個人データ侵害は、週末も祝日も経営陣の在席状況も待ってくれない規制上のタイマーを始動させます。GDPR第33条のもとでは、認識から72時間以内に監督機関へ通知する必要があります。DPDPA規則7、PDPA第26B条、LGPD決議15/2024も同様の期限を定めています。

このプレイブックは72時間を、検知、封じ込め、評価、文書化、提出という5つの名前付きフェーズに分割し、各ゲートで具体的な成果物を示します。ランブックとしてお使いください。何かが燃え盛っているときに、プロセスを書いている余裕はありません。実行している状態でありたいものです。

第33条は「それを認識してから遅くとも72時間以内」と定めています。認識とは、管理者がセキュリティインシデントが発生し、かつ個人データが関与していることについて合理的な確実性を有する時点を指します。次のものは認識にはあたりません：

• インシデントが実際に発生した瞬間。
• 自動アラートが発報した瞬間。
• 最初のアナリストが調査を開始した瞬間。
• ベンダーが下位処理者のインシデントを報告した瞬間 — ただしタイマーは通常、管理者のデータが対象範囲に含まれることを評価できる十分な情報が得られた時点で始まります。

個人データ侵害通知に関するEDPBガイドライン9/2022は、認識に至るまでの短い調査期間を認めていますが、その期間は短くあるべきであり、数日ではなく数時間単位とすべきです。

目標: インシデントの発生を確認し、フォレンジック証拠を保全し、対応チームを起動します。

• シグナルのトリアージ。 そのアラートは本物でしたか。IDS検知、不審なエクスポート、ベンダーからの開示、顧客からの報告などです。
• フォレンジックの完全性を保全。 影響を受けたシステムのスナップショットを取得し、ログを凍結します。メモリ上のアーティファクトが重要な場合は電源を切らないでください。
• ケースファイルを開設。 インシデントIDを発行します。以降のすべてのアクションはこれに紐づけて記録されます。
• 作戦室を起動。 DPO、CISO/セキュリティ責任者、法務顧問、広報、そして指名されたインシデント・コマンダーを招集します。
• 責任を負う処理者/再処理者を特定。 インシデントが外部で発生した場合は、その当事者のインシデント対応窓口に連絡します。

T+6時間時点の成果物: 1ページのインシデント概要 — 何が、いつ、どのシステムで起き、どのデータカテゴリーが関与しうるか、判明している不明点は何かを記載します。

目標: 被害の拡大を止め、影響を受けたシステムを隔離し、時間的制約のある外部関係者へ通知します。

• 進行中の情報流出を遮断。 認証情報をローテーションし、OAuthトークンを無効化し、セッションを終了し、外向きトラフィックを遮断します。
• 影響を受けたシステムを隔離しつつ、証拠を保全します。
• CERT-In/分野別の通知。 インド: 指定インシデントについてCERT-Inへ6時間以内。米国の分野別: HHS OCR(HIPAA)、FTC、州司法長官など。
• 外部弁護士を起用 — 重大な露出が想定される場合は、早期に弁護士秘匿特権を確立するのが最善です。
• サイバー保険会社へ連絡 — 保険証券の通知要件に従います(多くは48時間以内。一部の保険会社は24時間365日のホットラインを提供しています)。
• 被害者特定作業を開始 — データ主体のカテゴリー、おおよその規模、地理的な広がりを把握します。

T+24時間時点の成果物: 封じ込めの確認、暫定的な範囲ステートメント。

目標: 規模と想定される被害を判断します — これが下流のすべての意思決定を左右します。

• 影響を受けた個人データのカテゴリー。 識別子。連絡先データ。金融情報。特別カテゴリー(GDPR第9条)。子どものデータでしょうか。
• 件数。 判明していれば正確なレコード数を、そうでなければ根拠ある推計を示します。
• 影響を受けたデータ主体。 従業員、顧客、ベンダー担当者、エンドユーザーでしょうか。どの法域でしょうか。
• 被害の可能性と重大性。 第33条(3)(c)の枠組みを用います — なりすまし、詐欺、金銭的損失、評判の毀損、差別、職業上の守秘性の喪失など。
• 通知のしきい値を適用。 GDPR: 「自然人の権利および自由に対するリスクをもたらすおそれが低い」場合を除き、監督機関(SA)へ通知。LGPD: 「重大なリスクまたは損害」を生じうる侵害についてANPDへ通知。PDPA-SG: 500人以上、または重大な被害。
• 規制当局側を決定。 国境を越えるGDPRについては主監督機関。処理が複数の地域にまたがる場合は複数の規制当局。

T+48時間時点の成果物: 被害リスク評価、通知判断マトリクス、内容を記入した通知テンプレートのドラフト。

目標: 提出する成果物を作成し、社内記録を確定し、ステークホルダーに説明します。

• 第33条(3)の記載事項一式 — 監督機関への提出用:
  1. 侵害の説明(性質、カテゴリー、データ主体およびレコードのおおよその件数)。
  2. DPOまたはその他の連絡窓口の氏名および連絡先。
  3. 侵害がもたらすと考えられる影響。
  4. 侵害に対処し、起こりうる悪影響を緩和するために講じた、または講じる予定の措置。
• 第33条(5)に基づく社内記録。 通知しない場合でも、侵害を社内で文書化します。監督機関は監査でこれらの記録を求めます。
• 経営幹部への説明。 インシデント対応方針に従い、CEO、取締役会、監査委員会に説明します。
• コミュニケーション計画の確定。 顧客向け連絡テンプレート、FAQ、経営層向けトーキングポイント、ソーシャルメディア監視の待機体制。
• 再処理者との調整。 侵害が上流で発生した場合は、通知メッセージとタイミングを合わせます。

T+72時間時点の成果物: 提出可能な通知書、完全な社内記録。

目標: 法定期限内に規制当局へ通知し、必要な場合はデータ主体へ連絡します。

• 監督機関への提出 — 公式ポータル経由で行います(多くのEUのDPAはWebフォームを、ICOはオンラインフォームを、ANPDは電子プロトコルを使用します)。受領証を保管してください — タイミングを証明する唯一の証拠です。
• 複数法域への提出。 複数の主監督機関がある場合(まれです)はワンストップショップが適用されます。そうでなければ、所管する各当局に個別に通知します。
• データ主体への連絡 — 高リスクの場合(第34条): 明確で平易な言葉で、DPOの氏名と連絡先、想定される影響、緩和措置、助言を伝えます。
• 公表 — 投資家にとって重要な場合、または分野別ルールの対象となる場合(SEC 8-K、SAR形式の報告など)。
• 社内全体集会 — 公表前に実施し、ナラティブをコントロールします。

T+72時間以降の成果物: 提出の受領確認、データ主体への連絡の送付(または連絡しない旨の文書化された判断)、14日以内に予定するインシデント後レビュー。

• インシデント・コマンダー — テンポを統括し、フェーズの移行を判断し、ブロッカーをエスカレーションします。
• DPO/プライバシー担当者 — 規制当局への通知の判断と内容を担当します。
• CISO/セキュリティ責任者 — 封じ込め、フォレンジック、根本原因分析を担当します。
• 法務責任者/外部弁護士 — 弁護士秘匿特権、コミュニケーションのレビュー、規制当局対応戦略を担当します。
• 広報 — 対外メッセージ、ソーシャル監視、報道対応を担当します。
• CEO/経営幹部 — 評判に関わる判断、顧客向けの謝罪、インシデント後のコミットメントを担当します。

最もよくある組織的な失敗は、実際の規制当局への提出をめぐってDPOと法務責任者の間で責任の所在が不明確になることです。事前に決めておきましょう — 多くのチームでは、DPOが弁護士秘匿特権の下でドラフトを作成し、提出書類自体ではDPOを連絡担当者として記載するのが標準です。

GDPR第34条は、権利および自由に対する高いリスクがある場合にデータ主体への連絡を義務づけます。その基準は監督機関への通知のしきい値よりも高くなります。通知が必要となる例:

• 暗号化されていない金融口座情報、認証に使用される識別子。
• 特別カテゴリーデータ(健康、遺伝、生体、政治、宗教)。
• なりすましや金融詐欺を可能にする情報。
• 一定の重要な機微性を持つ子どものデータ。

第34条(3)は、直接の連絡に対する3つの免除を挙げています。すなわち、権限のない者にとってデータを判読不能にする暗号化、高いリスクを除去する措置、または公的な連絡で代替できる不釣り合いな労力です。

通知の内容(第34条(2)): 侵害の性質、DPOの氏名と連絡先、想定される影響、講じた措置。平易な言葉で記載します。

• 誤ったタイミングで時計を起動する。 監督機関は「認識」に至った時点を精査します。インシデントと宣言する前にIRチームが5日間も調査していた場合、その空白は遅延に見えます。
• 範囲の過小評価。 規制当局の信頼を失う最も早い方法は、当初の件数を過少に報告し、その後大幅に上方修正することです。
• 評価を文書化しない。 通知しないと判断した場合でも、第33条(5)は侵害とその理由の社内記録を依然として求めます。
• 誤った監督機関への通知。 ワンストップショップはGDPRの国境を越える処理にのみ適用されます。国内限定の処理は、主監督機関ではなく現地の監督機関に通知しなければなりません。
• 規制当局への提出前の顧客連絡。 実務では順序が重要です。規制当局は誠実な対応とみなしますが、顧客はどちらが先だったかを気にしません。
• インドのCERT-Inの6時間期限を忘れる。 インドの分野別の上乗せ規制に不慣れなグローバルチームが頻繁に見落とします。
• フォレンジック証拠を保全しない。 侵害されたホストの電源を切ると、メモリ常駐型マルウェアの痕跡が破壊されることがあります。