしていたことが判明したケースもあると指摘している（印刷７８頁～７９頁）。
その上で，相当の調査期間を経なければ正確に把握できない被害内容等は，続報や最終報で公表する多段階の公表の仕方を示している（印刷７９頁）。

４　ログ不足と痕跡の消去で調べられないことは多い

同ガイダンスは，実際のインシデント対応の現場では，通信ログの保存期間が不足していて侵害当時の通信を見つけられなかったり，攻撃者が活動の痕跡を消去したことで，どの範囲まで侵害されたのか，どの情報が閲覧・窃取されたのかを追跡できなかったりするケースが多く見られるとしている（印刷４３頁）。
標的型サイバー攻撃の事例解説では，次のとおり述べている（印刷１２８頁）。

「窃取されたデータの特定については、調査自体が困難なケースが大半です。」

第５　「形跡なし」でも流出していた公表例

株式会社東北新社と株式会社オムニバス・ジャパンは，令和８年６月４日の「ランサムウェアによる不正アクセスに関するご報告（第六報）」で，令和７年１２月９日に発覚したオムニバス・ジャパンへのランサムウェア攻撃について，不正アクセスの対象となったサーバーのうち１台に関するフォレンジック調査の結果を，次のとおり説明している（１頁）。

「ファイルが外部に持ち出された形跡は確認されなかったものの、当該サーバーに保存されていたファイルと同一のファイルがリークサイト上に公開されていることを確認いたしました。」

同報告は，このため当該サーバーの情報は流出した可能性を否定できないとし，それ以外のサーバーについては，持ち出しの痕跡や新たな情報公開がいずれも確認されていないことから，流出の可能性は極めて低いと考えているとしている。
漏えい等した可能性のあるデータには，出演者及び制作スタッフ計８００名の氏名，所属先情報，連絡先情報及び一部の顔画像等が含まれると説明されている。

この例は，フォレンジック調査で持出しの形跡が見つからなかったことと，情報が外部に出ていないことが別の事柄であることを，事業者自身の公表で示したものである。
同時に，同報告は，形跡の有無，リークサイトでの公開の有無及び流出の可能性の評価を分けて書いており，公表文の書き方としても参考になる。
同報告の項目（概要，原因，二次被害又はそのおそれ，漏えい等した可能性のあるデータ，公表の状況，再発防止策）は，施行規則８条１項の報告事項の項目とおおむね対応している。

第６　公表文の表現が後で問題になる場面

１　代わりの措置としての公表は義務の履行になる

Ｑ＆Ａは，漏えい等事案の公表は，本人への通知の代替措置として行う場合を除き義務付けられていないが，事案の内容等に応じて公表することが望ましいとしている（Ｑ＆Ａ６－３３）。
他方，本人への通知が困難な場合には，事案の公表や問合せ窓口の設置等を代替措置とすることができる（通則編３－５－４－５）。

代替措置として公表する場合，その公表は本人への通知に代わるものになる。
本人への通知事項は，概要，漏えい等が発生し又は発生したおそれがある個人データの項目，原因，二次被害又はそのおそれの有無及びその内容，並びにその他参考となる事項である（施行規則１０条，８条１項１号・２号・４号・５号・９号）。
「漏えいの事実は確認されていない」とだけ書いた公表では，本人が自分の情報が対象になっているか，何をすればよいかを判断できない。

２　報告・通知と公表文をそろえる

施行規則８条１項７号は，個人情報保護委員会への報告事項に「公表の実施状況」を含めている。
委員会には「おそれ」として報告しながら，公表文では漏えいがないかのように書くと，二つの説明の食い違いを説明しなければならなくなると考えられる。
本人への通知，ホームページの公表，問い合わせ窓口の回答の間で表現がずれないよう，基準日と調査の段階をそろえることが大切である。
対外説明の全体の組立ては，情報漏洩が相次ぐ今，企業の信頼を守る法務の備え―平時の体制，発覚後の初動，報告・通知・公表で整理している。

３　訴訟では本人ごとに漏えいの有無が争点になる

東京高裁令和３年５月２７日判決（令和元年（ネ）第２７２８号，判例秘書の判例番号　Ｌ０７６２０１４２）は，ベネッセ事件の損害賠償請求について，各原告の個人情報が漏えいしたか否かを争点の一つとして判断し，漏えいが認められなかった原告の請求を棄却した。
同判決は，子の個人情報の漏えいが認められた原告について，親子の個人情報が同一に管理されていたと推認できることなどから，親の個人情報も同じ機会に漏えいしたと推認した部分も含んでいる。

この判決は公表文の表現を判断したものではない。
もっとも，漏えいの有無が本人ごとに争われ得ることからすると，どの本人のどの情報が対象になったか，又は記録が不足して確かめられないのかという事業者の説明は，後に本人が権利を行使する場面でも意味を持つと考えられる。
慰謝料の額については，個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額で裁判例を整理している。

第７　公表前の点検項目

公表文を出す前に，次の点を確かめるとよい。
①「現時点」がいつか（日時）を書いたか。
②調査の段階（着手前，調査中，終了）を書いたか。
③調査の対象とした機器・システムと期間，及び対象外とした範囲を書いたか。
④ログが保存されていなかった，保存期間を過ぎていた，消去されていた等の事情を書いたか。
⑤漏えいのほか，滅失や毀損（暗号化されて使えない状態）の有無を確かめたか。
⑥個人情報保護委員会への報告の要否を，確証の有無ではなく「おそれ」の有無で判断したか。
⑦本人への通知又はその代わりの公表に，概要，対象となる情報の項目，原因，二次被害又はそのおそれ，本人が取れる措置を含めたか。
⑧後の調査で結論が変わったときに，更新日と変更点を示して続報を出せる体制か。

第８　関連記事

①脆弱なPHPを使っていただけで漏えい等報告は必要か―PHP2Shellと個人情報保護法２６条，施行規則７条３号の「おそれ」及び本人通知
②情報漏えいのフォレンジック報告書をどう読むか―調査範囲，ログ欠落及び「痕跡なし」の限界
③クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ
④情報漏洩が相次ぐ今，企業の信頼を守る法務の備え―平時の体制，発覚後の初動，報告・通知・公表
⑤個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額
⑥個人情報漏えいの通知を受けたら―流出項目別の対処，二次被害の防止と証拠保存
⑦法律事務所のサイバー事故初動チェックリスト―発覚後10分・当日中・後日に行うこと

第９　出典

１　法令

①個人情報の保護に関する法律２６条（e-Gov法令検索）
https://laws.e-gov.go.jp/law/415AC0000000057
②個人情報の保護に関する法律施行規則７条，８条及び１０条（e-Gov法令検索）
https://laws.e-gov.go.jp/law/428M60020000003

２　個人情報保護委員会の資料

①個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成２８年１１月，令和８年６月一部改正）３－５－１－２，３－５－１－４，３－５－３－１，３－５－３－３，３－５－４－３及び３－５－４－５（印刷５７頁～７０頁）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
②個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するＱ＆Ａ」（令和７年７月１日更新）Ｑ６－２，Ｑ６－３，Ｑ６－１７及びＱ６－３３
https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
③個人情報保護法サイバーセキュリティ連絡会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和８年１月１６日）３頁，３２頁～３４頁及び３８頁
https://www.ppc.go.jp/files/pdf/260116_forensics_keypoints.pdf
④個人情報保護委員会「マンガで学ぶ令和2年改正個人情報保護法「漏えい等報告・本人通知」編」（YouTube，令和６年９月１０日公開）
https://www.youtube.com/watch?v=xbskQPWIcXA

３　政府の公表ガイダンス

サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会「サイバー攻撃被害に係る情報の共有・公表ガイダンス」（令和５年３月８日）Ｑ１６，Ｑ１７，印刷４３頁，７２頁～７９頁及び１２８頁
https://www.soumu.go.jp/main_content/000867112.pdf

４　事業者の公表資料

株式会社東北新社・株式会社オムニバス・ジャパン「【重要なお知らせ】ランサムウェアによる不正アクセスに関するご報告（第六報）」（令和８年６月４日）１頁～２頁
https://www.tfc.co.jp/cms/wp-content/uploads/【重要なお知らせ】ランサムウェアによる不正アクセスに関するご報告（第六報）.pdf

５　裁判例

東京高裁令和３年５月２７日判決（令和元年（ネ）第２７２８号，判例秘書の判例番号　Ｌ０７６２０１４２）