日本个人数据泄露的报告义务与应对｜速报・确报期限与本人通知

发生个人数据的泄露、灭失或毁损（统称“泄露等”，漏えい等），且属于极可能损害个人权利利益的特定情形时，经营者负有向个人信息保护委员会（個人情報保護委員会）报告并通知本人的义务（《个人信息保护法》第26条）。报告分为两个阶段：在知悉后约3～5日内提交的“速报”（速報），以及原则上在30日内（出于不正当目的的为60日内）提交的“确报”（確報）。该义务自2022年4月起实施，2024年4月对象范围有所扩大。

须报告的泄露等四种情形

报告义务的对象，是《个人信息保护法施行规则》第7条规定的以下情形。不仅实际发生泄露时须报告，在可能已发生泄露等的阶段也属于报告对象。

根据2024年4月1日施行的规则修订，情形③的对象扩大到经营者正在取得的个人信息（计划作为个人数据处理的信息）。该修订针对的是网站被篡改、导致输入表单中的信息被发送给第三方的“网页盗刷”（Web Skimming）。

情形④的1,000人，按单一事件中被泄露等的个人数据所涉本人的数量判断。即使发生时人数尚未确定，只要可能超过1,000人，即属于报告对象。此外，即使是不属于报告对象的泄露等，也需要调查原因、向本人说明并研究防止再次发生的措施。

另一方面，经高度加密等保密处理且解密所需信息未泄露的，不属于报告对象。

速报与确报的期限和报告内容

报告的主要事项包括：概要、被泄露等的个人数据项目、涉及本人数量、原因、有无二次损害或其可能性及具体内容、对本人的应对情况、公告情况、防止再次发生的措施，以及其他可供参考的事项。确报时仍未查明的事项，在查明后补充报告。

期限的天数包括周末和节假日。报告原则上通过个人信息保护委员会网站的报告表单提交。部分行业的报告对象，为受委托行使权限的主管该业务的大臣。

通知本人的规则

发生须报告的情形时，还须通知本人（法第26条第2款）。应根据情形的具体情况迅速通知。

• 通知内容：概要、被泄露等的数据项目、原因、有无二次损害或其可能性及具体内容、其他可供参考的事项
• 通知方式：选择邮寄、电子邮件等能确实送达本人的方式
• 难以通知时：不知道联系方式等情况下，采取公告事件、设立咨询窗口等替代措施

卡号泄露时，为便于本人采取停用卡片等措施，尽早联系十分重要。通知文本应简明传达事实和应对措施，并写明咨询窗口。外国客户或员工较多的，还应考虑提供多语种说明。在调查非法访问期间公布细节，可能会向攻击者泄露信息，因此公告的内容和时机应与专业人士商量后决定。

涉及受托方或海外据点时

业务受托方发生泄露时

委托他人处理个人数据时，原则上委托方和受托方双方都负有报告义务。受托方迅速将情形通知委托方的，受托方的报告义务予以免除，由委托方进行报告和本人通知。委托合同中应约定以下事项。

• 知悉泄露等时通知委托方的期限和联系人
• 配合原因调查，提供日志等资料
• 是否允许再委托，以及再委托方发生事故时的处理
• 费用负担和损害赔偿的范围

合同整体的确认要点，请参阅日本合同的注意事项。

涉及海外母公司或集团公司时

• 只要是日本法人处理的个人数据，即使系统由海外母公司运营，也由日本法人承担报告义务。
• 外国经营者在向日本境内的人提供商品或服务时处理个人信息的，也适用日本《个人信息保护法》。
• 将数据转移到中国内地或香港据点的，还应确认数据转移的规则（《个人信息保护法》的跨境传输规则）。
• 本国法律也可能要求向当局报告，因此应同时管理两边的期限。

包含个人编号（My Number）的特定个人信息（特定個人情報）发生泄露等时，适用《个人编号法》（番号法）规定的另一套报告规则。在员工工资和社会保险手续中处理个人编号的公司，应同时确认两套规则。

发生泄露等时的应对流程

1. 内部报告与防止损害扩大：向负责人报告，切断非法访问，请求删除误发的邮件等。
2. 调查事实：确认涉及的数据、人数、原因和期间。必要时委托专业调查公司。
3. 判断是否须报告并提交速报：判断是否属于四种情形，属于的提交速报。
4. 通知本人・公告：准备好咨询窗口后进行通知。
5. 确报与防止再次发生的措施：根据原因分析确定防止再次发生的措施，并提交确报。

未进行报告或采取必要措施的，可能受到个人信息保护委员会的劝告或命令，违反命令的将受到处罚。

日常应做好的准备

泄露等的应对效果，很大程度上取决于平时的准备。《个人信息保护法》要求经营者采取安全管理措施（第23条），并对员工和受托方进行监督（第24条・第25条）。应做好以下准备。

• 应对手册：明确是否须报告的判断标准、速报和确报的负责人及审批人。
• 联络机制：将公司内部、受托方、海外母公司、律师和调查公司的联系方式汇总成表。
• 保存记录：保存访问日志和操作记录，以便调查原因和范围。
• 掌握数据情况：梳理哪个系统中存有哪些人的哪些数据项目。
• 教育与演练：定期向员工宣导误发邮件和定向钓鱼邮件的应对方法。

如果不掌握数据的全貌，就无法确定人数和项目，从而导致确报延迟。

2026年的修法动向

《个人信息保护法》修正案已于2026年7月通过并公布。除部分规定外，施行日为自公布之日起不超过2年的范围内由政令规定的日期。预计在施行前将完善政令和委员会规则，泄露等报告的对象和期限是否变化，也将取决于其内容。

本文依据2026年10月时适用的现行规则进行解读。公司内部的应对手册，应在个人信息保护委员会公布修订后的规则和指南时重新审视。在此之前，按现行的四种情形、速报和确报期限以及本人通知规则执行。

总结

泄露等的报告有三个基本点：判断是否属于四种情形、遵守速报和确报的期限、通知本人。由于期限较短，事故发生后才考虑流程就来不及了。应事先确定报告负责人、判断标准以及与受托方的联络方式。TIMOA与合作的律师协作，协助完善泄露时的应对流程，并审视公司内部规章和委托合同。详情请参阅知识产权・风险・合规服务。