個人情報保護委員会への報告及び本人への通知は法令上の義務の対象外となる可能性が高い一方で、Pマークにおいては審査機関への事故報告(確報)が必要と考えます。
前提として、本件は個人データの漏えい等に該当する事故として取り扱うべきです。
カード番号の一部及び有効期限であっても、会員アカウントに紐づいて管理されている以上は個人データの一部であり、本来閲覧権限のない第三者に画面表示された時点で、管理下を離れた状態が生じていると整理されるためです。
法令上の報告・通知義務については、要配慮個人情報を含まないこと、財産的被害が生じるおそれがないこと、不正の目的によるものではないこと、本人の数が1,000人を超えないことから、報告対象となる事態のいずれにも該当しないと考えられます。
個人情報保護委員会のガイドライン(Q&A)においても、クレジットカード番号の下4桁のみと有効期限の組合せの漏えいは、原則として財産的被害のおそれがある漏えい等には該当しないとされています。
ただし、影響範囲調査の結果、対象者が1,000人を超える場合や氏名等の他の項目も表示されていたことが判明した場合は判断が変わりますので、調査結果が確定するまでは報告の可能性を残してご対応ください。
Pマーク(プライバシーマーク)制度では、法令上の報告義務の有無にかかわらず、漏えい等の事故が発生した事実があれば、原則として全ての事故が審査機関への報告対象となります。
報告には発覚から3日から5日程度で提出する速報と、発覚から30日以内に提出する確報があり、速報は財産的被害や不正アクセス、対象者100人超等の高リスク事故が対象です。
本件は速報の対象には当たらないため、確報として発覚から30日以内に提出する対応が適切かと存じます。
現時点での対応としては、まずPMS上の事故記録として、発生日時・発覚日時・発覚経緯、事象の内容、原因、影響範囲を台帳及び事故報告書に記録しておくことをおすすめします。
そのうえで、誤表示を確認したお客様には、外部からの不正アクセスではないことや全桁・氏名等は表示されていないことを説明した上で謝罪し、改修対応を行う旨をご連絡ください。
情報が誤表示された本人への連絡は法令上の義務ではありませんが、表示された情報から個人を特定し得るか等のリスク評価を行った上で、個別に報告・謝罪を行うかをご判断ください。
並行して、アクセスログ調査による影響範囲の確定と、プログラムの修正及び再発防止策の策定を進め、それらが固まり次第、確報を提出する流れをご検討ください。