個人データ漏えい時の報告義務と対応｜速報・確報の期限と本人通知

個人データの漏えい・滅失・毀損（漏えい等）が起き、個人の権利利益を害するおそれが大きい一定の事態に当たる場合、事業者は個人情報保護委員会への報告と本人への通知を行う義務があります（個人情報保護法第26条）。報告は、把握から概ね3〜5日以内の「速報」と、原則30日以内（不正の目的によるものは60日以内）の「確報」の2段階です。2022年4月から義務化され、2024年4月には対象が一部広がりました。

報告が必要な漏えい等の4つの事態

報告義務の対象は、個人情報保護法施行規則第7条が定める次の事態です。実際に漏えいした場合だけでなく、漏えい等が発生したおそれがある段階でも対象になります。

2024年4月1日施行の規則改正で、③については、事業者が取得しようとしている個人情報（個人データとして扱う予定のもの）も対象になりました。ウェブサイトの改ざんにより、入力フォームの情報が第三者に送られる「ウェブスキミング」を念頭に置いた改正です。

④の1,000人は、1件の事態で漏えい等した個人データに係る本人の数で判断します。発生時点で人数が確定していなくても、1,000人を超えるおそれがあれば報告の対象です。また、報告対象に当たらない漏えい等であっても、原因の調査、本人への説明、再発防止策の検討は必要です。

一方、高度な暗号化などで秘匿化され、復号に必要な情報が漏えいしていない場合は、報告の対象外とされています。

速報と確報の期限と報告内容

報告する主な項目は、概要、漏えい等した個人データの項目、本人の数、原因、二次被害またはそのおそれの有無と内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置、その他参考となる事項です。確報の時点でも判明していない事項は、判明した時点で追加します。

期限の日数には土日・祝日も含みます。報告は、原則として個人情報保護委員会のウェブサイトの報告フォームから行います。業種によっては、権限の委任を受けた事業所管大臣が報告先になります。

本人への通知のルール

報告対象の事態が起きた場合は、本人への通知も必要です（法第26条第2項）。通知は、事態の状況に応じて速やかに行います。

• 通知する内容：概要、漏えい等したデータの項目、原因、二次被害またはそのおそれの有無と内容、その他参考となる事項
• 通知の方法：郵便、電子メールなど、本人に確実に届く方法を選びます
• 通知が難しい場合：連絡先が分からない場合などは、事案の公表や問い合わせ窓口の設置など、代替措置をとります

カード番号の漏えいでは、本人がカードの停止などの対応をとれるよう、早い段階での連絡が重要です。通知の文面は、事実と対応策を簡潔に伝え、問い合わせ先を明記します。外国人の顧客や従業員が多い場合は、多言語での案内も検討します。不正アクセスの調査中に詳細を公表すると、攻撃者に情報を与えるおそれもあるため、公表の内容と時期は専門家と相談して決めます。

委託先・海外拠点が関わる場合

業務委託先で漏えいが起きた場合

個人データの取扱いを委託している場合、原則として委託元と委託先の双方が報告義務を負います。委託先が委託元に事態を速やかに通知したときは、委託先の報告義務は免除され、委託元が報告と本人通知を行います。委託契約には、次の点を定めておきます。

• 漏えい等を把握したときの委託元への通知期限と連絡先
• 原因調査への協力、ログなどの資料の提出
• 再委託の可否と、再委託先で事故が起きた場合の扱い
• 費用の負担と損害賠償の範囲

契約書全体の確認ポイントは、日本の契約書の注意点で解説しています。

海外の親会社やグループ会社が関わる場合

• 日本法人が取り扱う個人データであれば、システムを海外の親会社が運用していても、日本法人が報告義務を負います。
• 外国の事業者も、日本の人に商品やサービスを提供することに関連して個人情報を扱う場合は、日本の個人情報保護法が適用されます。
• 中国本土や香港の拠点にデータを移している場合は、移転のルールも確認します（個人情報保護法の越境移転ルール）。
• 本国の法令でも当局への報告が求められることがあるため、両方の期限を管理します。

マイナンバーを含む特定個人情報の漏えい等は、番号法に基づく別の報告ルールが適用されます。従業員の給与や社会保険の手続でマイナンバーを扱う会社は、両方のルールを確認しておきます。

漏えい等が発生したときの対応の流れ

1. 社内報告と被害拡大の防止：責任者に報告し、不正アクセスの遮断、誤送信メールの削除依頼などを行います。
2. 事実関係の調査：対象のデータ、人数、原因、期間を確認します。必要に応じて専門の調査会社を使います。
3. 報告対象かの判断と速報：4つの事態に当たるかを判断し、当たる場合は速報を出します。
4. 本人への通知・公表：問い合わせ窓口を準備したうえで通知します。
5. 確報と再発防止策：原因の分析に基づく再発防止策を決め、確報を提出します。

報告や必要な措置を行わない場合、個人情報保護委員会から勧告や命令を受けることがあり、命令に違反すると罰則の対象になります。

日頃から準備しておくこと

漏えい等への対応は、平時の備えで大きく変わります。個人情報保護法は、事業者に安全管理措置（第23条）と、従業者・委託先の監督（第24条・第25条）を求めています。次の準備をしておきます。

• 対応手順書：報告対象かの判断基準、速報・確報の担当者、決裁者を定めます。
• 連絡体制：社内、委託先、海外の親会社、弁護士、調査会社への連絡先を一覧にします。
• 記録の保存：アクセスログや操作記録を保存し、原因と範囲を調べられるようにします。
• データの把握：どのシステムに、誰の、どの項目のデータがあるかを整理します。
• 教育と訓練：メールの誤送信や標的型メールへの対応を、従業員に定期的に周知します。

データの全体像が分かっていないと、人数や項目を特定できず、確報が遅れる原因になります。

2026年の法改正の動き

個人情報保護法の改正法が2026年7月に成立し、公布されました。施行日は、一部の規定を除き、公布の日から2年を超えない範囲で政令で定める日とされています。施行までに政令や委員会規則が整備される予定で、漏えい等報告の対象や期限が変わるかどうかも、その内容によって決まります。

この記事は、2026年10月時点で適用されている現行のルールで解説しています。社内の対応手順書は、個人情報保護委員会が改正後の規則やガイドラインを公表した段階で見直します。それまでは現行の4つの事態、速報・確報の期限、本人通知のルールに沿って運用します。

まとめ

漏えい等の報告は、4つの事態の判断、速報・確報の期限、本人通知の3点が基本です。期限が短いため、事故が起きてから手順を考えるのでは間に合いません。報告の担当者、判断の基準、委託先との連絡方法を事前に決めておきます。TIMOAは、提携する弁護士と連携し、漏えい時の対応手順の整備や、社内規程・委託契約の見直しを支援しています。詳しくは知財・リスク・コンプライアンスのサービスをご覧ください。