ウォレットアドレスと会員IDの対応表が漏えいしたら｜報告・本人通知と公表文の線引き

ステーブルコイン決済を受け付けている会社で、会員IDと支払元のウォレットアドレスを並べた対応表が外に出てしまった。本記事はこの場面を、個人情報保護法の漏えい等報告・本人通知と、公表文に何を書けるかの2つの軸で整理します。ウォレットアドレスとは、ステーブルコインを送受信するときの宛先を表す英数字の文字列です（用語は用語集にまとめています）。

先に結論を書きます。通常の会員情報の漏えいと違うのは、漏れた情報そのものより、それがつなぐ先です。チェーン上の取引記録は誰でも閲覧できるため、対応表は「匿名の取引履歴を特定の会員の履歴として読むための鍵」になりえます。その説明を、条文が求める通知事項の範囲で、断定せずに書く。これが本件の告知設計の芯です。

事案：会員制ECの対応表CSVが、委託先の共有設定から外へ出た

①既存事業と既存ユーザー。会員約3万人の会員制EC（定期購入型の食品通販）を想定します。会員登録時に氏名・住所・メールアドレスを預かり、会員IDで管理しています。

②やろうとしていたこと。この会社は1年前から、支払方法の1つとしてステーブルコイン建ての決済を受け付けています。利用状況の分析を外部のデータ分析会社に委託し、「会員ID」「支払元アドレス」「注文日」の3列からなるCSVを渡していました。氏名や住所は含めていません。ある日、委託先から「クラウドストレージの共有リンクの設定を誤り、リンクを知る人なら誰でも閲覧できる状態が約2週間続いていた。外部からのダウンロード記録が数件ある」と連絡が入ります。CSVは約2,000行で、同じ会員が複数のアドレスから支払った行もあり、本人の数はまだ確定していません。

③登録業者との役割分担。受け取りと円への換金は、登録を受けた電子決済手段等取引業者（ステーブルコインの売買や送受信の仲介を行う登録業者）の仕組みに載せています。自社はコインを預からず、秘密鍵（資産を動かすための暗号の鍵）も持っていません。漏えいの原因は自社と委託先の側にあり、登録業者のシステムで起きたことではありません。

④想定される告知。対象会員への本人通知メール、サイトでの公表文、問い合わせ窓口のFAQと一次回答テンプレート。この3点に、なりすまし連絡への注意喚起をどう載せるかが加わります。

図: 対応表が公開台帳と会員データベースをつなぐ構造（当サイト作成）

通常の会員情報漏えいと、説明が変わる理由

メールアドレスの一覧が漏れた場合、漏れた情報は一覧に書かれていた範囲で止まります。対応表の場合はそうではありません。アドレスの文字列をブロックエクスプローラ（チェーン上の記録を検索・表示する公開サイト）に貼れば、そのアドレスが関わった取引の一覧が表示されます。この性質はオンチェーンの取引は誰でも見えるで整理しました。

ここで注意したいのは、「読めるようになりうる」と「被害が出た」は別の話だということです。本人通知文で前者を説明することと、後者を断定することは違います。この区別が、後で扱う「書いてはいけないこと」の土台になります。

報告と本人通知：条文が置いている枠組み

法第26条第1項は、個人データの漏えい等の事態であって個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、個人情報保護委員会に報告しなければならないと定めています。第2項は、その場合に本人に対し、当該事態が生じた旨を通知しなければならないとし、本人への通知が困難な場合で代わりの措置をとるときを例外としています。

なお本件は「漏えい」の入口から確認が要ります。ガイドライン（通則編）3-5-1-2は漏えいの事例として、システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合を挙げ、閲覧されないうちに全てを回収した場合は漏えいに該当しないとしています。本件はダウンロード記録があるため、後者の整理は使いにくい状況です。

報告対象事態は規則第7条が4つ定めています。本件に当てはめるときの論点を並べると次のとおりです。

第4号について、ガイドラインは本人の数が確定できない場合、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超えるなら該当すると説明しています。行の重複を除く作業が終わるまで判断を保留する、という運用はこの説明と合いません。

第2号の「財産的被害のおそれ」とアドレス

いちばん判断が割れやすいのが第2号です。ガイドラインは、財産的被害が生じるおそれは対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断するとしています。報告を要する事例は、ECサイトからのクレジットカード番号の漏えいと、送金や決済機能のあるウェブサービスのログインIDとパスワードの組合せの漏えいです。

同委員会のQ&A（Q6-11）は、第2号は漏えいした個人データを利用し、本人になりすまして財産の処分が行われる場合が想定されていると説明しています。Q6-14は、銀行口座情報のみの漏えいは直ちに第2号に該当するものではないとしつつ、インターネットバンキングのパスワードとの組合せなら該当すると考えられるとしています。ウォレットアドレスそのものを取り上げた記載は、2026年10月2日時点で確認できませんでした。アドレスは送金先として使う文字列で、秘密鍵とは別物です。ただ、それをもって第2号に当たらないと結論づけることは本記事ではしません。

令和8年改正法では、本人の権利利益の保護に欠けるおそれが少ない場合の本人通知義務の緩和が盛り込まれました。ただし対象範囲は今後の委員会規則で定める予定です。2026年10月1日の同委員会資料で例に挙がっているのは、それ単体ではおよそ意味を持たない社内識別子のみが漏えいした場合などにとどまります。

本人通知と公表文：書けること、書いてはいけないこと

本人通知の内容について、規則第10条は第8条第1項のうち概要、漏えい等が発生した個人データの項目、原因、二次被害又はそのおそれの有無及びその内容、その他参考となる事項を、本人の権利利益を保護するために必要な範囲で通知するよう定めています。ガイドラインは「その他参考となる事項」の例として、本人が自らの権利利益を保護するために取り得る措置を挙げています。

公表については、同委員会のQ&A（Q6-33）が、代替措置として行う場合を除き義務ではないが内容等に応じて望ましいとしています。公表する場合の内容について、ガイドラインは本人へ通知すべき内容を基本とすると整理しています。

3行目と4行目は、決済が完了しない事案と同じ構図です。自社が持っていない情報を、自社の名前で約束しない。登録業者について書く文は、先方に書面で確認してから載せます。

問い合わせ窓口の一次回答と、なりすまし連絡への備え

漏えいの公表は、それ自体が詐欺の材料になります。「漏えいのお詫びとして返金します」「アドレスの安全確認のため秘密鍵を入力してください」といった偽の連絡は、公表の直後に最も効きます。SNS上のなりすましの動きはSNSなりすまし詐欺広告の対策要請で整理しました。

3の文言は、その方針が社内で実際に守られる場合にだけ書けます。たとえば補償の連絡を後日メールで出す可能性があるなら、その送信元と書き方も同時に決めておきます。

この事案から取り出せること

対応表の漏えいで本人に伝えるべきことは、「何が漏れたか」だけでは足りません。漏れた表が公開台帳と組み合わさって、何が読めるようになりうるか。そこまで説明して初めて、本人は今後の支払いで使うアドレスを自分で判断できます。

一方で、報告対象事態に当たるか、特に第2号の財産的被害のおそれに当たるかは、条文とガイドラインを読んでも1つに決まりません。だからこそ、該当性の判断と告知物の作成を並行させる段取りが要ります。ステーブルコインを支払手段に足した時点でプライバシーポリシーの棚卸しをしていれば、どの表に何が入っているかを初日に答えられます。

本記事の整理は2026年10月2日時点で確認できる法令・ガイドライン・公表資料に基づくものです。制度は改正の準備が進んでいるため、実際の対応では最新の資料と専門家の確認を前提にしてください。