情報漏えいの有事で経営が先に決めるべきこと

本稿は、AIに限らない「情報漏えいの有事」で、経営が何をいつまでに決めるべきかを論じる。個人情報保護法は委員会への報告（速報と確報）や本人通知を求めるが、公表の範囲や補償・支援の具体策までは法令が定めず、企業が順序や判断基準を用意する必要があると指摘している。

著者は国内の大規模事案5件（ベネッセ、Omiai、快活CLUB、タイムズカー、第一興商）の公表文を比較し、第一報の速さと補償・支援方針の提示は別の時間軸で進むことを示した。例としてベネッセは原資200億円を用意すると先に示し、快活CLUBは個別補償を行わないと明示、タイムズカーは外部調査を踏まえて方針を決めるとしている。

利用者は企業の最終判断を待たずに再交付や手続きに動くため、企業は調査中でも「推奨する対策・効果の限界」「費用支援の有無と対象」「記録として残すべき情報」「次回説明の時期」など、実行可能な案内を早期に示すべきだと論じる。富士フイルムやソースネクストの事例では、カード再発行費用の負担方針や手続き案内を具体化した例が紹介されている。

最後に、平時にあらかじめ定めておくべき事項として、(1)判断対象と基準、(2)決定者と権限、(3)見直し・報告の条件を挙げる。特に「止める判断」と「再開する判断」を分離し、説明更新の期限と未決判断の再検討時点、決められない場合の報告先を決めておくことを推奨している。取締役会は、止める権限の所在や再開条件、補償判断の体制、データ保管期間などを平時に確かめるべきだと結んでいる。