個人情報の漏えい報告 早見表(いつまでに・どこへ)
メールの誤送信、書類の紛失、不正アクセス——個人データの漏えい等が起きたとき、すべてを報告する必要はありません。報告が義務になるのは4つの類型に当たる場合です。該当したら速報を概ね3〜5日以内、確報を30日以内(不正目的は60日以内)に個人情報保護委員会へ。判定と期限を1枚にまとめました。
本表は2026年度時点の個人情報の保護に関する法律(令和4年4月1日施行の改正後)にもとづく一般的な情報です。実際の手続き・判断は公式情報および専門家にご確認ください。
🔐 漏えい報告 即答ボックス
表1: 報告が義務になる4類型
個人データの漏えい・滅失・毀損(「漏えい等」)が発生し、または発生したおそれがある場合で、次のいずれかに当たるときは、個人情報保護委員会への報告と本人への通知が義務です。
| # | 類型 | 例 |
|---|---|---|
| 1 | 要配慮個人情報が含まれる事態 | 健康診断の結果、病歴、障害の有無などを含むデータの漏えい |
| 2 | 財産的被害が生じるおそれがある事態 | クレジットカード番号や送金に使える情報の漏えい |
| 3 | 不正の目的をもって行われた漏えい等が発生した事態 | 外部からの不正アクセスによるデータ窃取、マルウェア感染、従業者による顧客データの不正な持ち出し、盗難 |
| 4 | 本人の数が1,000人を超える漏えい等 | システムの設定ミスでインターネット上に1,000人超の個人データが閲覧できる状態になった |
※ 「不正の目的をもって」の主体は従業者だけでなく、盗難等の第三者も含みます。
※ 4類型に当たらない小規模な事案でも、個人情報保護委員会への任意の報告は可能です。社内での事実確認・再発防止は、報告義務の有無にかかわらず必要です。
表2: 期限(速報と確報)
| 区分 | 期限 | 内容 |
|---|---|---|
| 速報 | 速やかに(概ね3〜5日以内) | 発覚時点で把握している内容を報告。全項目が分からなくても、分かっている範囲で提出します |
| 確報 | 発覚した日から30日以内 | すべての報告事項を報告 |
| 確報(不正の目的で行われたおそれがある場合) | 発覚した日から60日以内 | 同上 |
| 本人への通知 | 当該事態の状況に応じて速やかに | 概要、漏えい等が生じた個人データの項目、原因などを本人にとって分かりやすい方法で |
報告は個人情報保護委員会のウェブサイトで受け付けています。
本人への通知が困難な場合は、代替措置としてホームページ等での公表や問合せ窓口の設置を行うことも可能です。通知の方法の例は文書の郵送・電子メールの送信です。
表3: 判定の例
| ケース | 報告義務 | 理由 |
|---|---|---|
| メールマガジンをBCCではなくCCで一括送信し、1,000人超のメールアドレスが相互に見える状態になった | 必要 | 類型4(1,000人超) |
| 同じ誤送信だが宛先が50人だった | 4類型に当たらなければ任意 | 件数が1,000人以下で、他の類型にも当たらない場合 |
| 健康診断結果の一覧を誤って別の部署に送った | 必要 | 類型1(要配慮個人情報)。人数にかかわらず対象 |
| サーバーが不正アクセスを受け、データが窃取された(件数不明) | 必要 | 類型3。「おそれ」の段階で対象。確報の期限は60日以内 |
| 従業者が顧客の個人データを不正に持ち出して第三者に提供した | 必要 | 類型3 |
| マルウェアに感染したPCから、外部のIPアドレスへの通信が確認された | 必要 | 類型3(漏えいのおそれ) |
| 不正検知の専門家など第三者から漏えいのおそれについて連絡を受けた | 必要 | 類型3(漏えいのおそれ) |
最終的な該当性の判断は事案ごとに異なります。迷う場合は、報告しない判断を自社だけで確定させず、個人情報保護委員会の相談ダイヤルにご確認ください。
発生時の社内フロー(順番を間違えない)
- 事業者内部における報告と被害の拡大防止 — まず責任者へ報告し、通信の遮断・アカウント停止など被害が広がるのを止める
- 事実関係の調査と原因の究明 — いつ・何が・どの範囲で・何件
- 影響範囲の特定
- 再発防止策の検討と実施
- 個人情報保護委員会への報告(速報 → 確報)と本人への通知
マイナンバー(特定個人情報)が含まれる場合は、番号法にもとづく別の報告ルートがあります(マイナンバー取扱いの実務早見表)。従業員の個人データを扱う人事・総務は、健康診断結果やストレスチェックの結果が要配慮個人情報にあたる点に特に注意してください(健康診断の実施義務早見表)。
よくある質問
Q1. 1件の紛失でも報告が必要?
A. 件数だけでは決まりません。要配慮個人情報が含まれていれば1件でも報告義務があります(類型1)。逆に、要配慮個人情報も財産的被害のおそれもなく、不正の目的でもなく、1,000人以下であれば報告義務はありません(任意の報告は可能です)。
Q2. 「おそれ」の段階でも報告する?
A. します。条文上、報告義務の対象は「漏えい等が発生し、又は発生したおそれがある事態」です。不正アクセスのように、漏えいの事実が確定していなくてもおそれの段階で報告が必要です。確定を待って30日を過ぎないよう注意してください。
Q3. 速報の時点で全部わからない。
A. 構いません。速報はその時点で把握している内容を報告するものです。全項目が判明していなくても、分かっている範囲で速やかに(概ね3〜5日以内に)提出し、残りは確報で補います。
Q4. 委託先で漏えいが起きた場合は?
A. 原則として委託元と委託先の双方に報告義務があります。ただし、委託先が委託元に対して通知したときは、委託先は報告義務を免れます(その場合、委託元が報告します)。委託契約に、漏えい時の通知義務と期限を入れておいてください。
Q5. 本人への通知はどこまで?
A. 当該事態の状況に応じて速やかに、概要・漏えい等が生じた個人データの項目・原因などの内容を、本人にとって分かりやすい方法で行います。方法の例は文書の郵送・電子メールの送信です。通知が困難な場合は、ホームページ等での公表や問合せ窓口の設置といった代替措置も認められます。
Q6. 報告しなかったらどうなる?
A. 個人情報保護委員会による指導・助言、勧告、命令の対象になり、命令に違反した場合には罰則があります。報告義務の判断に迷う事案は、報告しない判断を自社だけで確定させないことをおすすめします。
関連する早見表
出典(すべて官公庁の一次情報)
- 個人情報保護委員会「漏えい等報告・本人への通知が義務化されます!!」[PDF] — 4類型・速報(概ね3〜5日以内)・本人通知の方法(表1・表2の出典)
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — 報告の期限・報告が必要な場合の詳細(表1〜表3の出典)
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
- 個人情報保護委員会「個人データの漏えい等の事案が発生した場合等の対応について」 — 発生時の社内フロー
- 個人情報の保護に関する法律26条(漏えい等の報告等)/同法施行規則7条・8条 — 本表の法定根拠
※ 本ページの表・数値は、上記の出典(公表値・法令の算式)をもとに当サイトが計算・編集(加工)して作成したものです。出典元の機関が作成したものではありません。
※ 本表は一般的な情報です。実際の手続き・判断は公式情報および専門家にご確認ください。個別の事案の報告要否にはお答えできません。個人情報保護委員会へ。
最終更新: 2026-09-16