日本個人數據泄露的報告義務與應對｜速報・確報期限與本人通知

發生個人數據的泄露、滅失或毀損（統稱“泄露等”，漏えい等），且屬於極可能損害個人權利利益的特定情形時，經營者負有向個人信息保護委員會（個人情報保護委員會）報告並通知本人的義務（《個人信息保護法》第26條）。報告分為兩個階段：在知悉後約3～5日內提交的“速報”（速報），以及原則上在30日內（出於不正當目的的為60日內）提交的“確報”（確報）。該義務自2022年4月起實施，2024年4月對象範圍有所擴大。

須報告的泄露等四種情形

報告義務的對象，是《個人信息保護法施行規則》第7條規定的以下情形。不僅實際發生泄露時須報告，在可能已發生泄露等的階段也屬於報告對象。

根據2024年4月1日施行的規則修訂，情形③的對象擴大到經營者正在取得的個人信息（計劃作為個人數據處理的信息）。該修訂針對的是網站被篡改、導致輸入表單中的信息被髮送給第三方的“網頁盜刷”（Web Skimming）。

情形④的1,000人，按單一事件中被泄露等的個人數據所涉本人的數量判斷。即使發生時人數尚未確定，只要可能超過1,000人，即屬於報告對象。此外，即使是不屬於報告對象的泄露等，也需要調查原因、向本人說明並研究防止再次發生的措施。

另一方面，經高度加密等保密處理且解密所需信息未泄露的，不屬於報告對象。

速報與確報的期限和報告內容

報告的主要事項包括：概要、被泄露等的個人數據項目、涉及本人數量、原因、有無二次損害或其可能性及具體內容、對本人的應對情況、公告情況、防止再次發生的措施，以及其他可供參考的事項。確報時仍未查明的事項，在查明後補充報告。

期限的天數包括週末和節假日。報告原則上通過個人信息保護委員會網站的報告表單提交。部分行業的報告對象，為受委託行使權限的主管該業務的大臣。

通知本人的規則

發生須報告的情形時，還須通知本人（法第26條第2款）。應根據情形的具體情況迅速通知。

• 通知內容：概要、被泄露等的數據項目、原因、有無二次損害或其可能性及具體內容、其他可供參考的事項
• 通知方式：選擇郵寄、電子郵件等能確實送達本人的方式
• 難以通知時：不知道聯繫方式等情況下，採取公告事件、設立諮詢窗口等替代措施

卡號泄露時，為便於本人採取停用卡片等措施，儘早聯繫十分重要。通知文本應簡明傳達事實和應對措施，並寫明諮詢窗口。外國客戶或員工較多的，還應考慮提供多語種說明。在調查非法訪問期間公佈細節，可能會向攻擊者泄露信息，因此公告的內容和時機應與專業人士商量後決定。

涉及受託方或海外據點時

業務受託方發生泄露時

委託他人處理個人數據時，原則上委託方和受託方雙方都負有報告義務。受託方迅速將情形通知委託方的，受託方的報告義務予以免除，由委託方進行報告和本人通知。委託合同中應約定以下事項。

• 知悉泄露等時通知委託方的期限和聯繫人
• 配合原因調查，提供日誌等資料
• 是否允許再委託，以及再委託方發生事故時的處理
• 費用負擔和損害賠償的範圍

合同整體的確認要點，請參閱日本合同的注意事項。

涉及海外母公司或集團公司時

• 只要是日本法人處理的個人數據，即使系統由海外母公司運營，也由日本法人承擔報告義務。
• 外國經營者在向日本境內的人提供商品或服務時處理個人信息的，也適用日本《個人信息保護法》。
• 將數據轉移到中國內地或香港據點的，還應確認數據轉移的規則（《個人信息保護法》的跨境傳輸規則）。
• 本國法律也可能要求向當局報告，因此應同時管理兩邊的期限。

包含個人編號（My Number）的特定個人信息（特定個人情報）發生泄露等時，適用《個人編號法》（番號法）規定的另一套報告規則。在員工工資和社會保險手續中處理個人編號的公司，應同時確認兩套規則。

發生泄露等時的應對流程

1. 內部報告與防止損害擴大：向負責人報告，切斷非法訪問，請求刪除誤發的郵件等。
2. 調查事實：確認涉及的數據、人數、原因和期間。必要時委託專業調查公司。
3. 判斷是否須報告並提交速報：判斷是否屬於四種情形，屬於的提交速報。
4. 通知本人・公告：準備好諮詢窗口後進行通知。
5. 確報與防止再次發生的措施：根據原因分析確定防止再次發生的措施，並提交確報。

未進行報告或採取必要措施的，可能受到個人信息保護委員會的勸告或命令，違反命令的將受到處罰。

日常應做好的準備

泄露等的應對效果，很大程度上取決於平時的準備。《個人信息保護法》要求經營者採取安全管理措施（第23條），並對員工和受託方進行監督（第24條・第25條）。應做好以下準備。

• 應對手冊：明確是否須報告的判斷標準、速報和確報的負責人及審批人。
• 聯絡機制：將公司內部、受託方、海外母公司、律師和調查公司的聯繫方式彙總成表。
• 保存記錄：保存訪問日誌和操作記錄，以便調查原因和範圍。
• 掌握數據情況：梳理哪個系統中存有哪些人的哪些數據項目。
• 教育與演練：定期向員工宣導誤發郵件和定向釣魚郵件的應對方法。

如果不掌握數據的全貌，就無法確定人數和項目，從而導致確報延遲。

2026年的修法動向

《個人信息保護法》修正案已於2026年7月通過並公佈。除部分規定外，施行日為自公佈之日起不超過2年的範圍內由政令規定的日期。預計在施行前將完善政令和委員會規則，泄露等報告的對象和期限是否變化，也將取決於其內容。

本文依據2026年10月時適用的現行規則進行解讀。公司內部的應對手冊，應在個人信息保護委員會公佈修訂後的規則和指南時重新審視。在此之前，按現行的四種情形、速報和確報期限以及本人通知規則執行。

總結

泄露等的報告有三個基本點：判斷是否屬於四種情形、遵守速報和確報的期限、通知本人。由於期限較短，事故發生後才考慮流程就來不及了。應事先確定報告負責人、判斷標準以及與受託方的聯絡方式。TIMOA與合作的律師協作，協助完善泄露時的應對流程，並審視公司內部規章和委託合同。詳情請參閱知識產權・風險・合規服務。