個人データが漏れたときの報告 速報は3〜5日、確報は30日

報告が必要になる4つの場合

個人情報保護法第26条は、一定の漏えいなどが起きたら個人情報保護委員会へ報告するよう事業者に求めています。対象は施行規則第7条の4つです。実際に漏れた場合だけでなく、漏れたおそれがある段階でも対象になります。第7条のいう「漏えい等」には、データが失われたり壊れたりした場合も含まれます。

1つ目は要配慮個人情報が含まれる場合です。委員会事務局の資料は従業員の健康診断の結果を例に挙げています。

2つ目は不正に使われると財産の被害が出るおそれがある場合で、クレジットカード番号が例です。送金や決済の機能がある Web サービスのログイン ID とパスワードの組み合わせも例に入っています。一方、住所、電話番号、メールアドレス、SNS アカウント、銀行口座情報だけの漏えいは、直ちにはこれに当たらないとされています。

3つ目は不正の目的で行われたおそれがある場合で、不正アクセスによる漏えいはこれにあたります。第7条第3号は、事業者が「取得しようとしている」個人情報も含むと定めています。入力フォームの改ざんのように、自社が受け取る前に盗まれた情報も対象になりえます。

4つ目は本人の数が1,000人を超える場合です。設定の誤りで名簿が外から見えていた場合などが考えられます。

人数の条件があるのは4つ目だけで、不正アクセスなら少ない人数でも対象になります。一方、高度な暗号化などの措置をとっていた個人データは対象から外れます。どこまでが「高度な暗号化」に当たるかは社内だけで決めず、委員会の資料で確かめます。

判断の例

第7条に当てはめると、次のようになります。1つでも当たれば報告の対象です。

起きたこと	当たるもの	報告
不正アクセスで顧客100人の名簿が漏れたおそれがある	3つ目	必要
健康診断の結果を入れた暗号化なしの USB メモリをなくした	1つ目	必要
設定の誤りで1,200人の名簿が外から見えていた	4つ目	必要
同じ誤りで見えていたのが800人、項目は氏名とメールアドレス、不正アクセスの形跡なし	なし	第26条の義務は生じない

最後の行のように当たらないと判断したときも、理由を記録に残します。調べが進むと、要配慮個人情報や不正アクセスの形跡があとから見つかることがあるからです。そのときは見つかった時点の判断に切り替えます。

期限は2段階

速報は事態を知った後、速やかに出します。委員会事務局の資料はおおむね3〜5日以内という目安を示しています。この時点で分かっていることだけで構いません。

確報は知った日から30日以内に出します。不正の目的のおそれがある場合は60日以内です。すべての項目を書きますが、調べても分からない項目は分かり次第追加します。

60日になるのは確報だけで、不正アクセスでも速報の目安は同じです。施行規則は「知った」時点から数えるよう定めているので、社内で話が上がるのを待たず、最初に知った人の日時を残します。

報告する項目は概要、漏れた情報の項目、本人の数、原因、二次被害の有無、本人への対応、公表の状況、再発防止策、その他の9つです。報告は委員会のオンラインのフォームから出します。フォームには新規報告と続報の入口があり、続報では修正の報告もできます。

委託先で起きたとき

委託を受けた会社は委託元に通知すれば委員会への報告を免れます。通知も速やかに行います。第26条第2項により、通知をした委託先は本人への通知の義務からも外れます。委託元の会社はこの通知を受けて自社の報告を進めることになるので、委託の契約で通知の期限と連絡先を決めておきます。通知する内容は報告と同じ9項目のうち、その時点で分かっているものです。

実際の流れの例が、三井不動産が公表した「&BIZ」の件です。委託先が使うメール配信システムへの不正アクセスは10月27日から31日で、委託先からの第一報が11月2日、約13万件の漏えいが分かったという追加報告が11月4日、公表が11月5日でした。第一報の段階では漏えいの可能性の連絡でした。契約では「確定してから」ではなく、可能性の段階で連絡をもらう形にしておくと、自社の準備が早く始められます。

聞いておくことはシステムの委託先に聞くべき5つのことにまとめています。

本人への通知

報告の対象になる場合は、状況に応じて速やかに本人にも通知します。通知が難しいときは代わりの措置をとります。

通知する内容は概要、漏れた情報の項目、原因、二次被害の有無、その他の参考事項で、本人の権利利益を守るために必要な範囲です。第10条は「状況に応じて速やかに」と定めており、速報のような日数の目安は書かれていません。

本人全員に連絡できないときの判断には IPA の手引きが使えます。手引きは、すべての関係者への通知が難しい場合や影響が広く及ぶ場合は Web サイトなどで公表するとしています。公表で被害が広がらないよう時期や内容を考えることと、顧客に関わるなら受付専用の問い合わせ窓口を開くことも挙げています。

中小企業がまず決めること

期限は短いので、事故が起きてから調べ始めると間に合わなくなります。判断する人、気づいた日時を記録する決まり、委託先からの連絡の受け口の3つを先に決めます。

判断する人の手元には4つの問いを紙1枚にして置きます。要配慮個人情報か、財産の被害につながるか、不正の目的のおそれがあるか、1,000人を超えるかです。健康診断の結果やカード番号がどのファイルにあるかを先に書き出しておくと、1つ目と2つ目はすぐに答えられます。

IPA の「中小企業のためのセキュリティインシデント対応の手引き」も、個人情報の漏えいは委員会へ報告すると案内しています。犯罪性がある場合は警察、ウイルス感染や不正アクセスの場合は IPA への届け出も同じ手引きにあります。マイナンバーを含む特定個人情報の漏えいは受付が別です。委員会から権限を委ねられた省庁へ報告する業種や、業法で別の報告が求められる業種もあります。この記事は2026年11月時点の施行規則にもとづいています。