個人情報が漏れたら｜報告の期限と、何を書いて出すのか

2026年9月9日 16:24

社員が顧客名簿の入ったノートパソコンを電車に置き忘れた。
サーバに不正アクセスされた形跡があるが、何が持ち出されたかは分からない。

このとき、会社は国に報告しなければならないのか。
しなければならないとして、いつまでに、何を書いて出すのか。

先に答えを書きます。
報告は速報と確報の2段階が前提です。
速報の目安は「概ね3～5日以内」、確報は知った日から30日以内、不正の目的による場合は60日以内。
そして期限の起算点は「いずれかの部署が知った時点」です。
社長に上がってきた日ではありません。

書く内容も決まっています。
委員会に出すのは9項目、本人に伝えるのはそのうち5項目です。
ただし9項目は「報告をしようとする時点において把握しているものに限る」と条文に書いてあるので、埋まらないことは遅らせる理由になりません。

この記事は、個人情報保護法と同法施行規則の条文、個人情報保護委員会のガイドライン（通則編）・年次報告・改正法の公布資料、国家サイバー統括室の資料をもとに、2026年9月時点の内容にしています。

どこからが、報告しなければならない事態か

報告義務は法律に書かれている

個人情報保護法第26条第1項です。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

2022年4月から義務になりました。
それ以前は努力義務でしたので、当時の感覚のまま社内で処理して終わりにしている会社が、まだあります。

条文が「個人情報保護委員会規則で定めるもの」と投げているので、中身は施行規則を見ることになります。

4つの類型のどれかに当たれば、報告

施行規則第7条です。
実務では「報告対象事態」と呼ばれますが、これは通称で、条文の見出しは「個人の権利利益を害するおそれが大きいもの」です。
4つの号を、原文のまま並べます。

一　要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二　不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三　不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四　個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

括弧書きを外して読むと、こうなります。
要配慮個人情報が含まれる場合。
財産的被害が生じるおそれがある場合。
不正の目的をもって行われたおそれがある行為による場合。
本人の数が千人を超える場合。

3号が、実務でいちばん問題になります。
不正アクセス、盗難、従業員による持ち出しが、ここに当たり得ます。

4つは「いずれか1つに当たれば報告」という関係です。
全部を満たす必要はありません。

1,000人は、4つのうちの1つにすぎない

いちばん誤解されるのが人数です。
「うちは数十件だから報告しなくていい」という判断が、いまだによく聞かれます。

人数の基準は4つのうちの1つです。
不正の目的をもって行われたおそれがある行為、たとえば不正アクセスによって顧客データが1件でも外に出たおそれがあれば、3号に当たります。
人数は関係ありません。
病歴を含む名簿なら、1件でも1号です。

なお人数の数え方について、ガイドラインに補足があります。

「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で規則第 7 条第 4 号に該当することになる。

途中で増えたら、増えた時点で該当します。
最初に数えた数字で確定させないでください。

冒頭の2つを、この4つに当ててみる

サーバへの不正アクセスは、3号です。
何が持ち出されたかが分からなくても、当たり得ます。

ノートパソコンの置き忘れは、少し違います。
置き忘れそのものは不正の目的をもって行われた行為ではないので、3号には当たりません。
1号（要配慮個人情報が入っていたか）と4号（千人を超えるか）で決まります。
ただし、置き忘れではなく盗まれたと考えるべき事情が出てくれば、3号の話になります。

同じ「なくした」でも、なくし方と中身で結論が変わるということです。

行政機関等と取引がある会社は、相手の基準が違う

自治体や独立行政法人は、民間とは別の条文で動きます。
規則第43条です。

違いが2つあります。
1つは人数で、こちらは「百人を超える」。
もう1つは類型の数で、地方公共団体の機関と地方独立行政法人には5つ目があります。
条例で条例要配慮個人情報が定められている場合の、その情報についての漏えい等です。

人数の面では、こちらより低い基準で相手が動いています。
これを知っておくと、事故のときの連絡の温度差に驚かずに済みます。

「漏えいした」ではなく「漏えいのおそれ」で足りる

規則第7条の各号は、どれも「漏えい等が発生し、又は発生したおそれがある事態」で終わっています。
確定していなくてよい、ということです。

では「おそれ」とは何か。
ガイドライン（通則編）に定義があります。

報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

疑われるものの確証がない場合が、これに該当する。
そう書いてあります。
疑う根拠はあるのに証拠が固まらない、という段階が対象です。
証拠がないから報告しない、は逆になります。

「おそれ」の具体例が、5つ挙がっている

サイバー攻撃については、ガイドラインが例を並べています。
原文のまま、5つとも引きます。

（ア）個人データ（個人情報データベース等へ入力する予定の個人情報を含む。（イ）において同じ。）を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合
（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合
（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合
（エ）個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合
（オ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

5つのうち4つが、痕跡・感染・通信・改ざんが「確認された場合」で終わっています。
何が持ち出されたかまで分かっている必要はありません。
残る1つは、第三者から連絡を受けた場合です。

従業員の持ち出しについても例があります。

従業者による個人データ又は個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データ又は個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

ランサムウェアは「毀損」に当たる

暗号化されただけで外に出た形跡がない場合はどうなるか。
ガイドラインは、これを「毀損」として整理しています。

事例 1）個人データの内容が改ざんされた場合
事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）
なお、上記事例２）及び事例３）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
（※）同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

法第26条第1項は「漏えい、滅失、毀損」を並べているので、毀損も報告の対象です。
そして、同じデータが他に保管されていれば毀損に当たらない、とも書かれています。
バックアップから戻せるかどうかが、ここでも効いてきます。

報告しなくてよい場合も、示されている

2つあります。

1つは、高度な暗号化です。
規則第7条第1号に置かれた括弧書きが「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く」としたうえで、「以下この条及び次条第一項において同じ。」と続けています。
第1号だけの話ではなく、第7条の各号と、報告事項を定める第8条第1項にも及ぶ書き方です。
ガイドラインもこう書いています。

なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

ただし通則編は、暗号化のアルゴリズムや鍵の管理までは踏み込んでいません。
自社のUSBメモリの暗号化がここに当たるかどうかを、通則編だけで判断するのは難しいということです。

もう1つは、回収です。

なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。

「閲覧されないうちに」「全てを」の2つが条件です。
誤送信したメールを相手が開く前に削除してもらえた、という場面がこれに当たります。

報告は、2回に分かれている

速報と確報

規則第8条は、第1項で1回目、第2項で2回目を定めています。
実務ではこれを速報・確報と呼びます。

まず第1項の柱書です。

個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

次に第2項です。

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

全容が分かってから1回だけ出す、という運用は制度の想定と違います。
分からないうちに1回出し、分かってからもう1回出す。
2段構えが前提です。

速報の「速やかに」は、概ね3～5日以内

条文には日数が書かれていませんが、ガイドラインに目安があります。

「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね 3～5 日以内である。

同じ数字は、個人情報保護委員会のページにも出ています。

社内の稟議を回してから動く速さではありません。
週末をはさめば、それだけで大半が消えます。

起算点は「いずれかの部署が知った時点」

期限より先に確認しておくべきは、いつから数えるかです。
ガイドラインの書き方が具体的です。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。

現場の担当者が気づいた日です。
社長に上がってきた日でも、原因が特定できた日でもありません。

社内で「これは事故なのかどうか」を議論している時間も、この中に含まれています。
ですから、発覚した瞬間にやることを1つだけ決めておくとすれば、時刻の記録です。
誰が、いつ、何をもって気づいたのか。
この記録がないと、あとから期限を計算できません。

確報の30日と60日

確報の期限は、知った日から30日以内。
規則第7条第3号の事態、つまり不正の目的をもって行われたおそれがある行為による漏えい等の場合は60日以内です。
不正アクセスやランサムウェア、内部不正がここに当たります。

ガイドラインは、複数の類型に当たる場合の扱いも書いています。
3号に加えて1号・2号・4号にも当たる場合も60日以内です。

日数の数え方にも注記があります。

確報の報告期限（30 日以内又は 60 日以内）の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12 月 29 日～1 月 3 日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法律第 91 号）第 2 条）。

営業日ではありません。
そして起算点は速報と同じで、知った日を1日目に数えます。
速報を出した日から30日ではありません。

出し方はオンライン

報告の方法は規則第8条第3項が定めていて、原則は「電子情報処理組織を使用する方法」、つまりオンラインです。
回線の故障や災害などで困難な場合に、別記様式第一による報告書の提出が認められます。
条文にはもう1つ、「個人情報保護委員会が別に定める場合にあってはその方法」という受け皿も置かれています。
最新状況の章で触れる共通様式は、この受け皿にあたります。

実際の入口は、個人情報保護委員会の「漏えい等報告フォーム」です。
同委員会はWordの様式も配布していますが、そこにはこう書かれています。

※Wordの報告様式は社内での報告等に使用していただくための参考資料です。報告には使用せず、下記の入力フォームより行ってください。

社内で回すための下書き用です。
これを送っても報告したことにはなりません。

委員会に出す9項目

何を書くのか

規則第8条第1項の各号です。
原文のまま並べます。

一　概要
二　漏えい等が発生し、又は発生したおそれがある個人データ（前条第三号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三　漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
四　原因
五　二次被害又はそのおそれの有無及びその内容
六　本人への対応の実施状況
七　公表の実施状況
八　再発防止のための措置
九　その他参考となる事項

並びを見ると、この制度が何を知りたがっているのかが分かります。

1号から5号までが、何が起きたのかという事実です。
6号から8号までが、それに対して会社が何をしたのかという対応で、最後の9号がその他です。
再発防止のための措置が項目に入っている以上、事実の申告だけで終わる想定にはなっていません。

埋まらないことは、遅らせる理由にならない

安心してよい点があります。
第1項の柱書に、次の括弧書きが付いています。

（報告をしようとする時点において把握しているものに限る。次条において同じ。）

速報の時点で9項目すべてを埋められる会社は、まずありません。
把握できていない項目は、把握できていないまま出してよいということです。

実務でいちばんまずいのは、9項目を揃えようとして速報が遅れる形です。
埋まっていないことは、遅れる理由になりません。

本人に伝えるのは、そのうち5項目

報告と通知は、別の義務

法第26条は、第1項で委員会への報告を、第2項で本人への通知を定めています。

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。
ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

別々の義務です。
委員会に報告したから本人には黙っていてよい、ということにはなりません。
役所に出す書類のほうが重く見えるため、本人への連絡が後回しになりがちですが、法律上はどちらも義務です。

通知するのは、9項目のうち1・2・4・5・9

規則第10条です。

個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

指定されているのは第1号、第2号、第4号、第5号、第9号です。
具体的には、概要、個人データの項目、原因、二次被害またはそのおそれ、その他参考となる事項の5つになります。

9項目と見比べると、抜けているものが分かります。
本人の数、本人への対応の実施状況、公表の実施状況、再発防止のための措置の4つです。

残された5つは、その人自身に何が起きたか、これから何に気をつけるべきかに関わる情報です。
条文も「当該本人の権利利益を保護するために必要な範囲において」と枠をはめています。
何人分漏れたかや、社内で再発防止をどう進めるかは、その人が身を守るために必要な情報ではありません。
本人への通知は、会社の対応を説明する文書ではなく、その人が次の行動を取るための情報だということです。

もちろん、再発防止策を書いてはいけないという意味ではありません。
規則が求めているのは最低限であって、上乗せは自由です。
ただ、上乗せの結果として肝心の5つが埋もれるなら、本末転倒になります。

いつ通知するか

規則第10条の「当該事態の状況に応じて速やかに」について、ガイドラインが補足しています。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。

報告のような日数の目安は示されていません。

クレジットカード番号が流出したおそれがあるなら、本人が利用明細を確認したりカードを止めたりできるよう、一刻も早く伝える必要があります。
一方、原因も範囲もまったく分からない段階で「何かが漏れたかもしれません」とだけ伝えても、本人は動きようがありません。
早ければ早いほどよい、という単純な話ではないということです。

ただし、これを言い訳にして先延ばしにすると、本人からすれば「知っていたのに黙っていた」という話になります。
迷う場合は、分かっている範囲で第一報を入れ、続報を出すという形が現実的です。

通知の方法についても、ガイドラインに事例があります。
文書を郵便等で送付すること、電子メールを送信すること。
様式は法令上定められていません。

通知が困難なときは、代わりの措置でよい

法第26条第2項のただし書が用意している逃げ道です。
ガイドラインは、困難な場合と代替措置の両方を事例で示しています。

【本人への通知が困難な場合に該当する事例】
事例 1）保有する個人データの中に本人の連絡先が含まれていない場合
事例 2）連絡先が古いために通知を行う時点で本人へ連絡できない場合
【代替措置に該当する事例】
事例 1）事案の公表
事例 2）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること

代替措置の事例として並んでいるのは、事案の公表と、問合せ窓口の設置の2つです。
どちらか一方でもよい書き方になっていますが、公表だけを行った場合、本人は自分が対象かどうかを確かめられません。
窓口をあわせて用意するほうが、通知の代わりという趣旨に沿うと思います。

面倒だから公表で済ませる、という使い方は想定されていません。
事例に挙がっているのは、連絡先を持っていない場合と、持っていても届かない場合です。
メールアドレスを持っているのに一斉公表で片づけた場合、それが「困難」に当たるかは、説明が要る場面だと考えたほうがよさそうです。

途中で該当しないと分かったら、通知は不要

もう1つ、実務で効く記述があります。

また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

本人に通知するかどうかで迷ったとき、早めに動いておくほうが安全だという根拠になります。

公表は、この法律の義務ではない

漏えいが起きたら公表しなければならない、という規定は個人情報保護法にはありません。

規則第8条第1項が報告事項として挙げているのは第7号「公表の実施状況」です。
公表したかどうかを報告せよ、と言っているのであって、公表せよとは言っていません。

つまり、公表するかどうかは会社の判断に委ねられています。
ただし、ガイドラインは望ましい方向をはっきり書いています。
漏えい等事案が発覚した場合に講ずべき措置の最後に、こうあります。

なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

代替措置についての注記にも、同じ趣旨が繰り返されています。

代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。

義務ではないが望ましい。
判断材料は、法律ではなく事実関係のほうにあります。
対象者を特定できていて全員に通知できるなら、公表しないという選択もあり得ます。
逆に、一部にしか連絡が取れない、同じ手口の被害が他社にも広がりうるという事情があれば、公表する意味が出てきます。

なお、上場企業であれば適時開示の要否、業種によっては業法上の届出など、個人情報保護法以外の理由で公表が必要になる場合もあります。
この法律だけを見て「公表義務はない」と結論づけるのは早いということです。

委託を受けている側は、扱いが違う

原則は、委託元と委託先の両方に義務がある

他社から個人データの取扱いを委託されている会社は、ここを読んでおく価値があります。
ガイドラインの整理はこうです。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。

原則は両方です。
連名で出すこともできます。

委託元に通知すれば、報告も本人通知も免除される

法第26条第1項のただし書と、規則第9条が用意している例外です。

個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

通知する内容は、委員会に報告する場合と同じ9項目です。
簡略化された様式が用意されているわけではありません。
期限も同じで、ガイドラインは委託先の「速やか」についても「概ね 3～5 日以内」としています。

そして、この通知をすれば、委託先は報告義務を免除されます。
本人への通知義務も同時に免除されます。

委託元は、通知を受けた時点で「知った」ことになる

委託元の側にとって重要なのが、この一文です。

委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

「遅くとも」とあります。
委託先から連絡が来た日が、遅くともここからは数え始める、という線です。
委託元が自分で先に気づいていれば、起算点はそれより前になります。
委託先が社内で3日使ってから連絡してきた場合、委託元の3～5日はそこから始まる、という読み方になります。

だからこそ、契約書に「事故発生時は速やかに通知する」とだけ書かれている場合、その「速やかに」が何日を指すのかを、委託元と認識合わせしておく価値があります。
自社が受託側であるほど、早めに確認しておくべき部分です。

2026年9月時点の最新状況

ランサムウェア事案は、共通様式で出せるようになった

2025年10月1日から、報告の窓口と様式に動きがありました。
個人情報保護委員会のページにこうあります。

政府全体としてのサイバー攻撃の被害報告一元化の方針に従い、ランサムウェア事案による個人データの漏えい等（又はそのおそれ）が発生した場合は、共通様式により報告を行うことができます。（令和7年10月1日以降）

もとになっているのは、国家サイバー統括室が公表している関係省庁の申合せです。
名称は「サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ」で、2025年5月28日に申合せが行われ、同年10月1日から運用が始まりました。

この共通様式は、マイナンバーが含まれる場合も個人データが含まれる場合も使えます。
権限が事業所管大臣に委任されている業種の会社や、行政機関等も使えると、同じページに書かれています。
提出先はオンラインフォームではなく、そのページが指定しているメールアドレスです。
件名の書き方まで指定されているので、使う場面が来たら公式ページの記載どおりに送ってください。
規則第8条第3項が「個人情報保護委員会が別に定める場合にあってはその方法」という受け皿を置いているので、オンラインが原則という建て付けと矛盾しません。

被害を受けた会社が、委員会と他省庁に別々の様式で同じことを書く負担を減らす、という趣旨の仕組みです。
法律の改正を待たずに実務が動いた部分だといえます。

報告の件数は、前年度から減っている

個人情報保護委員会の年次報告に、処理した件数が載っています。
令和7年度、つまり2025年4月から2026年3月までの数字です。

個人データの漏えい等事案について、17,139 件の個人情報保護法第 26 条第１項に基づく報告の処理を行った。このうち、委員会に対する直接報告は 13,345 件、委任先省庁を経由したものは 3,794 件であった

同じ年次報告の付表に前年度の数字も載っていて、そちらは19,056件です。
減っています。
行政機関等からの報告は2,278件で、こちらは前年度の1,951件から増えています。

数え方に注意が要ります。
原文は「報告の処理を行った」で、発生件数ではなく、委員会が処理した件数です。
それでも、委員会が1営業日あたり70件前後を処理している規模だとはいえます。

改正法で変わるのは、本人通知のほうだけ

2026年7月17日に、個人情報の保護に関する法律等の一部を改正する法律が公布されました。
委員会の公表はこう書いています。

改正法は、一部を除き、公布日から起算して２年以内で政令で定める日から施行されます。

この記事のテーマに関係する部分を絞って書きます。
改正の概要資料で、報告と通知は「リスクに適切に対応した規律」の柱に入っており、こう説明されています。

漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する。(第26条第２項)

条文で見ると、変わるのは第26条第2項のただし書だけです。
「本人への通知が困難な場合」の後ろに「又は本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合」が加わります。
第1項は一字も変わりません。

読み違えやすい点が2つあります。

1つは、緩和が免除ではないことです。
追加されるのは除外事由ですが、そのあとの「本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは」は、新しい場合にもかかります。
代替措置は引き続き必要です。
どこまでが対象になるかは委員会規則で決まります。
概要資料が挙げている想定は、社内識別子のように、それ単体ではおよそ意味を持たない情報だけが漏れた場合です。

もう1つは、報告対象事態の見直しが今回の改正に入っていないことです。
「おそれ」が広く対象とされている現状を見直す方向は、制度改正方針の「その他」の欄で「引き続き検討を続けていくこととする」とされている段階です。
規則第7条は変わっていません。

そして、この第26条第2項の改正がいつ施行されるかは、まだ決まっていません。
2027年1月17日から施行される部分もありますが、そこに含まれるのは罰則関係の条文で、第26条は入っていません。
当面はこの記事に書いたルールで動きます。

今回の改正の全体像は、この記事の末尾にリンクを置いた別の記事にまとめてあります。

では、今日決めておくこと

事故が起きてから調べたのでは間に合わない項目を並べます。
どれも費用がかかりません。

気づいた人の動きについて

何かおかしいと気づいた社員が、最初に誰へ連絡するかが決まっているか
気づいた日時を記録する運用になっているか。起算点はここから動き出す
「これは事故か」を判断する前に、まず記録する順番になっているか

報告について

9項目の空欄を作っておき、埋められるところから埋める形になっているか
30日と60日のどちらに当たるかを、誰が判断するか決まっているか
オンラインの報告フォームに誰がアクセスするか、決まっているか

本人への通知について

通知文のひな型が、5項目を骨格にして用意されているか
通知を出したあとの問合せ窓口を、誰が担当するか
連絡先を持っていない人が名簿に含まれていないか

委託関係について

受託している場合、事故時に委託元へ何日以内に通知するか、契約で決まっているか
委託している場合、委託先からの通知が遅れると自社の期限が圧迫されることを、相手が理解しているか
誰が本人対応を担うかが、契約の段階で決まっているか

最後に1つ。
報告義務の話は、法律の知識の話に見えて、実際には「気づいた人が誰に言うか」という社内の話です。
条文をどれだけ正確に理解していても、現場で気づいた人が黙っていれば、期限だけが静かに進みます。

気づいた人が誰に連絡するかと、9項目の空欄を先に作る作業を、書式にしたものがあります。
初動72時間フローシートと報告書式を含む6種です。

まとめ

報告義務は個人情報保護法第26条第1項。対象になる事態は施行規則第7条の4つの類型で、いずれか1つに当たれば報告
1,000人という人数は4つのうちの1つにすぎない。不正の目的をもって行われたおそれがある行為による漏えい等なら、1件でも対象になる
行政機関等は基準が別。人数は100人超。地方公共団体の機関と地方独立行政法人には、条例要配慮個人情報についての5つ目の類型がある
「漏えい等が発生し、又は発生したおそれがある事態」で足りる。ガイドラインは「漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する」としている
ランサムウェアによる暗号化は「毀損」に当たる。ただし同じデータが他に保管されていれば毀損に該当しない
高度な暗号化が施されていれば報告を要しない。ただし通則編は、アルゴリズムや鍵の管理までは踏み込んでいない
第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。誤送信したメールを開かれる前に削除してもらえた場合がこれにあたる
報告は速報と確報の2段階。速報は「概ね3～5日以内」、確報は知った日から30日以内、規則第7条第3号の事態は60日以内
起算点は「いずれかの部署が当該事態を知った時点」。確報の日数は土日祝も含めて数え、末日が休日なら翌日が期限
報告の方法は原則オンライン。委員会が配布しているWordの様式は社内で回すための参考資料で、これを送っても報告したことにならない
委員会に報告するのは9項目。ただし「報告をしようとする時点において把握しているものに限る」ので、埋まらないことは遅らせる理由にならない
本人に通知するのは、そのうち第1号・第2号・第4号・第5号・第9号の5項目。本人の数、本人への対応、公表の実施状況、再発防止策は、本人への通知では必須とされていない
本人への通知の時期は「当該事態の状況に応じて速やかに」で、報告のような日数の目安は示されていない。途中で報告対象事態に当たらないと分かった場合、本人への通知は不要
通知が困難な場合の代替措置として、事案の公表と問合せ窓口の設置の2つが事例に挙げられている。公表だけでは本人が対象かどうかを確かめられないので、窓口もあわせて用意するほうが趣旨に沿う
公表そのものは、個人情報保護法の義務ではない。報告事項は「公表の実施状況」。ただしガイドラインは、二次被害の防止等の観点から公表が望ましいとしている。上場企業の適時開示や業法上の届出など、別の理由で必要になる場合もある
委託関係では、原則として委託元と委託先の双方が報告義務を負う。委託先が委託元へ9項目を通知すれば、報告義務も本人通知義務も免除される
委託元は「遅くとも委託先から通知を受けた時点で」知ったことになる。委託先の社内で使った日数だけ、委託元の時間が減る
2025年10月1日から、ランサムウェア事案は関係省庁の申合せに基づく共通様式で報告できる
令和7年度に処理された報告は17,139件（前年度19,056件）。行政機関等からは2,278件（前年度1,951件）
2026年7月17日公布の改正法で変わるのは第26条第2項のただし書だけ。本人通知の除外事由が増えるが代替措置は必要で、施行日はまだ決まっていない
起算点が「いずれかの部署が知った時点」である以上、期限を守れるかどうかは、気づいた人が最初に誰へ連絡するかが決まっているかで決まる

皆さんの会社では、漏えいに気づいた人が最初に誰へ連絡するか、決まっているでしょうか。

参考・引用元

法令

個人情報の保護に関する法律（平成15年法律第57号）第26条 https://laws.e-gov.go.jp/law/415AC0000000057
個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）第7条・第8条・第9条・第10条・第43条・第44条・第45条 https://laws.e-gov.go.jp/law/428M60020000003

ガイドライン

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」平成28年11月（令和8年6月一部改正）3-5 https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf

個人情報保護委員会

個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
個人情報保護委員会「漏えい等報告・本人への通知の義務化について」 https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/
個人情報保護委員会「漏えい等報告フォーム」 https://roueihoukoku.ppc.go.jp/incident/
個人情報保護委員会「令和7年度個人情報保護委員会年次報告」（令和8年7月） https://www.ppc.go.jp/files/pdf/080707_annual_report.pdf

改正法

個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」（令和8年7月17日） https://www.ppc.go.jp/news/press/2026/260717/
個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（令和8年7月） https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf
個人情報保護委員会「個人情報保護法いわゆる３年ごと見直しの制度改正方針」（令和8年1月9日） https://www.ppc.go.jp/files/pdf/01-1_seidokaiseihousin.pdf

報告様式の一元化

国家サイバー統括室「サイバー攻撃による被害発生時のインシデント報告様式の統一について」（令和7年10月1日） https://www.cyber.go.jp/policy/group/cyber/yoshikiichigenka.html

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40