セキュリティの手引き

個人情報が漏れた（おそれがある）ときの報告と通知｜個人情報保護委員会への速報・確報

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

報告が必要な4つの場合

• 「おそれ」も対象：漏れた確証はないが、その時点の事実から漏えいが疑われる場合です。人数が確定しないときは、最大で1,000人を超えるかで判断します。
• 高度な暗号化がされていれば対象外：データが高度に暗号化されているなど、本人の権利を守る措置があれば報告はいりません。
• ③の「不正」には従業員も含まれます。また③は、自社だけでなく委託先や、利用しているサービスへの攻撃も含みます。

報告の期限と方法

• 「知った」時点：法人では、どこかの部署が知った時点から数えます。
• 確報の日数：土日・祝日も数えます。最終日が土日・祝日・年末年始なら翌日まで。
• 方法：委員会の「漏えい等報告フォーム」に入力します。Word様式は社内で整理するための参考で、報告には使いません。マイナンバーが含まれる（含まれるか分からない）ときは専用のフォームです。
• 報告先が違う業種：委員会が権限を各省庁に委ねている業種は、その省庁に報告します。
• 委託先の場合：委託元に速やかに（概ね3〜5日以内）知らせれば、委託先の報告義務は免除されます。

報告する9項目は、概要、漏れた個人データの項目、本人の数、原因、二次被害のおそれ、本人への対応、公表の状況、再発防止策、その他です。速報の時点で全部そろっていれば、1回で速報と確報を兼ねられます。

本人への通知

本人への通知は、状況に応じて速やかに行います。すべてが分かるまで待つ必要はありません。伝える内容は、概要、漏れた項目、原因、二次被害のおそれ、本人が取れる対策などです。方法は郵送やメールなど、本人に確実に伝わるものにします。連絡先が分からず通知できないときは、事案の公表や、問い合わせ窓口を設けて公表する方法で代えられます。

件名：お客様の個人情報に関するお知らせとお詫び

〇年〇月〇日、当社の（システム名）において、
（不正アクセス等）により、お客様の個人情報が
外部に漏えいしたおそれがあることが分かりました。

■対象となる情報：氏名、メールアドレス、（項目）
■原因：（分かっている範囲で）
■現時点での二次被害：確認されていません／（内容）
■お願い：不審なメールにご注意ください。
　（パスワードの変更など、取っていただきたい対策）
■お問い合わせ：（窓口・受付時間）

ひな形は例です。実態と違う内容をそのまま写さず、分かっていないことは「調査中」と書いてください。

報告の前に社内でやること

1. 責任者にすぐ報告し、広がりを止める：不正アクセスなら該当の機器をネットワークから外し、パスワードを変えます。
2. 事実を調べる：いつ、何が、どこから、どう漏れたか。ログや記録を消さずに残します。
3. 影響の範囲を決める：誰の、どの項目が、何人分か。4つの場合に当たるかを判断します。
4. 再発防止策を考え、実施する。

ランサムウェアの場合の初動は、感染したら最初にやることにまとめています。

よくある質問

参考にした資料

1. 個人情報保護委員会「漏えい等の対応とお役立ち資料」
2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5
3. 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」