個人情報保護委員会、上半期の漏えい報告1万784件 前年より2割増

個人情報保護委員会は2026年11月11日の第375回の会合で、2026年度上半期（4月1日〜9月30日）の活動実績をまとめた資料の案を配りました。民間の事業者から受けて処理した個人データの漏えい等の報告は1万784件で、前年の同じ時期の8,928件から約2割増えています。資料の題には「案」と付いており、確定した版の公表はまだ確認できていません。顧客や従業員の情報を持つ会社は、報告が要る場合と、委託先で漏えいが起きたときの動き方を確かめておいてください。

漏えい等の報告の件数と内訳

1万784件は、法令で報告が義務になっているものだけを数えた件数です。委員会が直接受けたものが7,278件（前年の同じ時期は6,806件）、権限の委任を受けた省庁を通ったものが3,506件（同2,122件）でした。このほかに、義務ではないものの任意で出された報告などが722件あります。

報告が義務になる理由ごとの件数は次のとおりです。1つの事案が複数の理由に当たるときはそれぞれに数えるため、合計は1万784件を超えます。

報告が義務になる理由	件数	割合
要配慮個人情報を含む	5,976件	55.4%
不正の目的をもって行われたおそれ	3,258件	30.2%
財産的被害が生じるおそれ	2,021件	18.7%
本人の数が1,000人を超える	611件	5.7%

要配慮個人情報は病歴や健康診断の結果のように、扱いにとくに配慮が要る個人情報です。資料は発生原因として、不正アクセスなどのほか、病院や薬局で要配慮個人情報を含む書類を別の人に渡したり紛失したりした例、クレジットカードの誤送付が多かったと書いています。本人の数が1,000人を超える事案は全体の5.7%です。従業員の健康診断の結果や顧客のカード情報を扱う会社は、1件の渡し間違いでも報告の対象になりえます。報告の期限と手順は個人データが漏れたときの報告 速報は3〜5日、確報は30日にまとめています。

報告徴収と指導の件数

委員会が事業者に事情の報告を求める報告徴収は43件で、前年の同じ時期の11件から増えました。指導と助言は200件（同236件）です。立入検査、勧告、命令はいずれも0件で、前年の同じ時期はそれぞれ2件、2件、1件でした。

名前を挙げて公表した事案として、資料はKDDIの件を載せています。同社がプロバイダ向けに提供していたメールのシステムが不正アクセスを受け、利用者のメールアドレスとパスワードが漏えいしました。委員会は8月19日、安全管理措置に不備があったとして同社を指導し、再発防止策の実施状況の報告を求めています。一部のプロバイダも指導を受けました。同じ日に委員会は利用者に向けて、パスワードの使い回しが分かったら強固な文字列に変えるよう注意を呼びかけました。メールサービスを使う事業者には、この点を従業員に徹底して伝えることを求めています。

委託先で漏えいが起きたときの相談

民間向けの個人情報保護法相談ダイヤルには9,873件（前年の同じ時期は1万39件）の相談があり、漏えい等の報告に関するものが多かったとしています。資料が例に挙げているのは、委託先のサーバーが不正アクセスを受け、預けていた個人データが漏えいしたと通知を受けた事業者からの相談です。本人への通知とは別に、委託元として公表する義務があるかを尋ねています。

委員会は、報告の対象になる事態を知ったときは委員会への報告と本人への通知が必要だと答えています。公表は本人への通知の代わりに行う場合を除いて義務ではありません。ただし、二次被害や似た事案を防ぐ観点から、事態の内容に応じて公表することが望ましいとしています。

委託先から連絡が来ないと、委託元は報告にも通知にも取りかかれません。委託契約に、漏えいを知ったときの連絡先と期限が書いてあるかを見ておいてください。

改正法とガイドラインの見直しの進み具合

個人情報保護法などの改正法は7月10日に国会で成立し、同月17日に令和8年法律第56号として公布されました。適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等の防止、規律遵守の実効性確保の4つの観点が改正の中心です。委員会は政令、規則、ガイドラインの整備を進めていて、7月31日に取組の方針とロードマップを、8月26日に政令や規則で定める事項の全体像を、9月9日に今後の進め方を決めました。この資料に施行の日付は書かれていません。

安全管理措置についてはガイドライン通則編の別添にある措置の例を今の状況に合わせて見直す検討に入り、9月16日の会合で方向性を決めて公表しています。10月の注意喚起で先に示された技術的な措置の例は、個人情報保護委員会、不正アクセス対策の見直し案を先取り公表で紹介しています。