個人情報が漏えいしたら：個人情報保護委員会への報告と本人への通知の期限

個人データの漏えいは、誤送信や紛失のような身近なミスからも起こります。いざというときに慌てないよう、どんなときに報告が必要か と いつまでに何をするか を押さえておきましょう。

この記事は、2026年10月時点の現行の個人情報保護法、施行規則、個人情報保護委員会のガイドライン（通則編）にもとづいています。

報告が必要になる4つの場合

個人データの漏えい、滅失、毀損（以下「漏えい等」）が起きたか、起きたおそれがある ときに、次のどれかに当たれば、個人情報保護委員会への報告と本人への通知が必要です（個人情報保護法 第26条、施行規則 第7条）。

	当たる場合	例
1	要配慮個人情報を含む	健康診断の結果、病歴を含む書類の誤送付
2	不正に使われると財産的な被害が出るおそれがある	クレジットカード番号、ネットバンキングの ID とパスワード
3	不正の目的によるおそれがある	不正アクセス、ランサムウェア、従業者による不正な持ち出し
4	本人の数が1,000人を超える	顧客名簿の誤公開

ポイントは次の2つです。

• 「おそれ」も対象：漏えいが確定していなくても、その時点の事実から漏えい等が疑われれば対象になる。確証を待たずに動く
• 人数の条件は4だけ：1〜3は、1人分でも対象になる。4は1,000人を「超える」ときで、ちょうど1,000人は人数だけでは当たらない

3の場合は、個人データとして扱う予定の、取得した（または取得しようとしている）個人情報も対象に含まれます。

なお、高度な暗号化など、本人の権利利益を守るために必要な措置がとられている場合は、報告の対象になりません。ただし、暗号化していれば自動的に対象外になるわけではなく、その時点の技術の水準で第三者が読み取れないことや、復号の鍵が適切に管理されていることが必要です。

いつまでに報告するか

報告は2段階です。

	期限	内容
速報	知ってから 速やかに（ガイドラインの目安は概ね3〜5日以内）	その時点で分かっていること
確報	知った日から 30日以内（3の不正の目的のおそれがある場合は 60日以内。3とほかの場合に同時に当たるときも60日以内）	報告すべき事項のすべて

• 「知った」とは、会社のいずれかの部署が知った時点です
• 日数は、知った日を1日目として、土日・祝日も含めて数えます。期限の日が土日・祝日・年末年始（12月29日〜1月3日）に当たる場合は、休みが明けた最初の平日が期限です
• 速報の時点ですべての事項を報告できれば、1回で速報と確報を兼ねられます
• 確報の期限までに手を尽くしても分からない事項がある場合は、分かっている内容を期限内に報告し、判明したら追加で報告します
• 3〜5日は条文ではなくガイドラインの目安です。30日・60日も期限であり、できるだけ早く報告することが望ましいとされています

報告は、原則として個人情報保護委員会のウェブサイトの報告フォームから行います。業種によっては、報告先が事業を所管する省庁になる場合があります（自社の従業者や株主の情報は委員会に報告します）。報告先と方法は、委員会の「漏えい等の対応とお役立ち資料」のページで確かめてください。

本人への通知

報告の対象になる場合は、本人への通知も必要です（施行規則 第10条）。

• いつ：状況に応じて速やかに
• 何を：漏えい等の概要、漏えい等が起きた（またはおそれがある）個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考になる事項を、本人の権利利益を守るために必要な範囲で
• どうやって：郵便や電子メールなど、本人に分かりやすい方法で

本人の連絡先が分からないなど、通知が難しい場合に限って、本人の権利利益を守るために必要な代わりの措置をとることが認められています。たとえば、事案を公表することや、本人が自分の情報が対象かを確かめられる問い合わせ窓口を設けて、その連絡先を公表することです。

委託先で起きたとき

業務を委託している場合、原則として 委託元と委託先の両方 に報告の義務があります。連名で報告することもできます。

委託先が、報告の義務がある委託元に、報告すべき事項のうちその時点で分かっていることを速やかに通知した場合は、委託先の報告と本人への通知の義務はなくなり、委託元が報告します。中小企業は委託先になることも多いため、取引先との契約で、事故のときに誰にいつまでに知らせるかを決めておきましょう。

Pマークを取得している場合

Pマーク（プライバシーマーク）の付与を受けている事業者は、個人情報保護委員会への報告とは別に、Pマーク制度の決まりにもとづいて事故等を報告する必要があります。

• 報告の方法：Pマークポータルサイトの事故報告システムから報告する。報告は審査機関と付与機関に共有されるため、付与機関（JIPDEC）へ別に報告する必要はない
• 対象：漏えいのほか、目的外の利用、不正な取得なども含まれ、法律上の報告より範囲が広い
• 期限：原則として発覚した日から30日以内（不正の目的によるおそれがある場合は60日以内）。重大な事故は、概ね3〜5日以内に速報する

法律上の報告と制度上の報告は別のものなので、両方の対応が必要になる場合があります。詳しくは JIPDEC の「事故等の報告」の案内で確かめてください。

2026年の法改正について

2026年7月17日に、個人情報保護法の改正法（令和8年法律第56号）が公布されました。個人情報保護委員会の概要資料では、漏えい等の報告と本人への通知について、次のような見直しが示されています。

• 本人の権利利益の保護に欠けるおそれが少ない場合に、本人への通知を代わりの措置に置き換えられるようにする
• 違法な個人データの第三者提供を、報告の対象に加える

これらの部分は、原則として公布から2年以内の、政令で定める日に施行されます（一部、施行の時期が異なる規定もあります）。詳しい基準も今後、委員会規則などで定められます。施行されるまでは、この記事で説明した現行の決まりに従ってください。

いまから準備できること

1. 漏えいに気づいたときの社内の連絡先と、判断する責任者を決めておく
2. 報告の4つの場合と期限を、1枚の紙にまとめて共有する
3. 委託先・委託元との間で、事故のときの連絡の手順を決めておく
4. 従業者に、誤送信・紛失に気づいたらすぐに報告するよう教育する

ランサムウェアの被害に遭ったときの初動は、ランサムウェアに感染したらで解説しています。

出典

• 個人情報の保護に関する法律（e-Gov 法令検索）
• 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）
• 漏えい等の対応とお役立ち資料（個人情報保護委員会）
• 令和8年 改正個人情報保護法について（個人情報保護委員会）
• 改正法の概要（PDF、個人情報保護委員会）
• 事故等の報告（プライバシーマーク制度、JIPDEC）

よくある質問

漏えいしたかどうか、まだはっきりしません。報告は必要ですか？

報告の対象には「漏えい等が発生したおそれがある事態」も含まれます。その時点で分かっている事実から漏えい等が疑われるなら、確証が得られるのを待たずに速報してください。

1人分の漏えいでも報告が必要ですか？

1,000人を超える場合のほかは、人数にかかわらず対象になります。たとえば、要配慮個人情報を含む個人データや、不正アクセスによる漏えいのおそれは、1人分でも報告の対象です。

委託先で漏えいが起きた場合、誰が報告しますか？

原則として、委託元と委託先の両方に報告の義務があります。委託先が委託元に速やかに通知した場合は、委託先の報告義務はなくなり、委託元が報告します。