連名で出せることになった。ただし本人への通知は含まれない

• 連名か個別かを選べるようになった。連名なら個別の報告は不要
• 委員会が「本件に限り、期限を過ぎても報告遅延としない」と認めた
• 連名に「本人への通知」は含まれない。ここは自分でやる

Studioの不正アクセスで、フォーム機能を使っていた人が自分で個人情報保護委員会へ報告する必要があった件。

3日前に「報告をいったん保留してほしい」という案内が出た話を書いた。期限があるのに待てと言われる、という状態だった。

これが10月20日に決着した。

選べるようになった

公式の案内はこうなっている。

個人情報保護委員会への漏えい等報告について、同委員会と協議した結果、お客様ご自身で個別にご報告いただくか、弊社が取りまとめてお客様と弊社の連名でご報告するかを、お選びいただけることになりました。

連名を選べば個別の報告は不要になる。個別を選ぶなら、10月17日の保留のお願いにかかわらず自分で出してよい、とされている。

すでに個別で出した人は受付済みで、あとから連名に切り替えることもできる。その場合は確報の提出が不要になる。

いちばん大きいのは、期限の扱い

ここが今回の本題だと思う。

同委員会と協議の上決定した方法により連名報告をしていただいた場合には、本件事案に限り、速報の目安の期間を超過した場合でも報告遅延としては取り扱わないこととなりました。

委員会側が、期限超過を遅延としないと認めた。

どれくらい切迫していたか

個人情報保護委員会の案内では、期限はこうなっている。

利用者が知らされたのは10月16日だ。速報の目安は10月19日から21日あたりになる。

つまり保留を頼まれた人は、期限の直前で待たされていた。そしてその期間内に決着した。綱渡りではあったが、間に合っている。

見落とすと困る点

ここだけは太字で書いておきたい。

連名でのご報告は、同委員会へのご報告を対象とするもので、サイトの利用者（ご本人）への通知は含みません。通知が必要となる場合は、引き続きお客様にてご対応をご検討ください。

2つある義務のうち、1つしか肩代わりされない。

「連名でお願いしたから終わり」と思うと、もう片方が残る。10月17日の案内でも、保留を頼んでいるのは委員会への報告だけだと書かれていた。そこは一貫している。

通知のときに使えるもの

親切だと思ったのは、ここだ。

サイトの利用者（ご本人）へ通知される際に、本件の経緯や弊社の対応状況の説明として、同ページをご案内いただくこともできます。

経緯を自分で書き起こさなくていい。一次情報へのリンクを貼れば済む。

これは受け取る側にも良い。前に漏えいの後に届く「お詫びとお知らせ」で書いたとおり、偽の案内と見分ける材料になる。公式ページを照らせる形は強い。

まだ決まっていないこと

待つ側として、ここは押さえておきたい。

• 申し込みの方法 — 「決まり次第、速やかにご案内」
• 受付の期間 — 同じく未定

案内はStudioにログインしたときのお知らせとメールで届く。メールは10月20日から順次で、届くまで時間がかかる場合があるとされている。

待っている間にやること

何もしなくていい、という意味ではない。

1. どのフォームが対象か確認する。対象のプロジェクトは10月16日のメールに書かれている
2. フォームで何を集めていたか洗い出す。名前、メール、電話、問い合わせ内容
3. 本人への通知が要るかを検討する。こちらは連名に含まれない
4. 連名か個別かを決める。急ぐ事情があるなら個別も選べる

2番目は、通知の文面を作るときに必要になる。先にやっておくと後が楽だ。

制度の動き方として注目した

今回いちばん珍しいのは、委員会が運用を曲げたことだと思う。

理由は想像がつく。Studioで作られたサイトは多い。一つひとつが個人情報取扱事業者として報告すると、同じ事案の報告が大量に届く。

• 委員会側は同じ内容を何千件も処理することになる
• 事業者側は詳細を知らないまま報告書を書くことになる
• どちらにとっても精度が上がらない

取りまとめて1本にしたほうが、実態が正確に伝わる。仕組みの側が現実に合わせた形になっている。

同じ日に、福岡市でも自治体の窓口が巻き込まれていた件を書いた。1社の侵害が、何百という事業者の義務になる。この構造自体が新しい。

制作を請けている人へ

今回の件で、はっきりしたことがある。

ツールを使って作ったサイトでも、個人情報を預かっているのは作った側（または運営している側）だ。ツールの会社が代わりに義務を負ってくれるわけではない。

だから、平時にやっておくことが決まる。

1. フォームで何を集めているか、案件ごとに書き出しておく
2. 連絡先の一覧を作っておく。通知が要る事態になったとき、誰に出すか
3. 誰が報告義務を負うかを、契約の時点で確認しておく

3番目は、今回のように外部サービスが原因でも関係してくる。Studio側で何が起きたかは自分では防げない。防げないものが起きた後の段取りを決めておく話になる。

まとめ

• 連名報告か個別報告かを選べるようになった（10月20日）
• 連名なら個別の報告は不要。すでに出した人も切り替え可能
• 委員会が「本件に限り、速報の期限超過を遅延扱いしない」と認めた
• 速報の目安は発覚から3〜5日。10月16日発覚なので19〜21日あたりだった
• 連名に本人への通知は含まれない。ここは自分でやる
• 通知の際はStudioの説明ページを案内に使える
• 申し込み方法と受付期間は未定。ログイン時のお知らせとメールで案内
• 待つ間に対象フォームと集めていた項目を洗い出しておく

出典

• Studio「【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内」（2026年10月17日公開、10月20日に続報を掲載。連名報告の選択、報告遅延の扱い、本人通知が含まれないこと、案内の方法）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（速報は発覚日から3〜5日以内、確報は30日以内。不正な目的で行われたおそれがある場合は60日以内）
• Studio「不正アクセスに関するお知らせ」（本件の概要と最新の対応状況。本人への通知時に案内できるとされているページ）

本記事は2026年10月20日時点の公表内容に基づく。申し込みの方法と受付期間はまだ案内されていない。報告や通知の要否は個別の事情によるため、判断に迷う場合は専門家に相談すること。本記事は法的な助言ではない。