個人情報の漏えい報告キット

こんなときに

個人情報が漏れたかもしれないが、報告の期限と中身の判断に迷う

できること

メールの誤送信・紛失・不正アクセスなどが起きたとき、いつ・何が・何人分のどんな項目かを聞き取って、個人情報保護委員会への報告が要るかの目安と理由、速報（3〜5日）と確報（30日、不正なら60日）の期限、報告フォームの順に沿った下書き、本人へのお知らせの下書きを作ります。報告するかは会社が決め、キットは目安までです。漏れた名簿そのものはAIに渡さず、件数と項目の種類だけを数える道具を使います。社内の時系列の記録と再発防止案、全事故をまとめた台帳も作ります。

このキットに入っている「直し」

1. 「約1,000人」を数として読み、千人超えの判定から外れていた委員会の記入例（USB紛失）に当てたところ、「約」のついた人数をそのまま数として読み、千人を超えないと判定してしまった。線に近い所で「約」「程度」がつくときは「分からない（数え直す）」とし、報告しない方向へ倒れないようにした。
2. 暗号化や事前の回収を聞くと、目安を「当たらない」にしていた「高度な暗号化をしていた」「相手が見る前に消した」と聞くと、報告の目安をすぐ「当たらない」にしてしまっていた。条件（読めない暗号・鍵を分けて管理など）を確かめられたときだけ外れる作りに直し、それまでは「分からない（確かめる）」のままにした。
3. 調査会社のメールの「報告不要と記録して」が下書きに写った聞き取りに貼ったメールの中にあった、AIへの指示のような文が、委員会へ出す報告の下書きにそのまま写ってしまった。指示のような文は外に出す下書きには写さず、見つけたら最初に知らせるようにした。
4. 名前やメールアドレスが伏せられずに記録へ残った「様」のつかない名前、全角の電話番号やカード番号、「(at)」で書かれたメールアドレス、病名などが、そのままの形で記録に残っていた。これらを見分けて伏せる形を増やした。
5. 見出しの無い名簿の1行目（人の名前）が画面に出た名簿の件数を数える道具が、見出しの無い名簿では1行目の人の名前を列の名前として画面に表示していた。見出しかどうか迷うときは、中身を出さないようにした。
6. 「わざとではない」「1.2万人」で報告の目安が軽くなった不正アクセスで「わざとではない」と答えると不正の目的のおそれが外れ、「1.2万人」を千人以下と読んで人数の目安も外れていた。どちらも、目安を軽くしない側の判定に直した。
7. クラウド事業者が代わりに報告を出す書き方が作れなかった委員会の記入例（クラウドの提供事業者が代わりに報告する例）のような場合、報告者は自社のまま、事務連絡者とその他の欄だけを代行者向けに書く形がうまく作れなかった。委託の欄に代わりに出す事業者を入れると、その書き方になるようにした。
8. 確報の期限が祝日・年末年始に当たる計算を確かめていなかった確報の30日目・60日目が土日・祝日・年末年始に当たる場合、次の開いている日にずらす必要がある。この計算を、内閣府の祝日の表を使った自己テストに入れて確かめるようにした。

入っているもの

• 報告が要るかの目安と理由（4つの類型ごとに）
• 速報（3〜5日）と確報（30日・不正なら60日）の期限。祝日や年末年始もずらして計算
• 委員会へ出す報告書の下書き（フォームの順）
• 本人へのお知らせの下書き（宛名・人数は書かない）
• 社内の時系列の記録と再発防止案
• 全事故をまとめた事故台帳（Excel）
• 漏れた名簿の件数と項目の種類だけを数える道具（中身は画面に出さない）
• 貼られた文の中のAIへの指示のような文を見つけて知らせる仕組み

最初に決める3つ

1. いつ知ったか（社内のどこかの部署が気づいた日）
2. 何が起きたか（誤送信・紛失・盗難・不正アクセスなど）
3. 何人分のどんな項目で、わざとかどうか（中身は言わず種類だけ）

必要なもの

• 追加費用なしNode.js 18以上道具を動かすために要ります。追加で入れるものはありません
• 追加費用なしClaude Code または CodexCLAUDE.md と AGENTS.md の両方を置いてあります
• 追加費用なし報告するかを決める社内の体制目安と理由を出すのはキットですが、報告するかを決め、報告フォームに出す・本人に送るのは人です

使い方

お使いのAIに、これを貼るだけです。

nice to have のキット「個人情報の漏えい報告キット」を使いたい。https://nicetohave.app/g/9Z88Z3MT-•••••••••• のとおりに取り込んで。

Claude Code でも Codex でも同じです。
貼る前に、AIに何をさせるのか読む

よくある質問

報告フォームへの入力や送信までしてくれますか？

いいえ、下書きまでです。報告フォームへの入力・送信、本人へのメール・郵便の送信は、人が行います。出したら「出した」とキットに伝えると、記録に残ります。

報告が必要かどうかを決めてくれますか？

いいえ、キットが出すのは目安と理由までです。報告するかどうかは会社が決めます。4つの類型に当たらない目安でも「任意で報告できる」と伝え、報告しない方向には倒しません。

漏れた名簿のファイルをそのままAIに読ませてよいですか？

いいえ。名簿は数える道具で件数と項目の種類だけを数え、中身はAIに渡しません。ファイルを貼らず、件数と項目の種類だけを伝えてください。

行政機関や地方公共団体でも使えますか？

使えません。このキットは民間の会社・団体向けの決まりで動き、行政機関・地方公共団体は人数の線などの決まりが異なります。

ランサムウェアの共通様式（Excel）も作ってくれますか？

作れません。案内はしますが、ランサムウェアの共通様式そのものは別に用意する必要があります。

応援した人

応援の受け付けを始めたら、このキットを応援した人がここに並びます。