はい。法令上の報告・通知の対象となる事態では、フォレンジック調査が完了していなくても、個人情報保護委員会への報告や本人通知が必要になる場合があります。
個人情報保護委員会への速報は、報告対象事態を知った後、速やかに行う必要があり、目安は概ね3～5日以内です。速報では、その時点で把握している内容を報告します。確報は原則として30日以内、不正の目的をもって行われたおそれがある事態では60日以内に行います。
本人通知は、事態の状況に応じて速やかに行う必要があります。具体的な時点は、把握している事実、二次被害を防ぐ必要性、通知によって生じる弊害などを踏まえて判断します。
調査の完了を一律に待つのではなく、調査と並行して報告・通知の要否と時期を検討し、確認済みの事実と未確定事項を区別し、調査した事実が確認済みのステータスになった段階で、適時かつ継続的に説明することが重要です。そのため、個人情報保護委員会への報告や本人通知は、重要な事実が確認される都度、段階的に行うことになります。
フォレンジック調査ならTMIP＆S
TMI総合法律事務所およびTMIプライバシー＆セキュリティコンサルティングでは、サイバーインシデント対応支援、フォレンジック調査に対応しております。サービス内容の詳細や費用につきまして、お気軽にお問合せください。