LASSIC Media らしくメディア
デジタルIDの事故通知、考慮してはならない4つの事情
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 通知しない理由を書き残す：作成日から3年間の保存です*1。
- 謝罪と説明を指示できる：従うことが参加の条件になります*1。
- 金銭の支払も勧告できる：28日以内に回答が要ります*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
事故の連絡を出すかどうかを決める場では、たいてい社内の事情が持ち込まれます。豪州の改正は、その持ち込みを条文で塞ぎました。
デジタルID規則2024の第4A章（救済枠組み）を改めるデジタルID改正（救済枠組み）規則2026が、2026年6月2日に制定されました*1。デジタルID法2024第168条に基づく規則で、施行は2026年9月30日です*1。
実装と運用の立場から確かめたい点は4つあります。通知の判断で何が禁じられたのか、誰が何を指示できるのか、金銭はどう扱われるのか、従わないとどうなるのか。条文から順に見ていきます。
目次
「知らせない」判断に、理由と保存年限が付いた
まず、通知の条文から確認します*1*2。
もとの規則4A.2第2項は事業体は、当該インシデントの影響を受けた各個人へ通知するよう合理的な試みを行わなければならないと定めます*2。第3項が、その例外です*2。事業体が通知を試みることの結果として当該個人が不利益な結果を被る蓋然性があること、または通知が政府デジタルIDシステムの運用に重大な影響を及ぼし、もしくは及ぼすと合理的に予想されることに納得した場合は、通知しなくてよいという構造でした*2。
改正は、この例外を3か所で締めました*1。
1つ目は範囲です*1。第3項の冒頭に当該インシデントの影響を受けた個人についてという句が挿入されました*1。全員まとめて例外に当てるのではなく、個人ごとに判断する書き方になります*1。
2つ目は水準です*1。第3項(b)の重大な影響（material effect）が著しい影響（significant impact）に置き換えられました*1。システムの運用への影響を理由に通知を控えるための敷居が動いた、という改正です*1。
3つ目が、今回もっとも目を引く追加です*1。新設の第4項は第3項に述べる事項に納得しているかを判断するにあたり、事業体は、当該個人への通知が次のことをもたらしうるかどうかを考慮してはならないとして、4つを挙げました*1。事業体にとっての当惑または評判の毀損、報道の注目を集めること、事業体の管理上の費用または管理上の負担の増加、デジタルID規制官または情報コミッショナーが事業体に対して行い、または行いうる遵守もしくは執行の措置に関連することです*1。
そして新設の第5項が、記録を求めます*1。事業体は、その納得の理由を書面で記録し、当該記録を、記録が作成された日から3年間保存しなければならないという定めです*1。注記では、これが第6章その他の記録保持の要件に加えて適用されることも示されました*1。
誰に掛かる話かも、確かめておく値があります*2。規則4A.1第1項は、この章がデジタルID法2024第88条第1項の目的で政府デジタルIDシステムの中で提供される、認定事業体の認定サービスに関して発生するインシデントについての救済の枠組みを定めるものだとします*2。第2項が対象を挙げ、参加事業体、参加の承認が停止されている事業体、参加の承認が取り消された事業体のいずれかである属性サービス提供者（ASP）または識別サービス提供者（ISP）が該当します*2。
承認が止まった後も、通知と付託の義務が残る構造です*2。ただし方針の策定と公表を定める第5部は、規則4A.6により停止中・取消し後の事業体には適用されません*2。
システム管理者に「指示」の権限が新設された
次は、解決の側です*1*2。
もとの仕組みは、規則4A.3の付託から始まります*2。インシデントの結果として個人が技術的な問題によりデジタルIDを使えなくなり、その問題が事業体の管理下にあるとき、事業体はその問題を認識した後、合理的に実行可能な限り速やかに、また個人の苦情によって認識した場合はいずれにせよ苦情が申し立てられてから28日以内に、システム管理者へ付託します*2。
従来、その先にあったのは勧告だけでした*2。改正は、その手前に規則4A.3Aを差し込みます*1。システム管理者は説明の提供と謝罪の表明の一方または双方を、期間を定めて求める指示を出せるようになりました*1。
判断の物差しも書かれています*1。指示を出すかを決めるにあたり、システム管理者は次の7つを考慮しなければなりません*1。
| 観点 | 条文の求め |
|---|---|
| 事案の大きさ | 当該サイバーセキュリティのインシデントまたはデジタルID詐欺のインシデントの重大性と規模 |
| 本人への影響 | デジタルIDを使えないことによる影響（金銭上の帰結を含む） |
| 期間 | 当該個人のデジタルIDが利用できなかった期間 |
| 解決の姿勢 | 技術的な問題の解決に関する事業体の行動 |
| 誠実性 | 当該個人および他の参加事業体との関係で、事業体が誠実に行動したかどうか |
| 寄与の度合い | 事業体が当該技術的な問題を生じさせ、またはこれに寄与した程度 |
| 予見可能性 | 当該インシデントが合理的に予見可能であったか、発生前に対処できたかどうか |
手続も定型化されました*1。指示は書面で行い理由を明示します*1。出す前には弁明の機会の通知を送り、通知の日から28日以内に、指示を出すべきでない理由を示す書面を求めます*1。指示を出したときは、システム管理者がデジタルID規制官へ書面で通知し、理由も伝えます*1。
実務で気になる点にも、条文が置かれています*1。第7項は事業体が個人へ謝罪するよう指示された場合、本規則のいかなる規定も、当該謝罪が技術的な問題に関連する事業体の過失または責任の明示または黙示の自認を構成しない旨を、事業体が述べることを妨げないとしました*1。
勧告の対象に、金銭の支払が入った
規則4A.4は、丸ごと書き換えられました*1。
改正前は技術的な問題を解決するための方策を事業体へ勧告することができるという規定で、方策の例として説明と謝罪が挙げられていました*2。その2つは規則4A.3Aの指示へ移り、代わりに新しい選択肢が入りました*1。
改正後の第1項は、システム管理者が技術的な問題を解決するための方策を事業体へ勧告することと事業体が当該個人へ一定の額を支払うことを勧告することの一方または双方を行えるとします*1。判断の物差しは、指示と同じ7項目です*1。
勧告には、事業体側の応答義務が付きました*1。第4項は事業体はシステム管理者へ、当該勧告を実施することを提案するかどうかと実施することを提案しない場合は、その提案しない理由を明示した通知を出さなければならないと定めます*1。第5項により、これは書面で、勧告を受領してから28日以内です*1。
勧告そのものに従う義務は書かれていません*1。求められるのは、実施するかどうかと、しないなら理由を、期限内に返すことです*1。システム管理者はその内容も含めてデジタルID規制官へ通知します*1。第6項は、通知に勧告を行った旨、勧告の理由、そして第4項の通知で事業体が示した事項を記載するとしています*1。断った理由が、そのまま規制官の手元へ渡る作りです*1。
説明・謝罪は指示（従う義務あり）、金銭は勧告（応答する義務あり）という切り分けです*1。どちらも、事故が起きた後に急いで作れる手続ではありません。インシデント対応の当番体制の側に、外部からの指示と勧告を受け取る窓口と期限管理を組み込んでおくことになります。
従わないと、参加承認の条件に触れる
実効性の担保は、別の表に置かれました*1。
規則3.4第1項の表に、2つの項目が追加されます*1。第4項は参加事業体であるASPまたはISPについて当該事業体が規則4A.3A(2)に基づく指示を受けた場合、当該事業体は当該指示に従わなければならない、第5項は同じ主体について当該事業体が規則4A.4(1)に基づく勧告を受けた場合、当該事業体は規則4A.4(4)に従わなければならないという内容です*1。
この表は、政府デジタルIDシステムへの参加承認に付される条件を定めるものです*1。規則4A.3Aの注記も参加事業体によるこの指示への遵守は、当該事業体の参加承認に付された条件であると明示しています*1。技術的な不備そのものではなく、指示と勧告への対応の仕方が、参加の資格に直結する形になりました*1。
一方で、指示を受ける側の手当ても入りました*1。新設の第6A章は、デジタルID法2024第137条第2項の目的で審査可能な決定を指定します*1。表の第1項は規則4A.3A(2)に基づき事業体へ指示を出すというシステム管理者の決定を挙げ、当事者を当該指示の対象である事業体としました*1。
適用の起点も条文にあります*1。新設の規則7.2は、規則4A.2の改正が本規則の施行日以後に発生し、または発生したと合理的に疑われるインシデントに、規則4A.3Aと改正後の規則4A.4が施行日以後になされた付託に適用されるとします*1。施行日をまたぐ案件の扱いが、通知は事故の発生時点、指示と勧告は付託の時点で分かれる書き方です*1。
認証基盤の運用に、どう跳ね返るのか
ここまでを、設計の言葉に置き換えます*1*2。
第一に、通知の判断が記録の対象になりました*1。従来も判断はしていたはずですが、これからは納得の理由を書面に残し、3年保存します*1。そのとき、書いてはいけない理由が4つ決まっています*1。判断の様式に、考慮した事項と考慮しなかった事項を分けて書ける欄を用意しておくのが素直な作りです。
第二に、期限が3種類あります*1*2。いずれも起点が違うので、案件ごとに時計を分けて持つ必要があります*1*2。
| 場面 | 期限と起点 |
|---|---|
| システム管理者への付託（規則4A.3(2)） | 問題を認識した後、合理的に実行可能な限り速やかに。個人の苦情によって認識した場合は、いずれにせよ苦情の申立てから28日以内 |
| 弁明の機会への応答（規則4A.3A(6)） | 通知が与えられた日の後28日以内に、指示を出すべきでない理由を示す書面を提出 |
| 勧告への応答（規則4A.4(5)） | 勧告を受領してから28日以内に、実施の可否と、実施しない場合の理由を書面で提出 |
付託には条件もあります*2。規則4A.3第3項は、システム管理者へ付託しなければ当該技術的な問題を解決できないと事業体が合理的に納得していることと、該当する場合に規則4A.5を履行済みであることを求めます*2。順序が決まっている、ということです*2。
第三に、ポリシーの公表と、本人への手当てが前段にあります*2。規則4A.5は、通知を出した場合、または個人の苦情によって技術的な問題を認識した場合に、インシデントの解決について事業体が公表している情報や苦情の手続を含む、関連する公開の資料へ個人を案内することと、問題が他の事業体の管理下にあってデジタルIDを使えないときは、当該他の事業体とその連絡先を個人が特定できるよう合理的な援助を行うことを求めます*2。
その土台が方針です*2。規則4A.7はインシデントの特定、管理および解決に関する方針の策定と公表を、規則4A.8は苦情に関する方針の策定と公表を求め、後者には苦情の申立ての手続（連絡先を含む）、苦情の処理の手順とその概要、苦情の解決の期限を含めるよう定めています*2。指示や勧告の前段にある、事業体側の入口です*2。
日本のIT事業者にとっては、直接の名宛人にならなくても示唆があります。IDaaSの認証基盤を設計するとき、本人が締め出されたときの復旧経路と、その所要時間を測れる形にしておくかどうかが問われます。規則4A.3A(3)(a)(iii)がデジタルIDが利用できなかった期間を考慮事項に挙げているとおり、期間そのものが評価の対象になるからです*1。
第四に、判断の主体が社内で完結しなくなりました*1。通知の可否は自社で決めますが、その理由は記録に残り、技術的な問題が解決しなければ付託を通じてシステム管理者の判断に移ります*1*2。指示に従わなければ参加承認の条件に触れ、勧告を断れば理由が規制官へ渡ります*1。社内の稟議で完結する前提の手順書は、この流れに合いません。
同じ豪州では、重要インフラの側でもリスク管理プログラムの強化要件が動いています。デジタルIDの側は本人救済、重要インフラの側は資産の防護と、狙いは違いますが、どちらも記録と期限で運用を縛る書き方をしている点は共通です*1。欧州側の枠組みはEUデジタルIDウォレットで扱っています。
まとめ：豪州デジタルIDの救済枠組みで押さえる3つの視点
豪州のデジタルID規則2024の第4A章（救済枠組み）が、デジタルID改正（救済枠組み）規則2026により改められ、2026年9月30日に施行されます。デジタルID法2024第168条に基づく規則です。押さえたい視点は三つあります。第一に、通知の判断。規則4A.2第2項は影響を受けた各個人へ通知する合理的な試みを求め、第3項が例外を置いていますが、改正で例外は個人ごとの判断となり、システムの運用への影響の水準が重大な影響から著しい影響へ置き換えられました。新設の第4項は、事業体にとっての当惑または評判の毀損、報道の注目、管理上の費用または負担の増加、デジタルID規制官や情報コミッショナーによる遵守・執行の措置との関連という4つを考慮してはならないと定め、第5項は納得の理由を書面で記録し作成日から3年間保存することを求めます。第二に、指示と勧告。新設の規則4A.3Aにより、システム管理者は説明の提供と謝罪の表明の一方または双方を指示でき、判断ではインシデントの重大性と規模、本人への影響、利用できなかった期間、解決に向けた行動、誠実性、寄与の度合い、予見可能性の7つを考慮します。指示の前には理由を示した弁明の機会の通知があり、事業体は28日以内に書面で応じます。謝罪が過失や責任の自認を構成しない旨を述べることは妨げられません。書き換えられた規則4A.4は、解決の方策に加えて本人への金銭の支払を勧告でき、事業体は受領から28日以内に、実施するかどうかと実施しない場合の理由を書面で返します。第三に、担保と救済。規則3.4第1項の表に第4項・第5項が加わり、指示への遵守と勧告への回答が参加承認の条件になりました。同時に新設の第6A章が、規則4A.3A(2)の指示を法第137条第2項の審査可能な決定に指定しています。適用は、通知が施行日以後のインシデント、指示と勧告が施行日以後の付託です。
よくある質問
通知しない判断そのものが禁止されたのですか。
禁止されていません。規則4A.2第3項の例外は残ります。個人が不利益な結果を被る蓋然性がある場合と、通知が政府デジタルIDシステムの運用に著しい影響を及ぼす（または及ぼすと合理的に予想される）場合です。変わったのは、例外を個人ごとに判断する書き方になったこと、システムへの影響の水準が重大な影響から著しい影響に置き換わったこと、そして新設の第4項が挙げる4つの事情を判断材料にできなくなったことです。第5項により、納得の理由は書面で記録し、3年間保存します。
謝罪を指示されたら、責任を認めたことになりますか。
条文が明示的に手当てしています。規則4A.3A第7項は、事業体が個人へ謝罪するよう指示された場合に、当該謝罪が技術的な問題に関連する事業体の過失または責任の明示または黙示の自認を構成しない旨を事業体が述べることを、この規則のいかなる規定も妨げないとしています。なお指示は書面で理由が明示され、出される前に理由を示した弁明の機会の通知があり、28日以内に書面で応じることができます。指示そのものは第6A章により審査可能な決定に指定されました。
金銭の支払を勧告されたら、払う義務がありますか。
支払そのものを義務づける書き方にはなっていません。規則4A.4第1項(b)は、システム管理者が本人への一定の額の支払を勧告できるとするものです。事業体に課されるのは第4項の応答で、勧告を実施することを提案するかどうかと、提案しない場合はその理由を明示した通知を、受領から28日以内に書面で出すことです。ただしこの応答は規則3.4第1項の表の第5項により参加承認の条件になっており、システム管理者は応答の内容を含めてデジタルID規制官へ通知します。
施行日をまたぐ案件はどう扱われますか。
新設の規則7.2が分けています。改正後の規則4A.2は、施行日以後に発生し、または発生したと合理的に疑われるインシデントに適用されます。新設の規則4A.3Aと改正後の規則4A.4は、施行日以後になされた付託に適用されます。つまり通知の側は事故の発生時点、指示と勧告の側は付託の時点が基準です。施行日は2026年9月30日です。
出典
- *1 参考：オーストラリア連邦法令登録簿「Digital ID Amendment (Redress Framework) Rules 2026」（F2026L00696・2026年6月2日制定）（https://www.legislation.gov.au/F2026L00696/asmade/text）。改正内容の一次情報として。デジタルID法2024第168条に基づくこと、2026年9月30日施行であること、規則3.4(1)の表への第4項・第5項の追加、規則4A.2第3項への「影響を受けた個人について」の挿入と material effect から significant impact への置換、第4項（考慮してはならない4つの事情）と第5項（理由の書面記録と3年保存）の新設、規則4A.3A（指示・7つの考慮事項・書面と理由・弁明の機会と28日・謝罪と責任の自認・規制官への通知）の新設、規則4A.4の書き換え（方策の勧告と金銭の支払の勧告、28日以内の応答）、第6A章（審査可能な決定）の新設、規則7.2（適用時点）を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：オーストラリア連邦法令登録簿「Digital ID Rules 2024」（F2024L01430・2025年11月19日時点の編集版）（https://www.legislation.gov.au/F2024L01430/latest/text）。改正前の条文と、改正されない部分の一次情報として。第4A章の適用範囲（規則4A.1）、通知の義務と例外（規則4A.2）、未解決の技術的な問題の付託と28日（規則4A.3）、改正前の規則4A.4、情報・支援・援助の提供（規則4A.5）、方針の策定と公表（規則4A.7・4A.8。苦情に関する方針に含める3項目を含む）を確認した。確認日は2026年9月9日。（2026年9月確認）
