アララメッセージ不正アクセス事案　／　2026年11月10日（火）時点の整理

個人情報保護委員会への連名報告の全体像

3行でいうと

  1. 流出した配信リストは契約企業から預かったものなので、契約企業（委託元）とアララ（委託先）の両方に委員会への報告義務がある。
  2. 両者は連名で1本にまとめて出せる。そこでアララがフォームで情報を集め、委員会のテンプレ（一覧表.xlsx）に貼って代表で提出する。1回目は11/11（水）目途。
  3. 1回目は原則、契約企業の分だけ。契約企業のさらに先に取引先がいる3層のケースは、精査とヒアリングをしてから2回目以降の連名報告でまとめる（ただし1回目に含まれているものもある）。
    確認中そもそも取引先との連名報告をアララが出せるかどうかは、まだ確認中。

1誰に報告義務があるのか

ケースA：2層契約企業が自社の顧客リストを預けている
契約企業委託元
配信リストを預ける
アララ委託先
ケースB：3層フォーム設問9で取引先が「いる」と答えた企業
取引先（小売りなど）委託元
リストを預ける
契約企業（代理店など）委託先
さらに預ける
アララ再委託先

ケースAで、誰が委員会に報告するか

パターンアララ契約企業
連名する連名で提出自社の分と契約企業の分を、1本にまとめて出す報告不要フォームに答えるだけ
連名しない自社の分だけ報告自社で報告委員会に個別に出す

ケースBで、誰が委員会に報告するか

パターンアララ契約企業取引先
3社で連名する
確認中		連名で提出3社の分を、1本にまとめて出す報告不要報告不要
契約企業とだけ連名する連名で提出自社の分と契約企業の分をまとめて出す報告不要自社で報告委員会に個別に出す
連名しない自社の分だけ報告自社で報告自社で報告

ケースBの「3社で連名する」は、取引先との連名報告をアララが出せるかどうかを確認中。出せない場合は「契約企業とだけ連名する」になる。

原則
委託元と委託先の双方が報告義務を負う。連名での報告が可能（ガイドライン通則編 3-5-3-2）
例外
委託先が委託元に事態を通知すれば、委託先は報告義務を免除される（同 3-5-3-5）。ただしその場合も委託元の義務は残る
連名の利点
契約企業はフォームに答えるだけで済み、報告書の作成と提出はアララがまとめて行う。連名にしない企業は自社で個別に報告が必要

2スケジュール

  1. 10/28（水）
    不正アクセスを確認し、共用環境を緊急停止
  2. 10/29（木）
    第1報を公表。個人情報保護委員会に速報を提出。警察に通報、JIPDECに速報
  3. 10/31（土）
    アララメッセージの全サービスを停止（再開は未定）
  4. 11/2（月）
    第2報を公表。流出範囲が広がり、氏名等の会員情報も対象に。委員会に中間報告
  5. 11/4（水）
    総務省関東総合通信局に報告、JIPDECに中間報告
  6. 11/6（金）
    第3報を公表。持ち出されたメールアドレスは約8,133万件。委員会に追加報告（第3報では「本日報告予定」）
  7. 11/9（月）
    18:00 連名報告フォームの一次締切
    1回目の連名報告に入れる分の締切。これ以降も連名報告の申込は受け付ける
  8. 11/10（火）
    社内で回答リストを精査
  9. 11/11（水） 目途
    1回目の連名報告を委員会へ提出
    原則、契約企業の分だけ（取引先がいるケースも一部含まれている）。委員会への報告としては、速報・中間報告・追加報告に続く通算4回目にあたる。「締切から2〜3営業日で提出」とも回答あり
  10. その後
    11/9（月）以降の申込と、取引先「いる」の企業（精査・ヒアリング後）をまとめ、期限を区切って2回目以降の連名報告
    日程は未定

3誰が何を書いて、どう届くのか

契約企業から連名の依頼が来た場合契約企業が回答フォームで連名報告に同意
  1. 契約企業
    回答フォームに答える社名、住所、代表者、事務連絡者、連名報告への同意など
  2. アララ
    フォームの回答を受け取る
  3. アララ
    回答をもとに一覧表.xlsx を書く1社につき1行
  4. アララ
    個人情報保護委員会に提出
確認中

取引先との連名報告を、アララが出せるかどうかはまだ確認中です。出せない場合は、この流れが変わります。

取引先から連名の依頼が来た場合契約企業の先にいる取引先が、契約企業を通じて連名報告を希望
  1. 契約企業
    回答フォームに答える取引先が「いる」と回答
  2. アララ
    一覧表.xlsx を契約企業に渡す
  3. 契約企業
    一覧表.xlsx を取引先に渡す
  4. 取引先
    一覧表.xlsx に自社の情報を書く委託元として、社名、住所、代表者、事務連絡者など
  5. 契約企業
    書いてもらった一覧表.xlsx をアララに戻す取引先から契約企業を通ってアララへ
  6. アララ
    個人情報保護委員会に提出

4顧客に聞かれたときの答え（現時点）

うちのデータが流出したかどうか、まだ分からない。それでもフォームを出していい？
出していい。調査で「流出していなかった」と分かったら、連名報告から外すだけ。結果を待っていると委員会への報告期限に間に合わないおそれがあるので、先に申し込んでもらっている。
アララが連名で報告してくれるのは、どの機関？
個人情報保護委員会だけ。総務省（総合通信局）やJIPDEC（プライバシーマーク）など、ほかの機関への報告はアララは連名しないので、必要な場合はお客様ご自身で行ってもらう。
連名報告をしたら、うちの社名や内容が世の中に公表される？
公表されない。お客様ご自身が発表しない限り、連名報告の内容が世の中に出ることはない。
うちが自分で契約して使っている分も、委員会への報告に含まれる？
含まれる。なので、お客様が自分で委員会に報告する必要はない。ただし、アララに報告を任せてもらう必要があるので、そのときに必要な情報をあらためてお聞きする。
個人情報保護委員会の担当者の名前を教えてほしい
お伝えできない。委員会から、取引先などへの開示は控えてほしいと言われている。
連名報告をしたら、委員会からうちに連絡が来る？
基本的には来ない。委員会には「報告を受けた」という記録が残るだけ。ただ、場合によっては委員会からお客様に確認の連絡が行くこともある。
連名報告に「同意する」と答えたが、そのあと何をすればいい？
アララからの連絡を待ってください。
いつ委員会に報告してくれるの？
1回目は11/11（水）目途で提出。それ以降は、期限を区切って回答を集め、まとめて提出する。
うちの取引先（委託元）には何を聞けばいい？
フォームと同じ内容でOK。一覧表.xlsx の列が埋まれば十分。
取引先が「いる」と答えた。どうなる？
アララから個別に改めて連絡する。アララ側で精査してから対応。
アララから流出した本人に一斉にメールしてくれるの？
原則として、アララからは送らない。本人の情報を集めたのは契約企業（委託元）で、アララではないため。