個人情報漏えいの本人への通知の例文　書く項目と送る時の注意点を整理

個人情報が漏えいしたときの本人への通知には、概要、漏えいした項目、原因、二次被害の有無と内容、その他参考となる事項の5つ⁠を書きます。個人情報保護法の施行規則⁠の第10条⁠が定める項目です。

今日やることは、下の例文を自社の名前で直し、窓口の担当と受付時間を空欄のまま1枚⁠の社内文書にしておくことです。事故の当日に、一から文章を考える時間はとれません。

本人への通知が必要になるのはどんな時？

委員会への報告が必要な事態が起きた時です。個人情報保護法の第26条は、報告の対象になる事態が生じたら、本人にも通知するよう定めています。対象は施行規則の第7条⁠にある次の4つで、発生したおそれがある段階も含みます。

人数の条件は4つ目だけです。3つ目には人数の条件がありません。

製造業の場合で考えます。たとえば、受発注のサーバーが不正アクセスを受け、取引先の担当者の氏名とメールアドレスが入っていた場合は、3つ目にあたるかを最初に確かめます。千人に届かないから通知は要らない、とは言えません。

委託を受けて扱っていたデータの場合は、委託元へ通知すれば、自社から本人へ通知する義務はなくなります（第26条第1項ただし書と第2項⁠）⁠。委託元に知らせる順番を先に確かめます。報告の期限と判断の基準は情報漏えいのカテゴリ⁠にまとめています。

通知に書く5項目は？

施行規則の第10条は、委員会への報告の項目（第8条第1項）⁠のうち、次の5つ⁠を本人への通知に求めています。人数、本人への対応の状況、公表の状況、再発防止策は、本人への通知の必須項目には入っていません。

漏えいした項目は、本人によって違うことがあります。個人情報保護委員会の解説は、本人の権利利益を守るために必要な範囲で通知すればよいとしています。送り分けができるなら、その人に関係する項目だけを書くと、読む人が迷いません。

そのまま直して使える例文は？

様式は法令で決まっていません⁠。次の例文は私たちが5項目⁠に沿って作ったものです。【 】⁠を事実に置き換え、当てはまらない文は消します。法的な確認は弁護士に頼みます。

件名：【会社名】お客さま情報の漏えいに関するお知らせとお詫び

【お名前】⁠様

【会社名】⁠は⁠、【お客さま】⁠の情報を含むサーバーへの不正アクセスを確認しました。ご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。

1. 概要：【10月1日】⁠に不正アクセスを受け、【10月3日】⁠に当社が発見しました。

2. 漏えいした、またはそのおそれがある項目：氏名、会社名、メールアドレス、電話番号。クレジットカード番号とパスワードは、対象のサーバーに保存していません。

3. 原因：当社のサーバーの設定の不備を第三者に突かれたものと考えています。外部の専門会社とともに調査を続けており、判明しましたらお知らせします。

4. 二次被害：【10月8日】時点で、不正な利用の報告は受けていません。

5. お願いとご案内：当社を名乗る不審なメールや電話にご注意ください。当社から、パスワードやカード番号をお尋ねすることはありません。

お問い合わせ窓口：【窓口名】⁠ ⁠電⁠話【番号】⁠ ⁠メ⁠ー⁠ル【アドレス】 受付【平日9時から17時】

【会社名】

個人の担当者名は書かず、窓口の名前で出します。社名と窓口の組み合わせを、会社のサイトのお知らせにも載せておくと、偽のメールとの見分けに使えます。

問い合わせ窓口の案内はどう書く？

窓口の案内には、次の5つ⁠を入れます。法令が定めた項目ではなく、問い合わせを受ける側の手間も考えて私たちが整理したものです。

• 窓口の名前。「個人情報お問い合わせ窓口」のように、何の窓口か分かる名前
• 電話とメール。片方しかない場合は、もう片方が無いと分かるように書く
• 受付の曜日と時間。いつまで開けるかが決まっていれば、その日付も
• 問い合わせの時に伝えてほしいこと。受付番号や登録のメールアドレスなど
• 窓口から本人へかける電話の扱い。折り返しの番号を示す

通知の直後は同じ質問が集まります。「自分は対象か」「何が漏れたか」「カードは止めるべきか」「補償はあるか」⁠の4つは、答えを先に紙にして、窓口の全員で同じ答えを返せるようにします。

対象かどうかを確かめる窓口では、聞き出す情報を最小限にします。確認のために、登録のない情報まで答えてもらう必要はありません。社内の人手で足りない場合は、セキュリティ運用代行の比較で、事故時の対応まで頼めるかを見ておきます。

いつ送る？原因が分からないままでもいい？

期限は日数で決まっていません。施行規則は「当該事態の状況に応じて速やかに⁠」⁠と定めています。通則編ガイドラインは、通知を行う時点は、把握している内容や、通知で本人が守られる見込み、通知で生じる弊害をふまえて判断するとしています。5項目⁠が全部判明するまで待つものでもありません。

同じガイドラインは、その時点では通知しなくてよい例として次の2つ⁠を挙げています。

• 掲示板などにデータが上げられ、削除の依頼などの初期対応が終わっていない。通知するとかえって被害が広がるおそれがある
• 漏えいのおそれはあるが事案がほとんど分からず、通知しても本人が身を守る行動をとれない。かえって混乱するおそれがある

いつまでも待ってよいという意味ではありません。何が起きたかを急いで調べる必要があるので、インシデント対応・フォレンジックの比較で頼める先を平時に確かめておくと、判断が早くなります。

送る時に間違えやすいことは？

通知そのものが次の事故にならないようにします。次は実務の注意点として私たちが整理したものです。

• 一斉メールの宛先を、他の人に見える欄へ入れない。社内の別の人が宛先の一覧を確かめてから送る
• 送り先の一覧を、漏えいの疑いがあるサーバーのデータのまま使わない。書き換えられていないかを確かめる
• メールの本文にログイン用のリンクを置かない。偽のメールと見分けにくくなる
• 窓口の電話番号に実際にかけて、つながることを確かめる
• 取引先の担当者が対象なら、会社の窓口の担当者へ別に連絡する。担当者個人への通知だけで済ませない

メールを送るときに宛先や添付を機械で止める仕組みは、DLPの製品比較で種類を確かめられます。誤送信が原因の事故を繰り返している会社は、通知の前に送信の手順そのものを見直します。

本人に連絡できない場合はどうする？

連絡先を持っていない場合や、連絡先が古くて届かない場合は、通知が困難な場合にあたります。個人情報保護委員会の解説は、代わりの措置として、ホームページなどでの公表と問い合わせ窓口の設置を挙げています。

公表する文は、通知の内容を基本にします。委員会のQ&Aは、特定の個人が識別されるおそれのある事項は公表しないことが考えられるとしています。少人数の部署や取引先の事故では、書いた内容で人が分かることがあるので、公表の前に読み直します。

2026年⁠の法改正で何が変わる？

本人への個別の通知が要らない場合が増えます。2026年7月17日⁠に公布された改正法は、第26条第2項⁠のただし書に「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合⁠」⁠を加えました。

具体的な範囲は委員会規則で決まるので、現時点では確定していません。TMI総合法律事務所の解説は、単体では意味を持たない社内の識別子だけが漏れた場合が想定されていると紹介し、その場合でも代わりの措置は求められると説明しています。施行までは今の決まりで動きます。

取引先の秘密情報が同時に漏れた場合は、本人への通知とは別に契約上の責任が問題になります。機密情報の漏えいの損害賠償と契約の見方⁠で確かめます。社内の人が原因だった場合の扱いは、社員への損害賠償の考え方⁠にまとめました。