個人情報漏えいの報告義務とは？委員会への報告の期限と判断の基準を解説

個人情報漏えいの報告義務とは、個人の権利利益を害するおそれが大きい4つ⁠の場合に、個人情報保護委員会への報告と本人への通知を会社に求める決まりです。個人情報保護法26条と同法の施行規則7〜10条⁠に定めがあります。

今日やることは、社内で預かっている個人データのうち、健康診断の結果、カード番号、1,000人⁠を超える名簿の3つ⁠の置き場を書き出すことです。事故のときの判断が、これで速くなります。

報告が要る4つ⁠の場合とは？

施行規則7条は、次の4つ⁠を定めています。どれか1つ⁠に当たれば対象です。「発生したおそれがある」段階も入ります。

いくつか補足します。要配慮個人情報は法2条3項で定められ、健康診断の結果は政令に書かれています。総務が保管する健診データは、この1号⁠に当たります。

カード番号は、委員会のQ&Aで、番号だけの漏えいでも2号⁠に当たるとされています。下4桁と有効期限の組み合わせだけなら、直ちには当たらないとされています。

人数が確定しないときは、委員会のガイドライン（通則編）⁠により、最大で1,000人⁠を超えるかどうかで見ます。委員会のリーフレットは、1,000人超⁠の会員へのメールをBCCでなくCCで送った例を載せています。

対象外になるのは、高度な暗号化など、権利利益を守る措置を講じていた場合です（規則7条1号のカッコ書き）。ただ、パスワードを付けたファイルなら必ず対象外、とは言えません。判断に迷ったら、委員会の窓口か弁護士に確かめます。

報告の期限はいつまで？

報告は速報と確報の2回です。

30日⁠と60日は規則8条2項に書かれています。3〜5日⁠は規則ではなく、個人情報保護委員会のガイドライン（通則編）⁠が示す目安です。

起点は「事態を知った時点」⁠で⁠、法人では、いずれかの部署が知った時点とされています。

つまり、工場の事務担当が気づいて3日黙っていれば、社長が知る前に時間が過ぎています。社内の第一報の決まりがここで効きます。社内の連絡の流れは発覚から報告までの対応マニュアル⁠にまとめました。

報告する9項目は、概要、個人データの項目、本人の数、原因、二次被害、本人への対応、公表、再発防止、その他です（規則8条1項）⁠。速報では、わかっている範囲で足ります。調査が終わるのを待たずに出します。

提出は原則として電子の方法で、委員会の報告フォームから行います。ランサムウェアなどのサイバー攻撃については、委員会のページに、2026年10月1日以降は共通様式でも報告できると書かれています。業種によっては事業所管大臣が報告先になる場合もあるので、提出前にそのページで確かめてください。

判断に迷いやすい例

委員会の処理件数は、2025年度の民間事業者で1万7,139件でした（前年度は1万9,056件）⁠。特別な会社だけの話ではありません。次は、中小企業で迷いやすい場面の考え方です。

確証がないまま、サーバーに不審な接続があった

不正アクセスの形跡があり、データが盗まれたかはわからない場合です。「おそれ」⁠は⁠、通則編では、その時点で判明している事実から個別に判断するものとされています。確証がなくても対象になり得ます。3号なので人数は関係ありません。

ランサムウェアでデータが暗号化された

「漏れた形跡がないから報告不要」⁠と⁠は言い切れません。ガイドラインは、暗号化されて復元できなくなった場合も、報告の対象の例に挙げています。漏えいだけでなく、滅失や毀損も対象だからです。

たとえば、部品メーカーのファイルサーバーが暗号化され、総務のフォルダに従業員の健診データがあった場合です。これは1号⁠と3号⁠の両方に関わります。人数が少なくても報告の検討に入ります。

社員が権限を超えてデータを持ち出した

社内の人の行為でも3号⁠に当たり得ます。委員会の新旧対照表（2024年）⁠は⁠、通常の業務で必要としないアクセスでデータが盗まれた痕跡がある場合を例に挙げています。社内の対策は内部不正対策の進め方⁠にまとめました。

宛先を間違えた300人⁠のメール

宛先が見える形で300人⁠に送り、中身は氏名とメールアドレスだけ、という場合です。4つ⁠のどれにも当たらなければ、この条文の報告義務の対象にはなりません。ただし、本文や添付に健診データやカード番号があれば別です。添付まで確かめて、判断の理由を社内の記録に残します。

委託先で起きた

給与計算の会社や、製造業なら通販サイトの運営を任せた会社で起きた場合です。委員会の金融機関向けQ&Aは、委託元と委託先の両方に報告の義務があるのを原則としています。法26条1項ただし書⁠により、委託先は委託元へ通知すれば、委員会への報告と本人への通知の義務を免れます。委託元への通知も速やかに行います（規則9条）⁠。目安は3〜5日以内です（通則編）⁠。

自社が委託元なら、通知が来た時点から自社の期限を考えます。契約書に、連絡の期限と連絡先が入っているかを確かめてください。

本人への通知はいつ、何を伝える？

本人への通知は、「当該事態の状況に応じて速やかに⁠」⁠と定められています（規則10条）⁠。委員会への報告と同じ期限ではありません。

伝えるのは、概要、個人データの項目、原因、二次被害やそのおそれ、その他参考になることの5つです。すべてではなく、本人の権利利益を守るのに必要な範囲で足ります。パスワードの変更やカードの確認など、本人にしてほしいことを書きます。

方法は決まっていません。委員会のリーフレットは、文書の郵送やメールの送信を例にしています。本人への通知が難しいときは、法26条2項のただし書で代わりの措置が認められ、リーフレットはホームページでの公表や問い合わせ窓口の設置を例に挙げています。

事実がほとんどわからず、通知しても本人が身を守る手立てがなく、かえって混乱を招く場合は、通知を急げない例としてガイドラインに挙がっています。その場合も、わかり次第、速やかに通知します。

通知のときに金券を添える会社もありますが、規則の通知の項目には入っていません。金額の考え方はお詫びの金額と費用の内訳⁠で扱います。

2026年⁠の法改正で変わる？

2026年7月17日⁠に個人情報保護法の改正が公布され、2028年7月までに全面施行される予定です。漏えいに関しては、本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知義務を緩和し、代替措置で対応できるようにする改正⁠が入ります。

細かな基準は、今後の委員会規則やガイドラインで決まります。施行までは今の決まりで動きます。

事前に用意しておくこと

事故の後で探すと時間が足りないものが3つあります。

• 原因と範囲を調べる会社の候補（インシデント対応・フォレンジックの比較）
• 外へ出ていく経路の把握と対策（DLPの製品比較）
• 費用に備える手段の確認（サイバー保険の比較）

漏えい全体の考え方は情報漏えい対策のカテゴリ⁠にまとめています。この記事は法律の一般的な整理です。個別の判断は、委員会の窓口や弁護士に確かめてください。