---
title: "個人データの漏えいが起きたら。委員会への報告と本人への通知｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/
description: "個人データの漏えいなどのうち、規則で定める4つの事態に当たるときは、個人情報保護委員会への報告と本人への通知が求められます。報告の対象、速報と確報の期限、本人に伝えること、委託を受けている場合の扱いを条文にもとづいて整理します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# 個人データの漏えいが起きたら。委員会への報告と本人への通知

個人データの漏えいなどのうち、規則で定める4つの事態に当たるときは、個人情報保護委員会への報告と本人への通知が求められます。報告の対象、速報と確報の期限、本人に伝えること、委託を受けている場合の扱いを条文にもとづいて整理します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- 要配慮個人情報、財産的被害のおそれ、不正の目的のおそれ、1,000人を超える、のいずれかに当たる漏えいなど（おそれを含む）は、個人情報保護委員会への報告の対象です。
- 報告は、知った後に速やかに（委員会の案内ではおおむね3〜5日以内）速報を、30日以内（不正の目的のおそれがある場合は60日以内）に確報を出します。
- 報告の対象になる事態では、本人への通知も求められます。委託を受けて扱っている場合は、委託元への通知で足りる場合があります。

個人データの漏えいなどが起き、それが規則で定める4つの事態に当たるときは、個人情報保護委員会への報告と、本人への通知が求められます。報告は、まず速報を、その後に確報を出す2段階です。漏えいの「おそれ」の段階でも対象になるため、気づいた時点で、被害を広げない手当てと並行して、報告の要否を判断する準備を始めることが大切です。

## 法律は何を求めているか

個人情報保護法第26条は、個人データの漏えい、滅失、毀損などのうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときに、個人情報保護委員会への報告と、本人への通知を求めています。2026年11月時点の条文で確かめた内容です。

報告の対象になる[個人情報](https://www.ameliatechnology.co.jp/glossary/personal-information/)の漏えいなどの報告は、[漏えい等の報告](https://www.ameliatechnology.co.jp/glossary/data-breach-report/)とも呼ばれます。本人への通知は、通知が困難な場合で、本人の権利利益を保護するために必要な代わりの措置をとるときは、この限りでないとされています。

出典：[個人情報の保護に関する法律第26条（e-Gov法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)

## 報告の対象になる4つの事態

報告の対象は、個人情報保護法施行規則第7条が定める4つの事態です。いずれも、漏えいなどが「発生し、又は発生したおそれがある事態」とされており、確定する前の段階も含みます。

1. **要配慮個人情報が含まれる**：病歴や健康診断の結果などの要配慮個人情報を含む個人データの漏えいなど
2. **財産的被害が生じるおそれがある**：不正に使われると財産的な被害が生じるおそれがある個人データの漏えいなど。委員会の案内では、ECサイトからクレジットカードの番号を含む個人データが漏えいした場合が例に挙げられています
3. **不正の目的をもって行われたおそれがある**：不正アクセスなど、不正の目的をもって行われたおそれがある行為による漏えいなど。取得しようとしている個人情報で、個人データとして扱う予定のものも含みます
4. **本人の数が1,000人を超える**：本人の数が1,000人を超える漏えいなど

いずれの事態も、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データは、対象から除かれます（施行規則第7条第1号）。

出典：[個人情報の保護に関する法律施行規則第7条（e-Gov法令検索）](https://laws.e-gov.go.jp/law/428M60020000003)、[漏えい等の対応とお役立ち資料（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/leakAction/)

[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)の被害や、Webサイトへの不正アクセスは、3つ目の「不正の目的」に当たる可能性があり、人数が少なくても報告の対象になることがあります。

## 報告は、いつまでに何を出すか

報告は、事態を知った後、速やかに出す速報と、知った日から30日以内（不正の目的のおそれがある場合は60日以内）に出す確報の2段階です（施行規則第8条）。

報告の期限について、個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の要否や内容は、事案ごとに判断が必要です。漏えいのおそれに気づいたら、弁護士などの専門家にご相談ください。

個人データの漏えいなどを個人情報保護委員会に報告する期限（委員会の案内）

**発覚した日**

**速報**：速やかに（おおむね3〜5日以内）

**確報**：発覚した日から30日以内（不正の目的で行われたおそれがある場合は60日以内）

報告の要否や内容は事案ごとに判断が必要です。**弁護士などの専門家にご相談ください**

施行規則第8条は、報告する事項として、概要、漏えいなどした個人データの項目、本人の数、原因、二次被害やそのおそれの有無と内容、本人への対応の状況、公表の状況、再発防止のための措置などを挙げています。速報では、報告する時点で把握していることを報告すればよく、確報で全体をそろえます。報告は、原則として委員会のオンラインの窓口から行います。

出典：[個人情報の保護に関する法律施行規則第8条（e-Gov法令検索）](https://laws.e-gov.go.jp/law/428M60020000003)、[漏えい等の対応とお役立ち資料（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/leakAction/)

## 本人には、何を伝えるか

本人への通知は、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で行います。施行規則第10条は、通知する事項として、概要、漏えいなどした個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項を挙げています。

たとえば、パスワードが漏れたおそれがある場合は、ほかのサービスでの使い回しをやめてもらうよう案内するなど、本人がとれる手当てを添えると、二次被害を防ぎやすくなります。通知の手段は、メールや郵送など、本人に届きやすい方法を選びます。

出典：[個人情報の保護に関する法律施行規則第10条（e-Gov法令検索）](https://laws.e-gov.go.jp/law/428M60020000003)

なお、2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）では、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合に、本人への通知の義務が緩和される見直しが入りました。どのような場合が当たるかは、これから定められる規則とガイドラインによります。改正法は、一部の規定を除き、公布の日から2年を超えない範囲内で政令で定める日に施行されるとされており、この見直しは2026年11月時点では施行されていません。

出典：[令和8年改正個人情報保護法について（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/)

## 委託を受けて扱っている場合

ほかの事業者から個人データの取扱いの委託を受けている場合は、委託元に通知すれば、委託を受けた事業者自身の報告と本人への通知は不要になる場合があります（第26条第1項ただし書、第2項）。委託元への通知は、事態を知った後、速やかに行うとされています（施行規則第9条）。

委託を受けている側は、委託元の報告の期限に間に合うよう、気づいた時点ですぐに委託元へ知らせることが大切です。誰が、いつ、どの窓口に知らせるかを、契約と社内の手順で決めておきます。委託する側の管理は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)で説明しています。

## 気づいたときに、社内で進めること

報告と通知は、事故への対応の一部です。漏えいに気づいたら、被害を広げない手当て、事実の確認、影響の範囲の把握を並行して進め、その結果を報告に反映します。

- 不正なアクセスが続いていないかを確かめ、必要に応じてシステムを切り離す
- [ログ](https://www.ameliatechnology.co.jp/glossary/log/)や機器の状態を消さずに残す（原因の調査に使うため）
- どの情報が、何人分、どの経路で漏れたおそれがあるかを整理する
- 報告の要否を判断する担当と、専門家への相談の窓口を決める
- 再発を防ぐための対策を決め、確報に書ける形にまとめる

ログを残しておかないと、漏えいの範囲が特定できず、影響を広めに見積もらざるを得なくなることがあります。初動の手順は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)で、ランサムウェアの場合は[ランサムウェアの被害に遭ったときの初動](https://www.ameliatechnology.co.jp/blog/ransomware-first-response/)で説明しています。被害が経営に与える影響は、[脆弱性を放置すると、会社に何が起きるのか](https://www.ameliatechnology.co.jp/blog/vulnerability-business-risk/)で扱っています。

報告の要否、通知の範囲、公表のしかたは、事案ごとに判断が必要です。個別の判断は、弁護士などの専門家にご確認ください。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、事故が起きたときに、被害の範囲の確認、止めるかどうかの判断、復旧、関係先への連絡の準備までを一緒に進めるご支援をしています。専門的な調査（フォレンジック）が必要な場合は、外部の専門の会社と連携してお受けします。事故の前に、連絡の手順や社内の規程を整えておくご相談も承ります。法律上の判断は、弁護士などの専門家と連携して進めていただくようお願いしています。

- 個人情報保護法
- 漏えい
- インシデント対応
- 経営

## この記事に出てくる用語

- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)
- [漏えい等の報告（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/data-breach-report/)
- [ECサイト](https://www.ameliatechnology.co.jp/glossary/ec-site/)
- [不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/)
- [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/)
- [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)
- [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/)
- [ログ](https://www.ameliatechnology.co.jp/glossary/log/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第26条（漏えい等の報告等）
   個人データの漏えいなどで、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告と、本人への通知が求められます。委託を受けた事業者は、委託元への通知で足りる場合があります。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 法令
   個人情報の保護に関する法律施行規則第7条（個人の権利利益を害するおそれが大きいもの）
   報告の対象となる事態として、要配慮個人情報が含まれる個人データの漏えい等、財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が千人を超える漏えい等（いずれも発生したおそれがある場合を含みます）の4つを定めています。高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データは除かれます。
   平成28年個人情報保護委員会規則第3号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/428M60020000003)
- 法令
   個人情報の保護に関する法律施行規則第8条（個人情報保護委員会への報告）
   報告の対象となる事態を知った後、速やかに、その時点で把握している事項を報告し、知った日から30日以内（不正の目的をもって行われたおそれがある場合は60日以内）に、概要・項目・本人の数・原因・再発防止のための措置などの事項を報告するよう定めています。
   平成28年個人情報保護委員会規則第3号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/428M60020000003)
- 法令
   個人情報の保護に関する法律施行規則第10条（本人に対する通知）
   本人への通知は、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で、概要、漏えい等した個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項を通知するよう定めています。
   平成28年個人情報保護委員会規則第3号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/428M60020000003)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「個人データの漏えいが起きたら。委員会への報告と本人への通知｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/