Crisis Management
供应商发生网络事件时：索取信息以评估对本公司的影响
即使供应商已向公司通报事件，其说明也可能仅止于“调查正在进行中”或“尚未确认有影响”，使公司无法就报告、通知或向业务伙伴说明作出决定。本文介绍如何确定公司决策所需的事实，如何在追加提问、材料摘录和替代性核查之间进行选择，以及在期限临近而尚未获得信息时应如何应对。
审核：吉川景司律师、专利代理师（第一东京律师会）
目录
以下为虚构情景。A公司（一家拥有300名员工、正在准备股票上市的制造商）将其订单及库存系统的运营与维护外包给B公司。B公司通知A公司：“怀疑其作业所用环境遭到未经授权的访问。调查正在进行中。”A公司必须判断自己的哪些数据可能受到影响，以及是否需要向其企业客户C公司作出说明，但B公司的说明仅止于此。
本文中的A公司、B公司及场景中的其他要素均为虚构，仅用于说明目的，并非描述本所处理的实际案件。
仅凭供应商的说明不足以作出决定时
供应商的通报可能存在以下局限。
- 可能受影响的数据尚未确定。
- 说明称“未确认”，但未说明核查的范围及实施方式。
- 没有说明调查何时结束。
- 要求提供报告时，供应商表示无法照办。
与此同时，公司方面另有期限在推进：考虑向主管机关报告及通知相关个人的期限、业务伙伴设定的答复期限，以及内部报告的期限。
核查合同、相关数据及迄今收到的答复
核查合同依据
第一步是核查请求的依据。
外包协议中可能包括关于事件报告、审计及现场进入的条款，以及关于是否允许再委托及所涉再委托方的条款。IPA发布的“Model master agreement for outsourcing information system maintenance and operation”（信息系统维护与运营外包示范基本合同）同样规定，事件或故障发生时的联络机制在规格说明书或另行文件中规定，条款本身不一定规定报告期限或报告范围。首先，请核查公司自身合同的规定。
外包个人数据的处理时，公司作为委托方，负有对受托方进行必要且适当监督的义务（《个人信息保护法》第25条）。但仅凭这一监督义务，并不意味着公司当然有权要求供应商提供其持有的调查报告全文。为获取必要的信息，公司需核查合同中关于报告及提供材料的条款，以及在该安排构成准委任时的报告义务（《民法》第645条；依《民法》第656条准用该规定），并考虑通过提供全文、必要部分的摘录、书面答复等方式获取信息。《民法》规定的报告义务也不能等同于交付所有现有文件全文的义务。
首先确定公司决策所需的事实
供应商调查完成或收到其报告，都不是公司就报告作出决定的前提条件。公司根据自身所知的事实及供应商提供的信息，判断该情况是否构成《个人信息保护法》规定的应报告事态；如构成，则利用所掌握的信息提交初步报告。
因此，获取信息的工作不应从“我们想要报告”出发，而应从“哪些决定需要哪些事实”出发。如果讨论集中在报告能否全文提供上，必要事实的核查可能停滞不前。要向业务伙伴作出说明，就需要了解业务伙伴委托给公司的数据是否被访问。如果明确了必要的事实，有些情况下即使没有报告形式的成果物，书面答复或作业记录也已足够。
整理迄今收到的答复
口头说明、电子邮件以及定期会议上的报告按时间顺序整理，并分为已确认事项和仍未答复事项。
这样做有两个目的：可以避免重复提问，也可以向对方明示哪些事项仍未得到答复。例如，表述为“在贵方此前说明所涉及的事项中，我们尚未收到关于[事项]的答复”，比笼统地索要材料更能推动进展。
需向供应商确认的事项，以及无需等待即可作出的决定
| 需向B公司提出请求或确认的事项 | 虽有未决问题仍需作出决定 | 决定的最后期限或时间 | A公司的负责部门示例 |
|---|---|---|---|
| 涉及的A公司信息、核查范围，以及访问等痕迹 | 在不等待B公司最终报告的情况下，确定A公司是否需要提交初步报告 | A公司知悉应报告的事态后迅速* | 法务部门、信息系统部门 |
| B公司的报告计划、其向A公司通知的内容，以及联合报告等安排 | 确认A公司的报告将如何进行，不因B公司会报告而视为已处理完毕 | 不致延误A公司初步报告的时间点 | 法务及供应商管理人员 |
| 难以提供报告全文时的书面答复、摘录或类似替代方式 | 将未答复事项与其他事项区分开来，并考虑替代性核查以及向C公司说明的内容 | 根据合同约定的通知期限/商定的答复日期倒推计算的时间 | 法务、信息系统及销售部门 |
| 进一步核查未答复事项的方法及预定答复日期 | 即使B公司的调查尚未完成，也推进A公司的最终报告及补充报告 | A公司最终报告的期限前* | 法务及供应商管理人员 |
注：以上为虚构情景的示例条目。* 初步报告的标准为“迅速”，大致以3至5日以内为参考。这并不意味着可以等待那么久。对法人而言，起算点为其任何一个部门知悉应报告事态之时。最终报告原则上应在30日以内提交；属于《个人信息保护法施行规则》第7条第3号所规定类别的，应在60日以内提交。如尽了一切合理努力后仍有部分事项不明，应在期限内报告已知信息，并在这些事项明确后尽快补充报告。
在追加提问、报告摘录和替代性核查之间进行选择
不一定已编写报告
首先，不能预设供应商已委托外部调查机构进行调查并已编写报告。如果供应商正在由自己的人员进行核查、仍在考虑是否需要调查，或已根据规模和影响决定不外包调查，那么就不存在可以索取的报告。
因此，首先应核查的是：是否正在由外部机构进行调查、是否计划形成报告等成果物，以及如果计划，何时完成。如果在核查这些事项之前就索取报告，供应商只能回答“尚不存在”之类，沟通无法推进。没有报告这一点本身，不能被视为异常或缺乏诚意的表现。
即使在尚无报告的阶段，也可以采用书面答复、提供作业记录或日志、与供应商负责人员面谈，以及公司方面追加调查等方法。此处的顺序也相同：先确定必要的事实，再请求提供信息。
即使存在报告，也不从索取全文开始
即使已编写报告，一开始就要求提供全文也不一定合适。供应商的调查报告中可能包含与公司无关的信息：其他客户的信息、供应商自身的保密信息或第三方提供的信息。如果包含此类信息，确定披露范围可能需要时间。
此外，拒绝提供报告本身不能被视为隐瞒或疏忽的证据，因为拒绝可能有正当理由。
获取信息的多种方法
| 方法 | 适用情形 |
|---|---|
| 对调查问卷的书面答复 | 已明确必要事实的情形 |
| 报告相关部分的摘录/涂黑版本 | 公司希望亲自核查内容的情形 |
| 仅限阅览（不复印） | 供应商担心材料外泄的情形 |
| 与供应商负责人员面谈，并由双方确认会谈记录 | 尚无书面成果物的情形 |
| 由第三方（调查机构）进行核查 | 需要技术评估的情形 |
| 公司方面的追加调查 | 没有明确前景能从供应商处获得信息的情形 |
注：以上为虚构情景的示例条目。
在这些方法中，问卷的优点是答复能够以书面形式保留，从而减少日后出现“我们不是这样说明的”之类分歧的可能性。在尚无报告的情况下，上表中的主要方法是书面答复、面谈以及公司方面的追加调查。
设定所收信息的处理条件
在接收材料之前，需确认接收人、用途、范围以及向他人转交共享的条件，并达成必要的约定。此外，还需另行确认第三方保密信息和个人信息的处理方式。
此外，还需事先确认并协商材料可保留的期间，以及为遵守法律法规或应对纠纷而保留副本的条件。如果原样接受返还或销毁材料的条件，公司日后在考虑费用请求或责任分担时，可能缺乏佐证材料。这并不是建议未经许可继续保留材料。
指定负责提出请求的人员及共享条件的批准人
统一询问窗口和拟提出的问题。如果信息系统部门和法务部门分别发出询问，供应商的回应可能变得零散。
例行的信息请求由负责供应商管理的人员批准。如请求涉及承担额外费用或变更保密条件，还需取得该事项的有权审批人的批准。
即使关于是否继续业务关系或责任问题的讨论在并行进行，也应另行明确获取信息的目的、所需信息以及答复期限。
记录请求、答复、未答复事项和截止日期
记录以下事项：
- 请求日期
- 请求事项
- 请求依据（合同条款、法律法规）
- 答复的日期和内容
- 未答复事项
- 催促记录
- 截止日期
其中，关键是维护未答复事项清单。公司能否证明其“已要求提供信息但未获得”，会影响其说明情况的难易程度——无论是日后考虑责任分担时，还是在其是否已作出应有的说明受到质疑时。
信息不足且对方不予配合时
遇到以下情况时，建议结合对法律问题的分析一并进行研究。
- 在报告或通知截止日期前尚未确定作出决定所需的事实时
- 供应商不予配合、需要考虑合同上的措施时
- 在供应商也可能是公司拟追究责任的相对方的情况下，考虑获取信息与准备索赔的先后顺序时
- 当开发或维护合同本身存在争议时
在将从供应商或调查机构获得的信息整理成公司可用于报告、说明及索赔决策的形式这一阶段，有些方面律师可以提供协助。
Contact
提出咨询
请在可能的范围内告知我们：从供应商处收到的说明概要；正在要求提供的补充信息以及尚未获得答复的事项；以及贵公司需要作出决定和回应的期限。
联系表单在首次联系时，请告知贵公司名称、相关当事人的名称及事项概要。我们将在核查利益冲突等事项后，告知能否提供咨询。本表单并非紧急联络窗口，信息发送后，我们可能无法立即查看或回复。
我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。