個人情報漏えいの報告義務とは——報告が必要になる4つの類型
最初に30秒で答えます。すべての漏えいが個人情報保護委員会への報告対象になるわけではありません。報告が義務付けられているのは、次の4つの類型に当てはまる場合（またはそのおそれがある場合）です（出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」）。
| 類型 | 内容 |
|---|---|
| 1. 要配慮個人情報 | 病歴など、取り扱いに特に配慮を要するものとして法律で定められた情報を含む個人データの漏えい等 |
| 2. 財産的被害のおそれ | 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 |
| 3. 不正の目的のおそれ | 不正の目的をもって行われたおそれがある行為による個人データの漏えい等 |
| 4. 1,000人超 | 漏えい等に係る本人の数が1,000人を超える場合 |
ポイントは2つあります。1つは、「おそれ」の段階で対象になることです。実際に漏れたと確定していなくても、漏えいしたおそれがあれば報告の対象になります。もう1つは、自社の事案がどの類型に当たるかの判断は、現場ではそう簡単ではないことです。本記事は公開資料の内容の紹介にとどめます。該当するかどうかは、個人情報保護委員会の相談窓口や専門家に確認してください。迷ったまま相談してかまいません。
なお、発覚直後にやること——消す前に証拠を残す・外部からの入口を閉じる・対応を時系列で記録する——は、この連載の前回で整理しました。本記事はその次の段階、「どこに・いつまでに・何を伝えるか」を扱います。
速報と確報——二段階の期限と、速報は「分かっている範囲」でよい
個人情報保護委員会への報告は、速報と確報の二段階です。期限はどちらも、事態を「知った」時点から数えます。
| 段階 | 期限 | 報告する内容 |
|---|---|---|
| 速報 | 速やかに（知った時点から概ね3〜5日以内が目安） | その時点で把握している内容 |
| 確報 | 知った日から30日以内（不正の目的のおそれがある類型は60日以内） | 必要な事項のすべて |
個人情報保護法ガイドライン（通則編）には、速報の「速やか」の目安は個別の事案によるものの概ね3〜5日以内であること、確報の30日・60日は報告期限であり、可能である場合にはより早期に報告することが望ましいことが書かれています（出典：個人情報保護法ガイドライン（通則編））。速報の時点ですべてが判明している必要はありません。逆に、速報の段階で必要な事項をすべて報告できた場合は、1回の報告で速報と確報を兼ねられるともされています。
報告は、委員会のWebサイトにある漏えい等報告フォームから行います。漏えいした情報にマイナンバーが含まれる場合は専用の窓口になる、監督権限が委任されている業種では所管の省庁に報告する、といった分岐があるため、前出の「漏えい等の対応とお役立ち資料」のページから、自社に当てはまる窓口を確認してください。
実務で迷いやすいのが、期限の起点になる「知った」時点の考え方です。担当者が異変に気づいた日なのか、調査で漏えいのおそれが具体的になった日なのか、事案ごとに整理が必要になります。ここで悩んで時間を使うより、窓口に相談して進め方を確認する方が速く、相談したこと自体が対応の記録にも残ります。
本人への通知——「状況に応じて速やかに」、様式は決まっていない
報告対象の事態では、本人への通知も義務になります。通則編には、通知は「当該事態の状況に応じて速やかに」行うこと、通知の様式は法令上定められていないこと、そして方法の例として、文書を郵便等で送付すること・電子メールを送信することが挙げられています。通知する事項は、次の5つとされています。
- 事態の概要
- 漏えい等が発生した（または発生したおそれがある）個人データの項目
- 原因
- 二次被害またはそのおそれの有無と、その内容
- その他参考となる事項
これらがすべて判明するまで通知しなくてよい、というわけではないともされています。調査の途中であれば、その時点で分かっていることを伝える形です。また、保有する個人データに本人の連絡先が含まれていないなど通知が困難な場合は、事案の公表や、問い合わせ窓口を設けて本人が自分の情報が対象かどうかを確認できるようにする、といった代替措置をとることができるとされています。
弊社がある事業者の対応を支援したときは、通知文を1種類で済ませず、対象者を層に分けて用意しました。全員に同じ文面を送るより、対象者ごとの状況に即して書き分ける方が、受け取った側は自分への影響を判断しやすく、問い合わせの集中も抑えられます。もうひとつの教訓は、登録されたメールアドレスに打ち間違いがあり、通知を送っても届かない相手がいたことです。通知の実務は、日頃の登録データの正確さに支えられます。宛先や入力のミスを仕組みで減らす方法はメール誤送信の対策で書いたとおりです。
委託先で漏えいが起きたら——ガイドラインが示す役割分担
外注先が運用するシステムや、委託先に渡したデータから漏えいが起きた場合はどうなるのか。通則編には、個人データの取扱いを委託している場合、原則として委託元と委託先の双方が報告する義務を負うと書かれています。そのうえで、委託先が委託元に事態の発生を通知したときは、委託先は報告義務を免除され、委託元が報告する、という整理です。この委託元への通知の目安も、委託先が知った時点から概ね3〜5日以内とされています。本人への通知も同じ構造です。
つまり、「作った会社が報告してくれるはず」と「発注元がやるはず」のすれ違いが起き得る構造です。事故が起きてから初めて話し合うのでは、速報の目安である3〜5日はすぐに過ぎてしまいます。契約の段階で、次の3つを決めておくことをおすすめします。
- 事故に気づいたら、どちらが・いつまでに・どの連絡先へ知らせるか
- 委員会への報告と本人への通知を、どちらが主導して行うか
- 調査に必要なログや記録を、どちらが・どれだけの期間保管しているか
外注先に契約前に聞いておく質問の全体はシステム開発を外注するときのセキュリティチェックリストにまとめています。なお、個別の事案で誰にどの義務があるかは、委託の形態によっても変わるため、本記事では断定できません。迷ったら窓口や専門家に確認してください。
実務で詰まった点と、早めに相談する価値
最後に、弊社がある事業者の報告と通知を支援したときに、実際に手が止まった点を挙げます。制度の説明だけを読むと流れは単純に見えますが、報告書に書く数字をまとめる段階でつまずきやすいのは、次のような点でした。
- 対象人数の数え方——登録データに重複登録やテスト用の登録が混ざっていて、そのままでは「何人」と言えない。数え方の方針を先に決めてから集計する必要がありました
- 漏えいした項目の洗い出し——データベースの項目一覧だけでは足りず、預かっていた画像に写っている情報も、漏えいした項目として数える必要がありました
- 通知が届かない相手——メールアドレスの打ち間違いで、通知を送っても届かない対象者がいました。別の手段の検討も含め、通知の完了までに時間がかかります
そして、このケースでいちばん効いたのは、早い段階で個人情報保護委員会の窓口に相談したことでした。報告の要否や進め方など、判断に迷っていた点が相談で解消し、その後の対応がはっきりしました。報告の制度は「隠さず、早く動いた記録を残す」ことを前提に組み立てられています。期限の計算に悩む時間があるなら、その時間で窓口に連絡する方が建設的です。
平時の備えも、報告の質をそのまま左右します。影響範囲を絞り込めるかどうかは、ログが残っているかどうかで決まります（ログの保存期間はどれくらい必要？）。どこに・何の個人情報が・何件くらいあるか（顧客名簿・フォームの回答・預かった画像など）の一覧は、総務や情報システムを兼務している方が30分あれば最初の版を作れます。今日この1枚を作っておくだけで、事故のときに人数と項目の集計で迷う時間が減ります。パソコンの紛失のように場面が決まっている事故は、暗号化などの事前設定で事故後の負担が変わります（会社のパソコンを紛失したら）。情報漏えいの原因ランキングの回から始まったこの30日連載は、明日が最終回です。30日分の点検項目を1枚のチェックリストに整理します。
本記事の内容は、2026年11月時点で公表されている資料をもとに編集部が整理したものです。個別の事案への当てはめを示すものではありません。最新の情報は各出典でご確認ください。
「事故のときに困らない状態」へ、平時の点検から始める
報告と通知の実務は、平時にどこまで整えているかで決まります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. 個人情報が漏えいしたら、すべて個人情報保護委員会への報告が必要ですか？
いいえ、すべてではありません。報告が義務付けられているのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合、の4類型（またはそのおそれ）とされています。ただし、自社の事案が該当するかどうかの判断は難しいため、個人情報保護委員会の相談窓口や専門家に早めに確認してください。迷ったまま相談してかまいません。
Q. 速報の期限までに全容が分かりません。どうすればよいですか？
速報は、その時点で把握している内容を報告するものとされています。ガイドラインでは、速報は知った時点から概ね3〜5日以内が目安、確報は30日以内（不正の目的のおそれがある類型は60日以内）が期限です。全容の解明を待って速報を遅らせるのではなく、分かっている範囲で速報を出し、調査で判明したことを確報で報告します。進め方に迷う場合は、個人情報保護委員会の窓口に相談できます。
Q. 本人への通知は、メールで送ってもよいのですか？
個人情報保護法ガイドライン（通則編）では、通知の様式は法令上定められておらず、文書を郵便等で送付する方法や、電子メールを送信する方法が例として挙げられています。通知すべき内容が本人に認識される、合理的かつ適切な方法で行うこととされています。連絡先を保有していないなど通知が困難な場合は、事案の公表や問い合わせ窓口の設置といった代替措置をとることができるとされています。
Q. 外注先のシステムから漏えいした場合、報告するのはどちらですか？
ガイドラインでは、個人データの取扱いを委託している場合、原則として委託元と委託先の双方が報告義務を負い、委託先が委託元に通知したときは委託先の報告義務が免除される（委託元が報告する）、と整理されています。実際の役割分担は契約や委託の形態によるため、事故が起きる前に「気づいたらどちらが・いつまでに・誰へ知らせるか」を決めておき、迷ったら個人情報保護委員会の窓口や専門家に確認してください。