セキュリティの手引き
個人情報保護委員会に報告しないとどうなる？｜報告が要らない場合
公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太
結論：4つの場合に当たる漏えい（おそれを含む）を報告しないのは、法律違反です。委員会は報告の要求や立入検査、指導、勧告、命令ができ、命令に違反すると1年以下の拘禁刑か100万円以下の罰金（法人は1億円以下）です。一方、4つに当たらない、高度な暗号化をしていたなどの場合は報告が要りません。
報告しないと報告しない法律違反
委員会報告の要求・指導・勧告
命令に違反罰則と公表
報告しないと、どう進むか
個人情報保護法は、報告しなかったことそのものには直接の罰則を定めていません。委員会の資料でも、今の法律の直接の罰則は、データベースの不正な提供などに限られると説明されています。ただし、委員会は次の順で関わることができます。
| 段階 | 中身（条文） | 従わないと |
|---|
| 報告の要求・立入検査 | 報告や資料の提出を求め、事務所に立ち入って調べる（第146条） | 報告しない・うその報告・検査の拒否は50万円以下の罰金（第182条） |
| 指導・助言 | 取扱いについて必要な指導と助言（第147条） | — |
| 勧告 | 違反をやめ、正すための措置をとるよう勧告。期間を決めて行う（第148条第1項） | 正当な理由なく従わず、重大な権利侵害が迫っていれば命令へ |
| 命令・緊急命令 | 勧告に係る措置をとるよう命令。急ぐときは勧告なしで命令（第148条第2項・第3項） | 1年以下の拘禁刑か100万円以下の罰金。法人は1億円以下の罰金（第178条・第184条）。違反の公表（第148条第4項） |
ガイドラインは、勧告は個人の権利利益を守るため必要と委員会が認めたときに行うとしています。また、委員会は事案に応じて、権限を使ったことを公表することがあります。
委員会が関わる順番- 1報告の要求立入検査も
- 2指導・助言
- 3勧告期間を決めて
- 4命令違反すると罰則
報告と同時に、本人への通知も義務です。報告しないままだと、本人が自分で二次被害を防ぐ機会もなくなります。法律上の責任や賠償の見込みは、弁護士に相談してください。
罰則の上限100万円命令違反または1年以下の拘禁刑
1億円法人の罰金命令違反のとき
50万円報告の要求に応じない・うその報告
報告が要らない場合
報告が義務になるのは、①要配慮個人情報、②財産的被害のおそれ、③不正の目的によるおそれ、④本人が1,000人超、の4つのどれかに当たるときです。ガイドラインとQ&Aから、報告が要らない場合を整理しました。
| 場合 | 理由・注意 |
|---|
| 4つのどれにも当たらない | 報告の義務はありません。任意で報告することはできます。人数が確定しないときは、最大で1,000人を超えるかで判断します。 |
| 高度な暗号化などがされていた | 電子政府推奨暗号リストなどの暗号を適切に使い、さらに復号の鍵を分けて守っている、遠隔で消せる、などの条件を満たす場合です。 |
| 第三者に見られる前に全部回収した | 「漏えい」に当たりません。誤送付した書類を、開封される前に全部取り戻した場合などです。 |
| 同じデータが別に保管されている | 暗号化されて使えなくなっても、バックアップがあれば「毀損」に当たりません。ただし、データが盗まれていれば「漏えい」になります。 |
| 委託先として、委託元に知らせた | 委託先は、報告義務を負う委託元に速やかに（概ね3〜5日以内）知らせれば、報告と本人への通知の義務が免除されます。 |
③の「不正の目的」には、外からの攻撃だけでなく従業員の持ち出しも含まれます。不正アクセスやランサムウェアは、人数が少なくても③に当たるので注意します。
報告が要るか4つのどれかに当たる？
当たる報告と本人への通知が義務
当たらない報告の義務はない
高度な暗号化などの例外も確かめる。任意の報告もできる
報告が遅れた・迷っているとき
速報は、知ってから概ね3〜5日以内に、その時点で分かっていることだけで出せます。確報で全部が分からなくても、分かった範囲で報告し、あとから追加できます。迷っている間に期限が過ぎるより、分かる範囲で出すほうが安全です。
報告の期限- 3〜5日速報分かっている範囲で
- 30日確報9つの項目
- 60日確報（不正目的）③に当たるとき
個人情報保護法相談ダイヤル（03-6457-9849、平日9:30〜17:30）は、一般的な質問には答えますが、適法か違法かの判断はしません。自社が報告に当たるかの最終判断に迷うときは、弁護士に相談してください。
迷ったときの相談先
法改正で変わること
2026年7月17日に、改正個人情報保護法が公布されました。施行は原則として公布から2年以内です。委員会の資料では、漏えい等報告について次の見直しが示されています。
改正法のスケジュール- 2026年7月17日公布
- これから委員会規則などで範囲を決める
- 公布から2年以内施行（原則）
- 本人の権利利益を守るうえで支障が少ない場合は、本人への通知の義務を緩める
- 体制について第三者の確認を受けることなどを前提に、一定の範囲で速報を免除できるようにする
- 本人が1名の誤交付・誤送付などは、確報を一定期間ごとにまとめて出せるようにする
- 違法な第三者提供も報告の対象にする
具体的な範囲は、これから委員会規則などで決まります。施行までは、今のルールで報告します。
今と改正後施行は公布から原則2年以内。範囲は規則で決まる
よくある質問
報告すると、会社名が公表されますか？
委員会への報告と、会社による公表は別の手続きです。ガイドラインは、委員会が事案の性質などに応じて、権限を使ったことを公表することがあるとしています。また、二次被害の防止などのため、会社が事実関係や再発防止策を速やかに公表することが望ましいとしています。
報告したあとで、対象ではなかったと分かったら？
ガイドラインは、その場合の本人への通知は不要としています。委員会への報告の扱いは、報告フォームの案内か委員会に確かめてください。
何年も前の漏えいに、いま気づきました。
期限は「知った」時点から数えます。法人では、どこかの部署が知った時点です。気づいた日を記録し、4つの場合に当たるかを判断して進めます。過去の対応の評価は弁護士に相談してください。
参考にした資料
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5、4（令和8年6月一部改正）
- 個人情報保護委員会「Q&A 6-19 高度な暗号化等の秘匿化」
- e-Gov法令検索「個人情報の保護に関する法律」（第26条、第146条〜第148条、第178条、第182条、第184条）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 個人情報保護委員会「個人情報保護法相談ダイヤル」
- 個人情報保護委員会「令和8年 改正個人情報保護法について」
- 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（2026年7月）