企業がサイバー攻撃を受けた時の法的対応～「企業会計」2026年3月号～

「企業会計」2026年3月号の「相談室Q&A会社法務」は「企業が知っておくべきサイバー攻撃への法的対応」（蔦大輔）でした。

今回はそのメモ書きです。

個人情報の保護に関する法律（以下「個人情報保護法」）を中心とする当局対応

• 個人データが漏えい、滅失、毀損（以下「漏えい等」）しているかどうかで個人情報保護法に基づく対応の要否が変わる

• サイバー攻撃によって個人データの漏えい等が発生し、またその恐れがある場合、報告対象事態である「不正の目的」を持って行われた場合に該当し、個人情報保護法26条に基づき、当局（原則として個人情報保護委員会）への報告及び本人通知を行う義務がある

• 個人情報保護委員会への報告は、報告対象事態を知った後、速やかに（概ね3～5日以内）行う速報と、60日以内（原則は30日以内だが、上記の「不正の目的」に該当する場合は60日となる）に行う確報の2段階に分かれる

• 漏えい等の被害者である本人に対しては、状況に応じて速やかに通知を行う必要がある。連絡先がわからないなど本人通知が困難である場合は、必要な代替措置（事案の公表等）による対応を行うこととなる。

• 攻撃者によるデータファイルの持ち出しによって漏えいかどうかが決まるわけではなく、それ以前の攻撃者の活動の時点で当局（個人情報保護委員会）から確定的な漏えいと評価される可能性がある点及び確定的な漏えいでなくとも、その「おそれ」がある場合も報告対象事態とされる点に留意

サイバー攻撃により発生した損害の賠償関係

• サイバー攻撃を受けた被害企業は、基本的には被害者の立場だが、情報の安全管理体制等に過失があれば、加害者の立場で第三者に対する損害賠償責任を負いうる

• 契約上被害企業は取引先に対してどのような賠償義務を負っているか、また、どのような場合に免責されるかなどが実務上重要となることが多いため、特に重要な取引先等について優先して契約書の分析を行うことが有用

広報対応

• サイバーセキュリティ協議会が策定した「サイバー攻撃被害に係る情報の共有・公表ガイダンス」（2023年3月）が、Q&A形式で、公表に関する論点として①公表を行う目的、②公表のタイミング、③公表すべき内容、④4公表を行う際の留意点をまとめつつ、自社が公表していないのに被害が第三者に知られて公開されてしまうというリスクがあることについて解説しており参考になる

感想

あまり厳しい規制や罰則、損害賠償が規定されてしまうと、被害企業にとって「身代金」を払った方が得ということになりかねないので、立法府としては、その辺りのさじ加減が難しいのだろうなと思いました。