個人データの漏えいが起きたら。委員会への報告と本人への通知

個人データの漏えいなどが起き、それが規則で定める4つの事態に当たるときは、個人情報保護委員会への報告と、本人への通知が求められます。報告は、まず速報を、その後に確報を出す2段階です。漏えいの「おそれ」の段階でも対象になるため、気づいた時点で、被害を広げない手当てと並行して、報告の要否を判断する準備を始めることが大切です。

法律は何を求めているか

個人情報保護法 第26条は、個人データの漏えい、滅失、毀損などのうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときに、個人情報保護委員会への報告と、本人への通知を求めています。2026年11月時点の条文で確かめた内容です。

報告の対象になる個人情報の漏えいなどの報告は、漏えい等の報告とも呼ばれます。本人への通知は、通知が困難な場合で、本人の権利利益を保護するために必要な代わりの措置をとるときは、この限りでないとされています。

出典：個人情報の保護に関する法律 第26条（e-Gov法令検索）

報告の対象になる4つの事態

報告の対象は、個人情報保護法施行規則 第7条が定める4つの事態です。いずれも、漏えいなどが「発生し、又は発生したおそれがある事態」とされており、確定する前の段階も含みます。

1. 要配慮個人情報が含まれる：病歴や健康診断の結果などの要配慮個人情報を含む個人データの漏えいなど
2. 財産的被害が生じるおそれがある：不正に使われると財産的な被害が生じるおそれがある個人データの漏えいなど。委員会の案内では、ECサイトからクレジットカードの番号を含む個人データが漏えいした場合が例に挙げられています
3. 不正の目的をもって行われたおそれがある：不正アクセスなど、不正の目的をもって行われたおそれがある行為による漏えいなど。取得しようとしている個人情報で、個人データとして扱う予定のものも含みます
4. 本人の数が1,000人を超える：本人の数が1,000人を超える漏えいなど

いずれの事態も、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データは、対象から除かれます（施行規則 第7条第1号）。

出典：個人情報の保護に関する法律施行規則 第7条（e-Gov法令検索）、漏えい等の対応とお役立ち資料（個人情報保護委員会）

ランサムウェアの被害や、Webサイトへの不正アクセスは、3つ目の「不正の目的」に当たる可能性があり、人数が少なくても報告の対象になることがあります。

報告は、いつまでに何を出すか

報告は、事態を知った後、速やかに出す速報と、知った日から30日以内（不正の目的のおそれがある場合は60日以内）に出す確報の2段階です（施行規則 第8条）。

報告の期限について、個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の要否や内容は、事案ごとに判断が必要です。漏えいのおそれに気づいたら、弁護士などの専門家にご相談ください。

施行規則 第8条は、報告する事項として、概要、漏えいなどした個人データの項目、本人の数、原因、二次被害やそのおそれの有無と内容、本人への対応の状況、公表の状況、再発防止のための措置などを挙げています。速報では、報告する時点で把握していることを報告すればよく、確報で全体をそろえます。報告は、原則として委員会のオンラインの窓口から行います。

出典：個人情報の保護に関する法律施行規則 第8条（e-Gov法令検索）、漏えい等の対応とお役立ち資料（個人情報保護委員会）

本人には、何を伝えるか

本人への通知は、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で行います。施行規則 第10条は、通知する事項として、概要、漏えいなどした個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項を挙げています。

たとえば、パスワードが漏れたおそれがある場合は、ほかのサービスでの使い回しをやめてもらうよう案内するなど、本人がとれる手当てを添えると、二次被害を防ぎやすくなります。通知の手段は、メールや郵送など、本人に届きやすい方法を選びます。

出典：個人情報の保護に関する法律施行規則 第10条（e-Gov法令検索）

なお、2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）では、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合に、本人への通知の義務が緩和される見直しが入りました。どのような場合が当たるかは、これから定められる規則とガイドラインによります。改正法は、一部の規定を除き、公布の日から2年を超えない範囲内で政令で定める日に施行されるとされており、この見直しは2026年11月時点では施行されていません。

出典：令和8年 改正個人情報保護法について（個人情報保護委員会）

委託を受けて扱っている場合

ほかの事業者から個人データの取扱いの委託を受けている場合は、委託元に通知すれば、委託を受けた事業者自身の報告と本人への通知は不要になる場合があります（第26条第1項ただし書、第2項）。委託元への通知は、事態を知った後、速やかに行うとされています（施行規則 第9条）。

委託を受けている側は、委託元の報告の期限に間に合うよう、気づいた時点ですぐに委託元へ知らせることが大切です。誰が、いつ、どの窓口に知らせるかを、契約と社内の手順で決めておきます。委託する側の管理は、委託先・クラウドサービスの管理をどう確かめるかで説明しています。

気づいたときに、社内で進めること

報告と通知は、事故への対応の一部です。漏えいに気づいたら、被害を広げない手当て、事実の確認、影響の範囲の把握を並行して進め、その結果を報告に反映します。

• 不正なアクセスが続いていないかを確かめ、必要に応じてシステムを切り離す
• ログや機器の状態を消さずに残す（原因の調査に使うため）
• どの情報が、何人分、どの経路で漏れたおそれがあるかを整理する
• 報告の要否を判断する担当と、専門家への相談の窓口を決める
• 再発を防ぐための対策を決め、確報に書ける形にまとめる

ログを残しておかないと、漏えいの範囲が特定できず、影響を広めに見積もらざるを得なくなることがあります。初動の手順は、セキュリティ事故に備える、初動の手順書のつくり方で、ランサムウェアの場合はランサムウェアの被害に遭ったときの初動で説明しています。被害が経営に与える影響は、脆弱性を放置すると、会社に何が起きるのかで扱っています。

報告の要否、通知の範囲、公表のしかたは、事案ごとに判断が必要です。個別の判断は、弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、事故が起きたときに、被害の範囲の確認、止めるかどうかの判断、復旧、関係先への連絡の準備までを一緒に進めるご支援をしています。専門的な調査（フォレンジック）が必要な場合は、外部の専門の会社と連携してお受けします。事故の前に、連絡の手順や社内の規程を整えておくご相談も承ります。法律上の判断は、弁護士などの専門家と連携して進めていただくようお願いしています。