breach-subject-comms

データ主体への侵害通知の管理

概要

GDPR 第 34 条では、個人データ侵害によって「自然人の権利および自由に対する高いリスクが生じる可能性が高い」場合、管理者は影響を受けるデータ主体に「不当な遅滞なく」通知することが義務付けられています。この義務は、第 33 条に基づく監督機関への通知とは別個のものであり、それに加えて課されます。通知は明確で平易な言葉で記載し、影響を受ける個人が直接確認できるようにする必要があります。また、第 34 条第 2 項で定められた具体的な情報を含める必要があります。

高リスクの基準 — 第 34 条が適用される場合

侵害リスクの評価で「高リスク」と判断された場合、第 34 条に基づく通知が必要になります。EDPB ガイドライン 9/2022 の第 3.2 節によると、以下の場合は高リスクに該当します。

1. 侵害に、直接識別子と組み合わせた特別カテゴリーのデータ（第 9 条）または有罪判決に関するデータ（第 10 条）が含まれる場合。
2. 侵害によって個人情報の窃取が可能になる場合 — 漏えいしたデータに、他の識別情報と組み合わせた政府発行の識別番号（国民 ID、納税者番号、社会保障番号）が含まれる場合。
3. 侵害に、不正行為に悪用される可能性がある金融データ（銀行口座番号、決済カード情報）が含まれる場合。
4. 侵害に、脆弱な立場にある個人（未成年者、患者、従属関係にある従業員）のデータが含まれ、その影響が増幅される場合。
5. 特別カテゴリーのデータでなくても、直接識別子を含む大量の個人データ（1,000 人を超える個人のデータ）が侵害される場合。
6. 侵害によって、個人への身体的危害、差別、または生命や安全への脅威が生じる可能性がある場合。

必須の内容 — 第 34 条第 2 項

データ主体への通知には、少なくとも第 33 条第 3 項の（b）、（c）、（d）で指定されている情報を含める必要があります。

（b）DPO または問い合わせ窓口の詳細

• データ主体が詳細情報を入手できるよう、DPO またはその他の指定された問い合わせ窓口の氏名と連絡先を記載します。
• Stellar Payments Group：Dr. Elena Vasquez、[email protected]、+49 30 7742 8001。
• 1,000 人を超える個人に影響する侵害については、専用の侵害対応ホットラインを設置する必要があります。

（c）想定される影響

• 技術に詳しくないデータ主体にも理解できる平易な言葉で、侵害によって想定される影響を説明します。
• 法律用語や技術用語は避けます。
• 起こり得ることを具体的に説明します。「お客様の氏名、メールアドレス、決済カード番号の一部が漏えいしました。これにより、第三者がお客様を信用させるフィッシングメールを送信したり、不正な取引を試みたりする可能性があります。」

（d）実施済みまたは提案中の対策

• 管理者が侵害に対処するために実施したこと。
• 管理者が悪影響を軽減するために実施していること。
• データ主体が自身を保護するためにできること（具体的で実行可能な手順）。

追加の必須項目：侵害の性質

• 第 34 条第 2 項では第 33 条第 3 項の（b）、（c）、（d）のみが参照されていますが、第 34 条第 1 項の前文では、管理者に対して「個人データ侵害をデータ主体に通知する」よう求めています。これは、侵害の性質を説明することを必然的に含みます。

第 34 条第 3 項に基づく免除

以下の 3 つの場合、管理者はデータ主体への直接通知を免除されることがあります。

（a）技術的保護措置

管理者が、暗号化など、権限のない者には個人データを判読できない状態にする、適切な技術的および組織的保護措置を適用している場合。

この免除の要件：

• 暗号化は最新の水準でなければなりません（AES-256 または同等の方式）。
• 同じ侵害で暗号鍵が侵害されていてはなりません。
• 一部のデータだけでなく、影響を受けたすべてのデータに暗号化を適用していなければなりません。
• 管理者は、侵害の発生前から暗号化が適用されていたことを証明できなければなりません。

(b) その後の措置

管理者はその後、データ主体の権利および自由に対する高いリスクがもはや現実化する可能性がないことを確保する措置を講じました。

この免除の要件：

• 措置によってリスクを単に低減するのではなく、確実に排除する必要があります。
• 管理者は、権限のない者がデータにアクセスしたり、データを使用したりしていないと高い確信を持てる必要があります。
• 露出していた期間が非常に短かった必要があります。

(c) 過度な負担

個別の通知が過度な負担となる場合は、代わりに公表または同様の措置を講じるものとします。

この免除の要件：

• 管理者は、個別通知が過度な負担となる理由を示す必要があります（例：影響を受ける人の大部分について連絡先情報が古くなっている）。
• 公表によって、影響を受ける人に同等の効果で情報を届ける必要があります。
• 手段：目立つウェブサイトのバナー、全国紙への広告、連携したソーシャルメディアでの告知、放送メディアによる通知。

通知手段とタイミング

優先する手段（優先度順）

1. 登録済みのメールアドレスへの直接メール — 最も迅速で、配信を確認しやすい方法です。
2. 登録済みの住所への郵送通知 — メールを利用できない場合、または信頼性に欠ける場合に必要となる代替手段です。
3. 詳細情報へのリンクを含むSMS 通知 — 時間的な制約がある侵害に対する補助的な手段です。
4. アプリ内通知 — モバイルアプリまたはウェブアプリのユーザーに影響する侵害の場合に使用します。
5. 公表 — Art. 34(3)(c) の過度な負担に関する免除が適用される場合に限ります。

タイミングの要件

• Art. 34(1) の「不当な遅滞なく」とは、可能な限り迅速にという意味です。
• EDPB のガイダンスでは、データ主体への通知は、侵害の判定後、数週間ではなく数日以内に行うことが推奨されています。
• Stellar Payments Group の社内基準：高リスクであることがリスク評価によって確認されてから7暦日以内に、データ主体への通知を発送します。

言語とアクセシビリティの要件

1. 明確で平易な言葉：Art. 34(2) は、侵害について「明確で平易な言葉」で説明することを明示的に求めています。法律用語、専門用語、頭字語は避けてください。
2. データ主体の言語：通知は、管理者が通常データ主体とのコミュニケーションに使用する言語で行う必要があります。欧州全域で事業を行う管理者の場合、多言語での通知が必要です。
3. アクセシビリティ：通知は、障害のある人も利用できるものでなければなりません（デジタルチャネルでは WCAG 2.1 AA への準拠、郵送による通知では要望に応じて大活字版または音声版を用意します）。
4. 個別の通知：侵害通知をマーケティングコミュニケーション、請求書、その他の定期的な連絡に同梱してはなりません。データ侵害に関する通知であることが明確に分かるようにする必要があります。

シナリオ別の通知テンプレート

シナリオ 1：金融データ侵害 — 決済カード情報の漏えい

件名：重要なセキュリティ通知 — お客様の決済情報が影響を受けた可能性があります

[データ主体の氏名] 様

Stellar Payments Group が保有するお客様の個人情報および決済情報に影響を及ぼした可能性のあるセキュリティインシデントについてお知らせいたします。

何が起きたのか： 2026年3月13日、決済処理データベースへの不正アクセスを検知しました。調査の結果、外部の攻撃者が2026年3月10日から3月13日までの間に、一部のお客様の決済記録にアクセスしたことが判明しました。

影響を受けた情報： Stellar Payments アカウントに関連付けられたお客様の氏名、メールアドレス、請求先住所、決済カード情報（カード番号、有効期限、CVV）が、アクセスされた記録に含まれていました。

当社の対応：

• 影響を受けたシステムを直ちに隔離し、サイバーセキュリティ分野をリードする企業である Mandiant に依頼して、包括的なフォレンジック調査を実施しています。
• 関連する決済カードネットワーク（Visa および Mastercard）に通知しており、影響を受けたカード番号に関する不正利用がないか監視しています。
• 法律で義務付けられているとおり、このインシデントを Berliner Beauftragte für Datenschutz und Informationsfreiheit に報告しました。

お客様にできること：

• 直ちに銀行またはカード発行会社に連絡し、カードの再発行を依頼してください。不正利用の兆候を待つ必要はありません。
• 銀行およびカードの利用明細を確認し、心当たりのない取引がないかご確認ください。
• Stellar Payments またはお客様の銀行を名乗る、予期しないメール、電話、テキストメッセージにはご注意ください。当社がお客様のパスワードやカード番号全桁をお尋ねすることは決してありません。
• 信用情報機関（ドイツでは SCHUFA、その他の地域では Experian／Equifax）への不正利用警告の登録をご検討ください。

無料の信用情報モニタリング： 影響を受けたすべてのお客様に、Experian IdentityWorks を通じて12か月間の無料信用情報モニタリングを提供します。登録するには stellarpayments.eu/breach-support にアクセスし、アクティベーションコード SPG-2026-PROTECT をご利用ください。登録期限は2026年6月30日です。

お問い合わせ： ご不明な点がございましたら、専任の侵害対応チームまでご連絡ください。

• メール：[email protected]
• 電話：+49 30 7742 9000（月曜日～金曜日、08:00～20:00 CET；土曜日、09:00～17:00 CET）
• 郵送先：Stellar Payments Group, Data Breach Response Team, Friedrichstraße 191, 10117 Berlin, Germany

当社のデータ保護責任者である Dr. Elena Vasquez には、[email protected] または +49 30 7742 8001 でご連絡いただけます。

このインシデントを深くお詫び申し上げるとともに、再発防止に努めてまいります。

敬具
Marcus Lindqvist
最高経営責任者
Stellar Payments Group

---

シナリオ 2：健康データの漏えい — 医療記録への不正アクセス

件名：健康情報に関する重要なお知らせ

[データ主体名] 様

Stellar Payments Group の従業員向けウェルネスプログラムが保有するお客様の健康情報に関するセキュリティインシデントについてお知らせいたします。

発生したこと： 2026年3月5日、当社のIT部門の従業員が、2026年2月1日から3月4日の間に、許可なく産業保健データベースにアクセスしていたことが判明しました。このデータベースには、当社のウェルネスプログラムに登録している従業員の健康診断結果および病気休暇の記録が含まれています。

対象となった情報： お客様の氏名、従業員番号、生年月日、健康診断結果（血圧、コレステロール、BMIの測定値を含む）、および2025～2026年の病気休暇の履歴です。

当社の対応：

• 責任を負う従業員は懲戒調査が完了するまで停職処分となり、システムへのアクセス権は取り消されました。
• 多要素認証を伴うロールベースのアクセス制御など、産業保健データベースに追加のアクセス制御を実装しました。
• 過去12か月分のデータベースアクセスログの監査を完了しました。
• Berliner Beauftragte für Datenschutz und Informationsfreiheit に通知しました。

お客様にできること：

• 健康情報の利用方法について懸念がある場合は、DPO にご相談ください。
• アクセス権（GDPR 第15条）に基づき、ご自身の健康記録に関連するアクセスログの写しを請求する権利があります。
• このインシデントに関連すると考えられる不利益が生じた場合は、ただちに当社までご連絡ください。

カウンセリングサポート： 当社は、従業員支援プログラム（EAP）の提供元である Workplace Options を通じて、秘密厳守のカウンセリングサポートを手配しました。+49 800 100 0287 で24時間年中無休で利用できます（照会番号：SPG-Health-2026）。

お問い合わせ先：

• DPO：Dr. Elena Vasquez、[email protected]、+49 30 7742 8001
• 人事部機密相談窓口：[email protected]、+49 30 7742 7500

敬具
Dr. Elena Vasquez
データ保護責任者
Stellar Payments Group

---

シナリオ 3：認証情報の侵害 — ユーザー名とパスワードの漏えい

件名：対応が必要です — Stellar Payments アカウントの認証情報が侵害された可能性があります

[データ主体名] 様

Stellar Payments アカウントのログイン認証情報が、セキュリティインシデントにより漏えいした可能性があることをお知らせします。

何が起きたのか： 2026 年 3 月 20 日、当社のセキュリティ監視システムは、顧客アカウントの認証情報を含むデータベースのバックアップファイルが、2026 年 3 月 15 日から 3 月 20 日までの間、安全でないクラウドストレージインスタンスに誤って保存されていたことを検知しました。

影響を受けた情報： Stellar Payments アカウントのメールアドレス、ユーザー名、ハッシュ化されたパスワードです。パスワードはハッシュ形式（コスト係数 12 の bcrypt）で保存されていましたが、高度な攻撃者がハッシュの解読を試みる可能性があるため、当社は本件を高リスクの侵害として扱っています。

当社の対応：

• クラウドストレージインスタンスを保護し、漏えいしたバックアップファイルを削除しました。
• 予防措置として、影響を受けたすべてのアカウントのパスワードを強制的にリセットしました。
• 機密データが安全でないクラウド環境に保存されるのを防ぐため、自動スキャンを導入しています。

ただちに行っていただくこと：

1. stellarpayments.eu に次回ログインする際に、新しいパスワードの作成を求められます。他のサービスでは使用していない、強固で一意のパスワードを設定してください。
2. Settings > Security > Enable 2FA に移動し、アカウントの二要素認証（2FA）を有効にしてください。
3. 他のウェブサイトやサービスで同じパスワードを使用している場合は、ただちにそのパスワードを変更してください。
4. 本インシデントに言及し、情報を提供させようとするフィッシングメールにご注意ください。

お問い合わせ先：

• メール：[email protected]
• 電話：+49 30 7742 9000
• DPO：Dr. Elena Vasquez、[email protected]、+49 30 7742 8001

敬具 Thomas Brenner 最高情報セキュリティ責任者 Stellar Payments Group

---

シナリオ 4：ランサムウェア — 一時的なデータ利用不能

件名：サービス中断のお知らせ — お客様のデータが一時的に利用できない状態になりました

[データ主体名] 様

お客様のアカウントデータへのアクセスに一時的な影響を及ぼしたセキュリティインシデントについてお知らせします。

何が起きたのか： 2026 年 3 月 13 日、Stellar Payments Group はランサムウェア攻撃を受け、顧客データベースの一部が暗号化されました。そのため、安全なバックアップからシステムを復旧する間、お客様のアカウントデータは約 36 時間、一時的に利用できない状態となりました。

影響を受けた情報： インシデント発生中、お客様のアカウントデータ（氏名、連絡先、取引履歴、口座残高）にアクセスできない状態となりました。当社のフォレンジック調査により、攻撃中にデータが外部へ持ち出されていない（コピーまたは窃取されていない）ことが確認されています。データはその場で暗号化され、すべて復旧済みです。

当社の対応：

• 攻撃前に取得した、検証済みのクリーンなバックアップから、影響を受けたすべてのデータを復旧しました。
• 包括的なフォレンジック調査を実施するため、Mandiant に依頼しました。
• ネットワークのセグメンテーションとエンドポイント保護を強化しています。
• 本インシデントを監督機関に報告しました。

お客様に行っていただきたいこと：

• stellarpayments.eu でアカウントにログインし、最近の取引と口座残高が正しいことをご確認ください。
• 相違にお気づきの場合は、ただちにサポートチームまでご連絡ください。
• 予防措置として、アカウントのパスワードを変更することをお勧めします。

お問い合わせ先：

• カスタマーサポート：[email protected]、+49 30 7742 5000
• DPO：Dr. Elena Vasquez、[email protected]、+49 30 7742 8001

敬具 Marcus Lindqvist 最高経営責任者 Stellar Payments Group

---

シナリオ 5：内部関係者の脅威 — 従業員データの持ち出し

件名：雇用記録に関する重要なお知らせ

[データ主体名] 様

Stellar Payments Group が保有するお客様の雇用記録に関するセキュリティインシデントについてお知らせいたします。

何が起きたのか： 2026年3月1日、当社のデータ損失防止システムが、People Operations 部門を退職する従業員が2026年2月27日に従業員記録を含むファイルを個人のクラウドストレージアカウントに転送したことを検知しました。当社は直ちに調査を開始し、データを回収しました。

対象となった情報： お客様の氏名、従業員番号、自宅住所、個人用メールアドレス、生年月日、給与情報、給与支払い用の銀行口座情報、国民保険番号／社会保障番号。

当社の対応：

• 元従業員に対し、データのコピーをすべて削除し、削除した旨の宣誓書を提出するよう求める裁判所命令を取得しました。
• 元従業員の個人用デバイスをフォレンジック調査した結果、すべてのコピーが削除されたことを確認しました。
• 従業員記録の一括エクスポートを防止する、強化された DLP 制御を導入しました。
• 人事システムへのアクセス権を持つすべてのユーザーを対象に、行動分析による監視を追加しました。
• このインシデントを Berliner Beauftragte für Datenschutz und Informationsfreiheit に報告し、法執行機関（Landeskriminalamt Berlin、事件参照番号 LKA-2026-04872）にも通知しました。

お客様にできること：

• 銀行口座に不正な取引がないか確認してください。
• SCHUFA（+49 611 9278 0）への電話、または meineschufa.de へのアクセスにより、SCHUFA の不正利用アラートの設定をご検討ください。
• Stellar Payments での雇用に関する具体的な詳細に言及する、身に覚えのない採用担当者やその他の組織からの連絡にはご注意ください。
• 不審な行為があれば、[email protected] まで当社のセキュリティチームにご報告ください。

無料の個人情報保護サービス： 影響を受けたすべての従業員に対し、Experian IdentityWorks を通じて24か月間の個人情報盗難防止サービスを無料で提供します。このサービスには、ダークウェブの監視、クレジットモニタリング、25,000ユーロの個人情報盗難保険が含まれます。登録方法は、HR ポータルの Benefits > Breach Support でご確認いただくか、[email protected] までお問い合わせください。

お問い合わせ先：

• 人事機密窓口：[email protected]、+49 30 7742 7500
• DPO：Dr. Elena Vasquez、[email protected]、+49 30 7742 8001
• 従業員支援プログラム：+49 800 100 0287（24時間年中無休）

敬具
Dr. Elena Vasquez
データ保護責任者
Stellar Payments Group