Crisis Management
网络事件的初次及后续报告：向客户和交易伙伴说明情况并更新信息
发生网络事件时，除向主管机关报告和向相关本人通知外，公司还会收到交易伙伴和企业客户的询问。其中包括“我们的数据是否受到影响？”“系统何时恢复？”以及“希望查看调查结果”。答复期限很短，这些询问还可能与合同上的通知义务相重叠。本文讨论如何区分合同上的事件通知与对个别问题的答复、说明到何种程度，以及在发现新事实时向谁、以何种方式进行更正或补充说明。
审核：吉川景司律师、专利代理师（第一东京律师会）
目录
本文的范围：本文不涉及向主管机关报告、向相关本人通知或适时披露（这些内容见“网络事件与数据泄露应对”第3节）。本文的范围仅限于企业之间（B2B）的说明。
以下是一个虚构的场景。A公司（一家拥有300名员工、正在准备股票上市的制造商）的订单及库存系统出现异常，其委托运营和维护的供应商B公司也报告了疑似未经授权的访问。目前尚不清楚是否有信息泄露。在此阶段，企业客户C公司发来询问：“我们的订单数据是否受到影响？”“系统何时恢复？”，并设定了答复期限。本文讨论A公司向C公司说明什么、说明到何种详细程度，以及此后如何更正和更新其说明。
本文中的A公司、B公司及场景中的其他要素均为虚构，仅用于说明目的，并非描述本所处理的实际案件。
交易伙伴设定说明或答复期限时
企业之间的询问大致分为四类：交易相对方的数据是否受到影响、恢复时间、原因及防止再次发生的措施，以及提供调查报告等资料。
企业在这一阶段所面临的情况有一个特点：答复期限先于答案到来。法律法规或合同规定的期限，或交易伙伴要求的答复日期，可能在调查完成之前就已到来。对于每一个期限或答复日期，请整理其依据、日期以及是否有调整余地。法律法规或合同规定的期限，与交易相对方要求的答复日期性质不同。未能遵守前者，可能产生违反法律法规或违约的问题；而后者则可以在业务关系中进行调整。
另一个在部门职能分立的公司中更容易出现的问题是，在未确定统一联络窗口的情况下就发出答复。销售人员收到询问时，如果以未经核实的信息作答，日后可能需要更正。
对外说明事件，首先要决定由谁、通过哪个渠道进行说明。
确认合同、已知事实及对交易相对方的影响
确认合同通知义务规定在何处
企业之间的说明包括自愿进行的说明和合同要求的通知。两者性质不同，因此应在一开始就加以区分。
通知条款不仅可能出现在基本合同中，也可能出现在个别合同、SLA、保密协议或有关个人数据处理的备忘录中。需要确认的要点包括：通知期限（“立即”“不迟延”或“在[数字]日内”）、通知的接收方，以及是否规定了应通知的事项。
如果公司履行受托的工作，即使合同中没有通知条款，受任人报告该工作处理状况的义务也可能成为问题（《民法》第645条；根据《民法》第656条，该规定也准用于不构成法律行为的事务委托）。
区分说明时已确认的事实
在决定说明内容之前，先将手头的信息分为三类：已核实的事实、未核实的事项，以及评估和推测。
这种分类的目的在于整理说明的内容，而不是将内部推测或法律评估原样提供给交易相对方。此外，即使以相同方式整理信息，答复的范围也需要针对每个交易相对方分别决定。作出决定时，应考虑合同义务的范围，以及说明内容将如何影响此后有关责任的讨论。
对于未核实的事项，说明中应写明基准时点、尚未核实的理由和调查状况，以及下次更新的预定时间。已经知道的事实不与这些事项一并归为“未核实”。这种分类并不能成为省略合同要求的通知或放弃必要调查的依据。
确认对每个交易相对方的影响
答复内容因交易相对方而异。需要确认：公司是否持有该交易相对方委托的数据，如持有，数据的类型为何；系统之间是否存在连接；以及交易相对方自身是否可能负有报告或通知义务。
如果公司受托处理个人数据，则需要另行考虑交易相对方如何履行其义务。
将合同通知与对个别问题的答复分开
合同通知
确认合同通知的时间、内容和方法。如果部分事项尚未确定，可以考虑先发出将已知事实与尚未确定事项区分开来的初次报告，并考虑后续报告的提供方式。仅发出明确指出尚未确定事项的函件，其本身并不一定就履行了通知义务。由于等到调查完成后再通知可能导致无法遵守期限，信息收集与通知所需的步骤应同时推进。
对个别问题的答复
问题分为三类：现在可以回答的、现在无法回答的，以及将在调查完成后回答的。对于无法回答的问题，告知预计何时能够答复，是寻求交易相对方理解的一种实际做法。
说“没有影响”时需要谨慎。交易相对方会以该说法为依据决定自身的应对。作出此类表述时，请同时说明其所依据的确认范围、所用方法，以及确认截至的时间点。
此外，未发现信息泄露的证据，并不等于没有发生信息泄露。由于日志未被保存或不在收集范围内等原因而无法核实的情况并不少见。无法核实的事项，不应作为已核实的调查结果来表述。
关于承诺或赔偿责任的措辞
在恢复时间、防止再次发生措施的完成或赔偿范围尚未确定时，请勿就这些事项作出承诺。由于交易相对方会根据这些承诺作出自身决定，日后撤回承诺的负担，要比一开始就选择谨慎措辞的负担更大。
在责任归属明确之前，也应避免使用可能被理解为承认责任的措辞。“由于我方的过失”或“我公司对此负有责任”等表述，可能在此后的谈判或纠纷中被援引为承认责任的陈述。是否被援引与责任是否成立是两个不同的问题，但请在书面中将事实描述、表示遗憾以及承认或否认责任区分开来。
确定由谁负责并批准答复、更正和更新
确定统一的联络窗口。由于交易伙伴的询问可能发到销售部门，应事先明确销售部门须将收到的询问转交事件应对办公室的职责。
在技术人员调查事实、法务人员确认合同之后，由获授权进行说明的部门负责人批准答复草案。在更正原因说明或增加新的承诺时，须再次取得批准。
向众多交易伙伴作出相同答复时，应准备标准答复，并另行标明需针对各交易相对方调整的部分。由于公司为各交易相对方持有的数据类型和合同条款各不相同，未经调整就发出的答复会不准确。
交易相对方还可能要求在书面答复或书面确认上签字。是否同意签字，取决于该文件是仅限于确认事实，还是包含对义务或责任的确认。
保存记录，将对外发送的信息与其依据、变更理由及接收方相关联
对外说明的记录，关键在于保持能够追溯向谁说明了什么。发现新事实时，如果无法确定需要接收更正的对象，就无法进行更正。
记录以下事项：
- 发送日期和时间及接收方
- 所发送文件的原文
- 当时所依据的资料
- 起草人及审批人
- 如内容有变更，变更理由及重新发送的对象
发送信息的日期和时间与创建记录的日期和时间应分别记录。日后进行更正时，应保留原发送内容，并记录更正的范围、更正的日期和时间、更正人及更正理由。如果只发送新的说明而不提及之前的说明，交易相对方甚至可能不会意识到内容已有变更。
以下对比展示了同一虚构场景下的初次报告和后续报告。
| 项目 | 初次报告（事件第2天） | 后续报告（事件第12天） | 变更原因 |
|---|---|---|---|
| 已知事实 | 已确认特定服务器遭到未经授权的访问 | 已查明VPN设备的漏洞为入侵途径 | 依据中期调查报告 |
| 对贵公司数据的影响 | 现阶段未确认有影响（已确认范围：截至[日期]的[系统]日志） | 已确认部分文件存在访问痕迹 | 扩大日志分析范围 |
| 预计恢复时间 | 尚未确定 | 目标：[日期] | 替代环境搭建完成 |
| 下次联络 | [数字]天后 | 调查完成时 | — |
注：以上为虚构场景的示例内容，用于说明各项目之间的对应关系，并不构成可直接使用的通知文本。需要写入的内容因合同条款和案件情况而异。
当被要求作出承诺或就赔偿作出答复时
在以下情况中，我们建议在答复之前结合对法律问题的分析来考虑这个问题。
- 交易伙伴表示可能暂停交易、解除合同或请求损害赔偿时
- 对合同通知义务的范围或期限存在不同解释时
- 答复内容可能影响此后有关责任的讨论时
- 交易相对方要求就赔偿或防止再次发生的措施作出书面承诺时
在判断是否需要进行合同通知、能否作出承诺的阶段，有些方面可由律师提供协助，这些判断以开展技术调查的服务商的评估为参考。
Contact
提出咨询
请尽可能告诉我们交易伙伴要求说明的内容概要及答复期限、已传达的内容，以及需要更正或补充说明的要点。
联系表单在首次联系时，请告知贵公司名称、相关当事人的名称及事项概要。我们将在核查利益冲突等事项后，告知能否提供咨询。本表单并非紧急联络窗口，信息发送后，我们可能无法立即查看或回复。
我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。