個人情報の漏えい報告。速報は3〜5日以内、確報は30日以内です
個人データの漏えい、滅失、毀損が起きたとき、一定の場合には個人情報保護委員会への報告と本人への通知が義務づけられています（個人情報保護法26条）。2022年4月から努力義務ではなく法的義務になりました。
期限は2段階。速報＝その事態を知った時からおおむね3〜5日以内。確報＝30日以内（不正の目的をもって行われたおそれがある行為による場合は60日以内）。速報の時点で分かっていることだけ報告し、詳細は確報で補います。「調査が終わってから報告」では間に合いません。
報告が必要な4類型
| 類型 | 内容 |
|---|---|
| 要配慮個人情報 | 病歴、健康診断結果などが含まれる場合（件数を問わない） |
| 財産的被害のおそれ | クレジットカード番号、送金に使える情報など（件数を問わない） |
| 不正の目的による行為 | 不正アクセス、外部からの攻撃、従業員による持ち出し（件数を問わない） |
| 1,000人超 | 上記に該当しなくても、1,000人を超える個人データの漏えい等 |
- 1件でも報告が必要な場合がある…要配慮個人情報、財産的被害のおそれ、不正の目的による行為の3類型は件数にかかわらず報告義務があります
- 健康診断結果のメール誤送信も対象…要配慮個人情報が含まれるため、1件でも報告が必要です
- 「おそれ」の段階で報告する…漏えいしたことが確定していなくても、そのおそれがある事態を知った時点で報告義務が生じます
- 滅失・毀損も対象…漏えいだけでなく、データが失われた場合（滅失）や内容が変わってしまった場合（毀損）も含まれます
- 高度な暗号化がされていれば報告不要…第三者が閲覧できないよう高度な暗号化等の技術的措置が講じられている場合は、報告を要しないとされています
報告の期限と方法
- 速報：おおむね3〜5日以内…その事態を知った時からです。その時点で把握している内容を報告すれば足り、調査中の項目は「調査中」と記載します
- 確報：30日以内…すべての報告事項を報告します。不正の目的をもって行われたおそれがある行為による場合は60日以内です
- 報告先は個人情報保護委員会…委員会のウェブサイトから電子申請ができます
- 権限が委任されている場合は所管省庁へ…事業分野によっては報告先が異なることがあります
- 報告事項は9項目…概要、漏えいした個人データの項目、本人の数、原因、二次被害の有無、本人への対応、公表の状況、再発防止策、その他参考事項です
- 委託先で発生した場合…委託元と委託先の双方に報告義務がありますが、委託先が委託元に通知すれば、委託先は報告義務を免れます。誰が報告するかを事前に決めておきます
- 「知った時」の起算点…事業者が個々の従業者ではなく法人として認識した時点です。報告体制がないと起算点が遅れ、結果的に期限を過ぎます
- 報告を怠ると勧告・命令の対象…命令に違反した場合は罰則が定められています
本人への通知
- 本人にも通知する義務がある…報告と併せて、漏えい等が発生した本人に対して通知します
- 時期は「当該事態の状況に応じて速やかに」…速報・確報のような日数の定めはありませんが、二次被害を防ぐため早い対応が求められます
- 通知事項は5項目…概要、漏えいした個人データの項目、原因、二次被害またはそのおそれの有無、その他参考事項です
- 通知が困難な場合は代替措置…連絡先が分からないなど本人への通知が困難な場合、ウェブサイトでの公表や問合せ窓口の設置といった代替措置をとります
- 通知の方法は問わない…書面、メール、電話など、事案に応じた方法で行います
起きたときの動き方
- 被害の拡大を防ぐ…不正アクセスならネットワークを遮断する、誤送信なら受信者に削除を依頼するなど、まず止めます
- 事実関係を記録する…いつ、何が、何件、原因は何か。速報の期限は3〜5日なので、並行して記録します
- 速報を提出する…分かっている範囲で構いません。完璧を期して期限を過ぎるより、暫定でも期限内に出すのが正しい対応です
- 本人に通知する…二次被害を防ぐための情報（パスワード変更の依頼など）を含めます
- 確報を提出し、再発防止策を実施する…原因を踏まえた具体的な対策を記載します
- 報告体制を先に作っておく…「誰が知ったら誰に報告するか」を決めていないと、3〜5日はすぐに過ぎます。組織的安全管理措置の一部として整備しておきます
- メール誤送信が最も多い…宛先の入力ミス、一斉送信でのTO/CC誤りが典型です。BCCの徹底と送信前の確認という基本的な対策が有効です
- 公表は義務ではない…法律上、公表は必須ではありません。ただし社会的な影響が大きい場合は公表を検討します
- 当社の視点…賃貸業では入居者の勤務先、年収、保証人情報といった機微な情報を扱います。財産的被害のおそれがある情報が含まれれば1件でも報告義務という点は、社内で共有しておくべき基準です
漏えい報告で最も難しいのは、期限そのものより「起きたことに気づいて社内で共有される仕組み」です。従業員がメールの誤送信に気づいても、報告すべきだと知らなければ何も起きません。報告先と手順を1枚にまとめて共有しておくのが、最も費用対効果の高い対策です。
よくある質問
Q漏えいの報告期限はいつまでですか
速報は事態を知った時からおおむね3〜5日以内、確報は30日以内です。不正の目的をもって行われたおそれがある行為が原因の場合、確報は60日以内になります。
Q1件の誤送信でも報告が必要ですか
含まれる情報によります。要配慮個人情報、財産的被害のおそれがある情報、不正の目的による行為の場合は件数にかかわらず報告義務があります。
Q本人への通知はいつまでですか
当該事態の状況に応じて速やかに行います。日数の定めはありませんが、二次被害を防ぐため早い対応が求められます。通知が困難な場合は公表などの代替措置をとります。
Q委託先で漏えいが起きた場合は誰が報告しますか
委託元と委託先の双方に報告義務がありますが、委託先が委託元に通知すれば委託先は報告義務を免れます。誰が報告するかを契約段階で決めておきます。
まとめ
① 速報は3〜5日以内、確報は30日以内。不正アクセス等が原因なら確報60日以内。
② 要配慮個人情報・財産的被害のおそれ・不正の目的による行為は1件でも報告義務。
③ それ以外は1,000人超で報告義務。
④ 報告と併せて本人への通知も義務。困難なら公表等の代替措置。
⑤ 高度な暗号化等が講じられていれば報告不要。
この記事は2026年7月31日時点の法令・公開情報および当サイトで実測した料金に基づいています。制度・料金は変わることがあります。許認可・登記・税務の個別判断は、所管庁・専門家にご確認ください。本記事は論点の整理であり、法的助言ではありません。