この記事は誰のためのものか、そして重要な原則は何か
この記事は、顧客データの漏えいを知ったばかりの会社のオーナーや経営者に向けて書かれています。ハッキングされた、従業員が誤った相手にファイルを送ってしまった、機器を紛失した、外部委託先のシステムに問題が生じたなど、いずれの場合でも同じです。
重要な原則は3つあります。
- 時計は事実を知った時点から動き始める。データ管理者は、個人情報保護委員会事務局（สคส.）に遅滞なく、事実を知った時から可能な限り 72時間 以内に通知しなければなりません。ただし、個人の権利および自由に対するリスクがない場合を除きます。
- 通知するかしないかを決定する前にリスクを評価し、その理由を記録しておく必要があります。
- 事を早く終わらせようと削除したりシステムを消去したりしてはならない。証拠こそがリスク評価を可能にし、会社が義務を果たしたことを証明するものだからです。
インシデント発生前のPDPA体制の準備については、事業者向けPDPAチェックリストをご覧ください。本記事では、すでにインシデントが発生した後の段階のみに焦点を当てています。
データ管理者とデータ処理者の違い、そして誰が報告しなければならないのか
| 役割 | 誰か | データ漏えい時の義務 |
|---|---|---|
| データ管理者 | データの利用目的と方法を決定する者。例：自社の顧客データを保有する会社 | リスクを評価し、สคส.（個人情報保護委員会事務局）に報告し、データ主体に通知し、事案を是正する（第37条(4)） |
| データ処理者 | データ管理者の指示に従い、またはその名の下でデータを扱う者。例：クラウドサービス事業者、CRMシステム、給与計算代行会社 | データ管理者に 発生した事案を通知し、安全管理措置を講じる（第40条） |
事業主がよく見落とすのは、データがサービス事業者のシステム上にあれば事業者自身が対応しなければならないと考えてしまう点です。実際には、สคส. およびデータ主体への通知義務は、データ管理者である自社に残ります。原因がサービス事業者側にあっても変わりません。
委員会の告示はさらに、データ管理者がデータ処理者を利用する場合、データ処理者が事案を認識した時点から72時間以内に遅滞なくデータ管理者へ通知する旨を契約に定めなければならないと規定しています。あなたの契約にこの条項がまだない場合は、今回の事案が落ち着いた後に追加することをお勧めします。
データ漏えいが判明したときにまず行うべきこと
以下の手順は、各項目に記載する法的義務に基づく当事務所が推奨する実務指針です。
ステップ1 担当者を定め、時刻の記録を開始する
調整担当者を1名定め、誰が、いつ、どの経路で知ったかを直ちに記録します。なぜなら「事案を認知した」時刻が通知期限の起算点となるためです。委員会告示は、口頭、書面、電子メールのいずれであるかを問わず、誰からであれ初期情報の提供を受けた時点で、管理者は確認を行わなければならないとしています。
ステップ2 被害を食い止めつつ、証拠を保全する
行うべきこと
- 使用されたアカウントの権限を剥奪し、パスワードとAPIキーを変更し、疑わしい端末またはシステムをネットワークから切り離す
- システムに上書きされる前に、サーバー、アプリケーション、ファイアウォール、電子メールのログをバックアップする
- スクリーンショットを撮り、関連する電子メールやメッセージを保存し、誰がシステムに対して何を行ったかを記録する
行うべきでないことは、システムを上書きして再インストールすること、改変されたファイルを削除すること、またはフォレンジックデータを先に保全することなく、すべてのサービスを急いで停止することです。委員会告示は、高いリスクが判明した場合、管理者が可能な限り直ちに防止、抑止または是正の措置を講じることを定めています。証拠の保全はこの義務に反するものではありません。
ステップ3 関連するサービス提供者および取引先に連絡する
クラウド、ホスティング、CRMシステムの提供者またはシステム開発者に直ちに連絡します。ログとインシデント報告書を書面で送付するよう求め、少なくともどの種類の情報が、誰の分が、何名分、どの期間に漏えいしたのか、また脆弱性がふさがれたかを尋ねます。サイバーセキュリティのコンサルティング会社がある場合は、この段階で招集します。サイバー保険（ある場合）については、事故通知の条件を速やかに確認すべきです。一部の保険契約では、専門家を雇用する前に保険会社へ通知することが定められているためです。
ステップ4 データ主体に対するリスクを評価する
委員会告示第12項は、管理者が以下の要素を考慮することを定めています。
- 侵害の性質および種類（情報の機密性、完全性または可用性）
- 関連する情報の種類（例：国民IDカード番号、金融情報、健康情報、パスワード）
- データ主体の人数およびレコード件数の双方を含む量
- データ主体の状況（例：子ども、障害者、脆弱な立場にある者）
- 生じた、または生じ得る影響の重大性、および事案の抑止に用いた措置の効果
告示にいう「リスクがない」に該当する場合、例えば情報が個人を識別できないものである場合、または十分な技術的措置により情報が利用できない状態にある場合（例：適切に暗号化され、鍵が漏えいしていない場合）には、管理者はそれを証明できなければならず、事務局に検討のための証拠書類を提出しなければならないことがあります。したがって、記録もなく「リスクはなさそうだ」と自ら結論づけることはリスクを伴います。
ステップ5 通知の可否を判断し、速やかに通知する
次の見出しを参照してください。評価の結果、通知が必要な場合は、告示が定める詳細をその時点で有する範囲で準備します。すべての情報が揃うのを待ってから通知する必要はありません。告示は「可能な範囲で」という文言を用いているためです。
ステップ6 ハッキングまたはシステム攻撃である場合は、被害届を提出し当局に連絡する
保護措置が講じられたコンピュータシステムまたはデータへの不正なアクセスは、コンピュータ犯罪法（第5条および第7条）に基づく犯罪です。したがって、企業は被害者として被害届を提出でき、ログ、タイムライン、専門家の報告書を添付します。被害届の提出はPDPAに基づく義務とは別個のものであり、互いに代替するものではありません。また、委員会告示も、個人情報保護委員会事務局への通知によって、事業に関連する他の法令上の義務が免除されるものではないと述べています。
ステップ7 顧客とコミュニケーションをとる
以下の「顧客への通知方法」の見出しを参照してください。
ステップ8 振り返りを行い、根本原因を是正する
委員会告示は、管理者が事案の抑止、対応、是正、復旧および再発防止のために必要かつ適切な措置を講じること、ならびにセキュリティ措置を見直すことを定めています。そのたびに社内インシデント報告書を作成すべきです。
PDPCへの通知と、顧客への通知はいつ必要か
| ケース | 法的義務 |
|---|---|
| 個人の権利および自由を侵害するリスクがない場合 | 個人情報保護委員会事務局（PDPC）への通知は不要。ただし、リスクがないことを証明できなければならない |
| リスクがある場合 | 遅滞なく、事案を認識した時点から72時間以内に、可能な範囲でPDPCへ通知する |
| 高リスクの場合 | PDPCへ通知し、かつ、影響を受けるデータ主体へ、救済の道筋とともに遅滞なく通知する |
根拠は、個人情報保護法第37条第4項および委員会告示第5条から第10条です。
PDPCへの通知に必要な事項 告示第6条は、書面または事務局が定める電子的方法により、可能な範囲で次の事項を記載して通知することを求めています。
- 侵害の性質および種類に関する概要。データ主体の数または件数を記載してもよい
- DPOまたは会社が連絡調整のために任命した者の氏名および連絡先
- 発生し得る影響
- 防止、停止、是正または救済のために講じた、もしくは講じる予定の措置
実際の提出方法は、通知のたびにPDPCのウェブサイトで確認してください。方法は事務局が定めるためです。
72時間を超えて遅れて通知する場合 告示第7条により、やむを得ない事情があるときは、事務局に責任の免除を求めることができます。たとえば、初動の調査や事案の防止・停止を先に行う必要があった場合などです。その際は理由を説明し、速やかに通知しなければなりません。事案を認識した時点から15日以内です。事務局は後日、追加の説明を求めることがあります。これは免除の申請であり、自動的に認められる権利ではないため、常に期限どおりに通知し、詳細は後から補うべきです。
顧客への通知方法、話すべきこと・話すべきでないこと
リスクが高い場合、第10条の告知により、データ主体へのメッセージには、少なくとも、事案の性質に関する概要、DPOまたは担当者への連絡先、当該主体に生じ得る影響、救済の方法、および本人が自ら行えること（パスワードの変更、電話やメールによる詐欺への注意など）の推奨を含めなければなりません。
個別に連絡できない場合、第11条により、集団での通知、またはマスメディアもしくはオンラインメディアを通じた一般的な通知を行うことができます。ただし、データ主体にさらなる損害を生じさせてはなりません。
コミュニケーション上の実務指針（法律上の義務ではありません）
- 話すべきこと 確認済みの事実、関連する情報の種類、会社がすでに行ったこと、顧客が行うべきこと、そして実際につながる連絡先
- 話すべきでないこと 調査結果が出る前に原因や行為者を推測すること、「影響はなさそうだ」といった言葉で根拠なく重大性を軽く見せること、顧客宛の書簡で委託先に責任を転嫁すること、責任の評価前に補償を約束すること
- 顧客へのメッセージと สคส.（タイ個人情報保護委員会事務局）への届出は一致させてください。内容が食い違うと、後々問題になります
- 平易な言葉を使い、顧客が信頼するチャネルで送付し、通知そのものが詐欺師によるなりすましの口実にならないよう注意してください
通知しなかった場合の罰則はどうなるか
第37条に従わないデータ管理者は、同条第(4)項のインシデント通知義務を含め、第83条に基づき行政上の過料を300万バーツ以下科されます。これは上限であり、各事案の状況に応じて判断されます。
一部の情報源に見られる500万バーツの上限と混同しないでください。その上限は第84条のものであり、機微情報と国境を越えるデータ移転に関するもので、インシデント通知義務ではありません。ただし、漏えいした情報が健康情報などの機微情報である場合には、別の論点が生じる可能性もあります。
他方、正当な理由なく第40条に従わないデータ処理者も、同じく第86条に基づき300万バーツ以下の行政上の過料を科されます。過料に加えて、第77条は、データ主体に損害を与えるほど法律に違反したデータ管理者またはデータ処理者に対し、故意または過失がなくても、法律が定める例外を証明できない限り、損害賠償を支払う義務を負わせています。概要はタイ企業向けPDPA法アップデート 2569年をご覧ください。
NCSAへの報告も必要ですか
監督機関が指定する**重要情報基盤事業者（CII）**に該当する企業のみが、そのシステムに対して重大なサイバー脅威が生じた場合に、この報告義務を負います。サイバーセキュリティ維持法 B.E. 2562 第57条は、国家サイバーセキュリティ委員会事務局および所管の監督機関への報告を義務付けています。これはPDPAとは別個の義務であり、併せて履行しなければなりません。
CIIの区分に該当しない一般企業には、同条に基づくこの義務はありません。ただし、金融や電気通信など所管の監督機関が個別に存在するセクターに属する場合は、その機関の規則を追加で確認する必要があります。
最初の72時間のチェックリスト
- 事象を認識した時刻とその情報源を記録し、調整担当者を定めます。
- 不正なアクセスを遮断し、パスワードと鍵を変更します。
- システムを消去または再インストールする前に、ログと証拠を保全します。
- サービス提供者および処理者に通知し、書面による報告を求めます。
- データの種類、対象件数、データ主体のグループを特定します。
- 告示に定められた要素に沿ってリスクを評価し、その理由を記録します。
- リスクがある場合は、有する情報に基づいて สคส.（タイ個人情報保護委員会事務局）へ通知します。高リスクの場合は、データ主体に送る文面を準備します。
- ハッキングを受けた場合は、警察に被害届を提出し、関係書類を保管します。
- CII（重要情報インフラ）に該当するか、または特定の監督機関の管轄下にあるかを確認します。
- インシデント報告書と是正計画を作成します。処理者との契約の修正も含みます。
