個人情報の漏えい報告の義務と期限｜速報3〜5日・確報30日/60日・本人通知(個人情報保護委員会)
仕様確認・更新日: · 編集: 株式会社ウェステリア
個人データが漏えいした、またはそのおそれがあるとき、一定の場合には個人情報保護委員会への報告と本人への通知が法律上の義務になります。「何件から報告が要るのか」「3〜5日はいつから数えるのか」「委託先で起きたら誰が報告するのか」は、事案が起きてから調べると間に合いません。この記事では、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン(通則編)」の原文をもとに、報告の対象・期限・本人通知を整理します。内容は2026-10-06時点で確認したものです。
結論から
- 報告が必要なのは4つの事態です。要配慮個人情報、財産的被害のおそれ、不正の目的(不正アクセスやランサムウェアなど)、本人の数が1,000人を超える漏えい等で、どれも「おそれ」の段階から対象になります
- 速報は、事態を知った後「速やかに」で、目安は概ね3〜5日以内です。確報は知った日から30日以内、不正の目的による事態は60日以内です。法人では、いずれかの部署が知った時点から数えます
- 報告の対象になる事態では、本人への通知も必要です。2026年7月に成立した改正法で本人通知の緩和などが決まりましたが、施行は公布から2年以内とされ、細かな内容は今後の規則で定まります
結論: 何を、いつまでに、誰に
この義務は、個人情報保護法第26条と、個人情報保護委員会規則第7条〜第10条に基づくものです。報告の対象にならない漏えいでも、任意で委員会に報告することはできます。
| 項目 | 内容 | ガイドライン(通則編) |
|---|---|---|
| 報告の対象 | 4つの事態のいずれか(おそれを含む) | 3-5-3-1 |
| 速報の期限 | 事態を知った後、速やかに(目安は概ね3〜5日以内) | 3-5-3-3 |
| 確報の期限 | 知った日から30日以内(不正の目的による事態は60日以内) | 3-5-3-4 |
| 報告先 | 個人情報保護委員会(権限が事業所管大臣に委任されている場合はその大臣) | 3-5-3-3 |
| 報告の方法 | 原則として、委員会のホームページの報告フォームに入力 | 3-5-3-3 |
| 本人への通知 | 事態の状況に応じて速やかに。困難な場合は公表などの代替措置 | 3-5-4 |
報告が必要な4つの事態
規則第7条は、次のいずれかに当たる事態を報告の対象にしています。どれも「発生し、又は発生したおそれがある事態」で、漏えいが確定していなくても対象です。
- (1) 要配慮個人情報が含まれる個人データの漏えい等(例: 患者の診療情報、従業員の健康診断の結果)
- (2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等(例: クレジットカード番号、送金・決済機能のあるサービスのIDとパスワード)
- (3) 不正の目的をもって行われたおそれがある行為による個人データの漏えい等(例: 不正アクセス、ランサムウェアで暗号化され復元できない、従業者による持ち出し、Webの入力ページの改ざん)
- (4) 個人データに係る本人の数が千人を超える漏えい等
ランサムウェア・不正アクセスは(3)に当たる
ガイドラインは(3)の例として、不正アクセスによる漏えいと、ランサムウェアで個人データが暗号化されて復元できなくなった場合を挙げています。不正の行為の主体には従業者も含まれ、相手方には委託先や、利用している外部サービスの提供者も含まれます。
(3)は、取得しようとしている個人情報で、個人データとして扱う予定のものも対象です。Webサイトの入力ページが改ざんされ、入力された情報が第三者に送られた場合がこれに当たります。
「おそれ」と「1,000人」の考え方
「おそれ」は、その時点で分かっている事実から、漏えいが疑われるが確証がない場合をいいます。ガイドラインは例として、データが盗まれた痕跡がある、情報を盗むマルウェアの感染が確認された、専門家などから根拠のある連絡を受けた、などを挙げています。
(4)の人数は、当初1,000人以下でも、後から1,000人を超えた時点で該当します。人数が確定できない場合は、最大で1,000人を超えるなら該当します。
報告が要らない場合
漏えいしたデータに高度な暗号化などの秘匿化がされている場合は、報告を要しません。
速報: 概ね3〜5日以内に、分かっている範囲で
規則第8条第1項は、事態を「知った後、速やかに」報告するよう定めています。ガイドラインは「速やか」の目安を、知った時点から概ね3〜5日以内としています。
起算点の「知った」時点は、法人の場合、いずれかの部署が事態を知った時点です。情シスや経営者が知った時点ではない点に注意してください。
速報では、報告しようとする時点で把握している内容を報告すれば足ります。報告する事項は次の9つです。
- 概要(発生日、発覚日、発生事案、発見者、4つの事態のどれに当たるか、委託元・委託先の有無、経過)
- 漏えい等が発生し、又は発生したおそれがある個人データの項目
- 本人の数
- 原因
- 二次被害又はそのおそれの有無及びその内容
- 本人への対応の実施状況
- 公表の実施状況
- 再発防止のための措置(実施済みと今後の予定に分ける)
- その他参考となる事項
確報: 30日以内、不正の目的なら60日以内
規則第8条第2項は、事態を知った日から30日以内(不正の目的による事態は60日以内)に、9つの事項を報告するよう定めています。不正の目的による事態が、ほかの事態(要配慮個人情報、財産的被害、1,000人超)にも当たる場合も60日以内です。
期限は、知った日を1日目として数えます。土日・祝日も含めますが、30日目または60日目が土日・祝日・年末年始の閉庁日(12月29日〜1月3日)に当たる場合は、その翌日が期限です。
確報では9つの事項をすべて報告します。合理的な努力をしても一部が分からない場合は、その時点の内容を報告し、分かり次第追加します。速報の時点で全部報告できるなら、1回で速報と確報を兼ねることもできます。
| 事態 | 速報 | 確報 |
|---|---|---|
| (1) 要配慮個人情報 | 概ね3〜5日以内 | 30日以内 |
| (2) 財産的被害のおそれ | 概ね3〜5日以内 | 30日以内 |
| (3) 不正の目的(不正アクセス・ランサムウェアなど) | 概ね3〜5日以内 | 60日以内 |
| (4) 本人の数が1,000人超 | 概ね3〜5日以内 | 30日以内 |
本人への通知
報告の対象になる事態では、本人への通知も必要です(法第26条第2項)。時期は「当該事態の状況に応じて速やかに」です。ガイドラインは、掲示板に流出したデータの削除依頼などの初期対応が終わっておらず、通知でかえって被害が広がるおそれがある場合などを、その時点で通知しなくてよい例として挙げています。
通知する事項は、概要、漏えいした個人データの項目、原因、二次被害のおそれ、その他参考となる事項(本人が取れる措置など)です。全部が分かるまで待つ必要はありません。方法は、郵便などでの文書の送付や、電子メールの送信です。
本人の連絡先を持っていない、連絡先が古いなどで通知が難しい場合は、代替措置が認められます。代替措置の例は、事案の公表と、問い合わせ窓口を設けて本人が自分のデータが対象かを確認できるようにすることです。
委託先で起きたとき
個人データの取扱いを委託している場合、報告の対象になる事態では、原則として委託元と委託先の双方が報告の義務を負います。連名での報告もできます。
委託先が、報告義務のある委託元に、その時点で把握している事項を通知した場合は、委託先の報告義務と本人への通知義務は免除されます。この通知の目安も、委託先が知った時点から概ね3〜5日以内です。委託元は、遅くとも通知を受けた時点で事態を知ったことになり、そこから期限が始まります。
国内でも、委託先の被害から委託元が漏えいのおそれを公表した事案が続いています。委託契約に、事故時の通知の期限と連絡先を書いておくことが、この期限を守る前提になります。
ほかの報告義務と、2026年の改正
マイナンバーを含む特定個人情報の漏えい等は、番号法に基づく個人情報保護委員会への報告の対象です。業法やガイドラインで、所管官庁への事故報告が別に求められる場合もあります。
基幹インフラの事業者(法律上は特別社会基盤事業者)は、2026年10月1日からサイバー対処能力強化法による報告も必要です。報告等に関する命令第4条第2項は、認知した後速やかに報告し、認知した日から30日以内に報告書を出すと定めています。内閣府などの解説では、速報の目安はランサムウェアなどが認知した日から3〜5日以内、DDoS攻撃が可能なかぎり速やか、詳報が30日以内です。
個人情報保護法の改正法は2026年7月10日に成立し、7月17日に公布されました。施行は原則として公布から2年以内です。改正では、本人の権利利益の保護に欠けるおそれが少ない場合の本人通知の緩和が決まりました。委員会の資料では、第三者の確認を前提とした一定範囲の速報の免除や、サイバー対処能力強化法の報告とあわせた窓口の一元化も示されています。具体的な範囲は今後の委員会規則などで定まるため、2026-10-06時点では、この記事で説明した現行のルールで対応してください。
法律上の報告とは別に、国から情報提供の協力を求められることもあります。経済産業省は2026年10月9日、所管業界の事業者に、被害が起きたら担当課室(業所管課室)へ速やかに一報するよう依頼しました。
伝える内容は、発覚から現在までの時系列、被害状況、攻撃の種類などです。可能な範囲で提供するよう求めています。経済産業省は、事業者の同意なく公表しないとしています。承諾を得たうえで、国家サイバー統括室に共有する場合があるとも書いています。
国家サイバー統括室も同じ日、被害にあった組織に、攻撃の技術的な情報を統括室・所管省庁・専門機関へ速やかに共有するよう求めました。
個人情報保護委員会は2026年10月7日の注意喚起で、ガイドライン(通則編)別添の「手法の例示」を見直す予定を示しました。確定は2027年4月の予定で、技術的安全管理措置の見直し後の内容を先取りして公表しています。
出典: 内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」(2026-10-01) / e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」 / 個人情報保護委員会「令和8年 改正個人情報保護法」 / 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」(2026年7月) / 経済産業省 商務情報政策局「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」(2026-10-09) / 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」(2026-10-09) / 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について(注意喚起)」本文PDF(2026-10-07)
よくあるご質問
- 漏えいしたのが数十人分でも報告は必要ですか
- 人数だけでは決まりません。1,000人以下でも、要配慮個人情報が含まれる、財産的被害のおそれがある、不正アクセスなど不正の目的による、のいずれかに当たれば報告の対象です。
- 漏えいが確定していなくても報告するのですか
- はい。4つの事態はどれも「発生したおそれがある事態」を含みます。データが盗まれた痕跡がある、情報を盗むマルウェアの感染が確認された、などの段階で報告の対象になり得ます。速報は、その時点で分かっている範囲で足ります。
- 3〜5日はいつから数えますか
- 事態を知った時点からです。法人の場合は、いずれかの部署が知った時点が基準になります。確報の30日・60日は、知った日を1日目として土日・祝日も含めて数え、最終日が休日なら翌日が期限です。
- ランサムウェアで暗号化されただけで、盗まれた形跡がない場合はどうですか
- ガイドラインは、ランサムウェアなどで個人データが暗号化され、復元できなくなった場合を、不正の目的による事態の報告事例に挙げています。漏えいだけでなく、滅失・毀損も対象だからです。
- 委託先で漏えいが起きたら、誰が報告しますか
- 原則として委託元と委託先の双方に義務があります。委託先が委託元に、把握している事項を速やかに(目安は概ね3〜5日以内)通知すれば、委託先の報告と本人通知の義務は免除され、委託元が報告します。