漏えい等の報告（個人情報保護法）

個人情報保護法第26条により、事業者は、個人の権利利益を害するおそれが大きい漏えい・滅失・毀損（そのおそれを含む）が生じたときは、個人情報保護委員会に報告しなければなりません。個人情報保護委員会は、対象を、要配慮個人情報を含む場合、不正に使われると財産的な被害が生じるおそれがある場合、不正の目的によるおそれがある場合（不正アクセスなど）、本人の数が1,000人を超える場合の4つとしています（施行規則第7条）。

報告は2段階です。発覚してから速やかに出す速報（おおむね3〜5日以内）と、原則30日以内に出す確報があり、不正の目的によるおそれがある場合の確報は60日以内とされています。あわせて、本人には、事態の状況に応じて速やかに、概要、漏えいした項目、原因、二次被害のおそれなどを通知します。通知が難しい場合は、公表などの代わりの措置をとります。

期限が短いため、事故が起きてから調べ始めると間に合わないことがあります。誰が判断して報告するか、ログをどこまで残しているか、委託先で起きた場合の連絡の流れを、あらかじめ決めておきます。2026年7月17日に公布された改正法には、本人への通知の扱いの見直しも含まれており、施行の後は扱いが変わる場合があります。個別の判断は弁護士などの専門家にご確認ください。