本記事には広告・アフィリエイトリンクが含まれています。
結論：「漏れたかもしれない」段階で報告の対象になります
個人情報保護委員会の記載で、まず押さえるべきはこの一言です。報告が義務づけられる類型は、いずれも「漏えい等（又はそのおそれ）」と書かれています。
実際に漏れた証拠がなくても、おそれがあれば対象です。「調べてから報告しよう」と待つ設計にはなっていません。
そして期限があります。
発覚したら、まずは速やかに報告してください。
まずは、速報（新規） 発覚日から、3〜5日以内
次に、確報（続報） 発覚日から、30日以内
不正な目的で行われたおそれがある場合は、発覚日から、60日以内
3〜5日です。原因究明を終える時間はありません。わかっている範囲で速報を出し、後から確報を出すという二段構えです。
1. 報告が必要になる4つの類型
民間事業者について挙げられているのは次の4つです（このほか地方公共団体等向けの類型があります）。
| 類型 | 内容 |
|---|---|
| （1） | 要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ） |
| （2） | 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ） |
| （3） | 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ） |
| （4） | 個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ） |
件数が少なくても（1）〜（3）に当たれば報告対象です。「1,000人未満だから大丈夫」という判断はできません。
2. 要配慮個人情報とは何か
人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、その他政令で定めるもの（身体障害、知的障害、精神障害等の障害があること、健康診断その他の検査の結果、保健指導、診療・調剤情報、本人を被疑者又は被告人として、逮捕、捜索等の刑事事件に関する手続が行われたこと、本人を非行少年又はその疑いがある者として、保護処分等の少年の保護事件に関する手続が行われたこと）
例として挙げられているのは次の2つです。
【例1.】病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合
【例2.】従業員の健康診断等の結果を含む個人データが、漏えいした場合
【例2.】はお客様の情報ではなく、従業員の情報です。健康診断の結果を扱う事業者は、規模にかかわらず関係します。USBの扱いはUSBの記事にまとめました。
3. 財産的被害のおそれ——カード番号の例
【例1.】ECサイトからクレジットカード番号を含む個人データが漏えいした場合
※クレジットカード番号の下4桁のみとその有効期限の組合せの漏えいであれば、直ちに報告対象事態には該当しない。【例2.】送金や決済機能のあるウェブサービスのログインIDとパスワードの組合せを含む個人データが漏えいした場合
下4桁＋有効期限は直ちには該当しない、と明示されています。ここは数少ない「該当しない」例示なので、控えておく価値があります。
4. 不正の目的——「誰が」の範囲が広い
※「不正の目的をもって」の主体は、従業者だけではなく、盗難等第三者も含まれます。
挙げられている例です。
- 外部からの不正アクセスによりデータが窃取された場合
- マルウェアに感染したコンピュータに不正な指令を送り、IPアドレス等への通信が確認された場合
- 不正検知を行う専門家等の第三者から漏えいのおそれについて連絡を受けた場合
- ランサムウェア等により個人データが暗号化され、復元できなくなった場合
- 個人データが記載又は記録された書類・媒体等が盗難された場合
- 従業者が顧客の個人データを不正に持ち出して第三者に提供した場合
- ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合
3つ目に注目してください。自分では気づいていなくても、外部から連絡を受けた時点で「発覚」になります。そこから3〜5日です。
ランサムウェアについては、「暗号化されて復元できない」だけで対象です。外部に出た証拠は要りません。不正アクセスの法的な位置づけは不正アクセス禁止法の記事、感染経路はマルウェアの記事にまとめました。
5. 1,000人超——CCの例が挙がっています
【例1.】システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合
【例2.】自社の会員（1,000人超）にメールマガジンの配信を行う際、本来メールアドレスをBCC欄に入力して送信すべきところをCC欄に入力して一括送信した場合
公的な文書にCCとBCCの取り違えが例示されているのは、それだけ実例が多いということです。詳しくはメール誤送信の記事に書きました。
6. ランサムウェアは共通様式が使えます
政府全体としてのサイバー攻撃の被害報告一元化の方針に従い、ランサムウェア事案による個人データの漏えい等（又はそのおそれ）が発生した場合は、共通様式により報告を行うことができます。（令和7年10月1日以降）
複数の窓口に同じ内容を出す負担を減らすための仕組みです。
7. 報告するときの実務上の注意
●報告者の氏名又は名称の欄は、報告実務をされる担当者の氏名ではなく、事業者等の名称等をご入力ください。
※Wordの報告様式は社内での報告等に使用していただくための参考資料です。報告には使用せず、下記の入力フォームより行ってください。
報告はWebの「漏えい等報告フォーム」から行います。Wordの様式を添付して送る運用ではありません。
また、マイナンバーが含まれている場合と、含まれているか不明な場合は、事業者・行政機関等を問わず専用のフォームから報告するよう案内されています。「不明な場合も」と書かれている点が実務では効きます。
8. 起きる前に決めておくこと
- 誰が「発覚日」を判断するかを決めておく（外部からの連絡も発覚に含まれます）
- 顧客情報・従業員情報をどこに置いているかの一覧を作る
- 健康状態・施術の記録など要配慮個人情報に当たりうるものを切り分けておく
- 一斉メールはBCCではなく専用サービスにする
- 報告フォームの場所を事前にブックマークしておく
当サイトでは、個別の事案が報告対象に当たるかを判断できません。個人情報保護法相談ダイヤル等にご相談ください。
サイトとデータの管理環境について
以下は広告です。当サイトでは、これらのサービスが漏えい対策や報告の要件にどこまで対応するかを検証していません。仕様・料金・プランは変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として並べています。
もう一方の選択肢：
FAQ
漏れたかどうか確証がなくても報告するのですか。
いずれの類型も「漏えい等（又はそのおそれ）」と書かれています。おそれの段階で対象です。
個人事業でも対象ですか。
類型は「民間事業者等」に向けて書かれています。当サイトでは事業規模による例外の有無を確認していません。
本人への通知は必要ですか。
当サイトでは、本人への通知義務についてこのページで確認していません。個人情報保護委員会の案内をご確認ください。
ランサムウェアで暗号化されただけでも報告ですか。
例として「ランサムウェア等により個人データが暗号化され、復元できなくなった場合」が挙げられています。
カード情報の下4桁だけでも報告ですか。
「クレジットカード番号の下4桁のみとその有効期限の組合せの漏えいであれば、直ちに報告対象事態には該当しない」と注記されています。
参照した一次情報
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 ppc.go.jp
2026年9月17日確認。報告の期限（速報3〜5日以内、確報30日以内、不正な目的のおそれがある場合60日以内）、報告が必要な4類型と各例示、要配慮個人情報の範囲、カード番号下4桁の注記、「不正の目的をもって」の主体、1,000人超の例、ランサムウェア事案の共通様式（令和7年10月1日以降）、報告フォームと様式の扱いに関する引用はこのページに基づきます。
関連記事
- お客様の情報を集めた時点で管理責任が生じます｜サロンのSNSと顧客情報
- CcとBccの取り違えが一番多い事故です｜一斉メールは専用サービスを検討する
- 拾ったUSBメモリは使わない｜持ち出しで起きる紛失と、持ち帰りで起きる感染
- USBを差しただけ、メールを開いただけでも感染します｜9つの経路と脆弱性
- IDとパスワードを人に教えるだけで違反になります｜不正アクセス禁止法と踏み台
- ランサム攻撃が10年連続1位です｜情報セキュリティ10大脅威2025の読み方
- 委託しても責任は残ります｜個人情報の3つの監督義務と、公表する6項目
このテーマの記事一覧：IT・個人情報
この記事は当サイト運営者が執筆しました。法律の専門家による記事ではありません。上記の確認日以降に個人情報保護委員会の記載が変わっている可能性があります。個別の判断は、個人情報保護法相談ダイヤル等へお願いします。
コメント