「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（4/5 ページ）

タイムズカーの約660万件アカウント流出をはじめ大規模情報漏えいが相次ぐ中、全容判明前の「初報」の出し方が企業の信頼を大きく左右している。調査完了を待って公表を遅らせるリスクや「不正利用は確認されていない」という常套句の落とし穴を指摘。法令対応の「法律の時計」と二次被害を防ぐ「顧客の時計」を両立させ、不確実な状況でも顧客の不安を減らす危機管理広報の鉄則を最新事例から解き明かす。

[大杉春子，ITmedia]

「次はいつ知らせるか」が不安を左右する

　初報を出せば、危機管理広報が終わるわけではありません。むしろ、その後に何を伝え続けるかが重要になります。

　タイムズカーは10月16日の第4報で、本人確認書類の画像の保有ルールを見直すと公表しました。同社は、それまで運転免許証などの本人確認書類画像を会員期間中および退会後7年間保有していたと説明。今後は登録確認完了後に画像を削除する運用へ変更し、現在保有している画像についても10月末までに削除するとしました。同時に、調査に時間を要しているため、次の案内を10月23日に変更することも伝えています。

　ここで大切なのは、予定通りに調査が終わらなかったこと自体よりも、予定の変更をどう説明するかです。「調査中です」という言葉だけでは、受け手はいつまで待てばよいのか分かりません。新たな事実がまだ判明していない場合でも、調査が続いていること、実施した対策、次の案内予定、問い合わせ先を更新することには意味があります。

　ただし、発表の回数が多ければ信頼が高まると単純に言えるわけではありません。各社の公表資料だけで、実際の顧客の信頼度や企業評価の変化を判断することもできません。それでも、情報が不足している人にとって、次に確認できる日時や窓口が明示されていることは、不安を整理する助けになるはずです。

タイムズカーにおける本人確認書類の画像保有ルールの見直し（パーク24のWebサイトより）

法令への対応と、顧客への説明は分けて考える

　もうひとつ覚えておきたいのは、法令上の報告と、顧客へのコミュニケーションは同じではないということです。個人情報保護委員会への報告には、速報がおおむね3〜5日以内、「確報が原則30日以内」（不正アクセスなどは60日以内）といった期限があります。ただ、一定の漏えいでは本人への通知も法律上求められます。しかし、この期限は「Webでの公表を3〜5日待ってよい」という意味ではありません。

　「個人情報保護委員会に報告したから、顧客への説明は十分だ」とはなりません。反対に、法令上の報告期限を、そのまま対外公表の一律の期限と考えることも適切ではありません。

　法令上いつ何をしなければならないかという「法律の時計」と、二次被害を防ぐために顧客がいつ情報を必要とするかという「お客さまの時計」。有事には、この二つを同時に意識する必要があります。そのため、広報、法務、情報システム、顧客対応の各部門が連携し、法令上必要な対応と、被害拡大を防ぐために必要な説明を並行して進めることが重要です。