ゆう
もしも個人情報が漏えいしたら？｜ 個人情報保護委員会への報告義務と期限をわかりやすく解説
いま、漏えいが起きた（かもしれない）方へ
まずは、ひと呼吸おいて落ち着いてください。
一つずつ整理していきましょう。 最初にやることは、次の3つです。1.被害の拡大を止める
（不審なアカウントの停止、外部との通信の遮断など。システムの開発や保守を任せている会社があれば、すぐに連絡して一緒に対応しましょう）2.何が起きたかを記録に残す
（いつ・誰が・何に気づいたか、画面やメールの保存など。あとで委員会へ報告するときや、原因を調べるときの大切な手がかりになります）3.早めに相談する
（国への報告は、最初の報告の目安が数日と短いためです。報告が必要かどうか迷う段階でも、早めに専門家へ相談しておくと安心です）
皆さん、日々のお仕事おつかれさまです。
「個人情報の漏えい」と聞くと、大企業のニュースの話だと感じる方も多いかもしれません。 でも実は、どんな規模の会社でも「うちは大丈夫」とは言い切れないものです。
2026年10月7日、個人情報保護委員会（個人情報の取り扱いを監督する国の機関。以下「委員会」）は、不正アクセスによる漏えいについての注意喚起を改訂しました。 委員会は、事業者から寄せられた報告を分析し、よくある原因を9つの事例に分けて紹介しています。保守契約の中身やクラウドの使い方など、会社の規模に関係なく起こりうるものばかりです。
もう一つ、意外と知られていないことがあります。 それは、件数が少なくても、報告が必要になる場合があるということです。
この記事では、報告が必要なケース、期限、本人への通知、相談先、そして今からできる備えまで、6つのポイントで順にご紹介します。
1. 報告が必要な4つのケース
個人情報保護法（26条）と施行規則（7条）では、次のどれかに当てはまる漏えいなどが起きたとき、委員会への報告と本人への通知が義務づけられています。
ここで押さえておきたいポイントは3つです。
「おそれ」の段階で対象になります。 漏えいが確定していなくても、報告の対象です。
③は人数に関係ありません。 1人分でも対象になります。
2024年4月から③の対象が広がりました。 事業者がこれから取得しようとしている個人情報（個人データとして扱う予定のもの）も含まれます。たとえば、ネットショップの入力画面が改ざんされ、お客さまのカード情報が盗み取られる「Webスキミング」がこれにあたります。
当てはまるかどうか迷うときは、一人で抱え込まず、専門家に相談しながら判断していきましょう。
▶ご相談はこちらから
2. よくある誤解と、放置したときのリスク
誤解1「件数が少ないから報告しなくていい」
1,000人という基準は、④のケースだけの話です。不正アクセスが原因なら1人分でも、病歴などの要配慮個人情報も人数を問わず、報告の対象になります。
誤解2「まだ確定していないから、様子を見る」
報告の対象は「おそれ」の段階から始まります。確定を待っているうちに、期限が近づいてしまうこともあります。
誤解3「委託先のミスだから、自社は関係ない」
業務を外部に任せていた場合、委託元と委託先の両方に報告義務があります。 委託先が委託元へ知らせれば、委託先の報告義務はなくなります。ただ、そのぶん委託元が報告することになります。「委託先のミスだから関係ない」とはならないんですね。
放置したときのリスク
報告や対応をしないままでいると、委員会による指導・助言、勧告、命令の対象になります。命令に違反すると罰則があり、法人の罰金は1億円以下です。個人への罰則は、1年以下の拘禁刑または100万円以下の罰金です[要確認：条文で最新の内容を確認]。（2025年6月から、刑罰の「懲役」は「拘禁刑」に変わっています。）
そして見落とせないのが、信用への影響です。「隠していた」と受け取られると、漏えいそのもの以上に、お客さまや取引先からの信頼が揺らいでしまうことがあります。
3. 発覚から確報までのタイムライン
報告は2段階に分かれています。流れを整理すると、次のとおりです。
初動：被害の拡大を止め、事実関係を確認・記録します。
速報（最初の報告）：法律上は「速やかに」。ガイドラインの目安は、事態を知ってから概ね3〜5日以内です。
確報（くわしい報告）：30日以内。不正の目的によるおそれがある場合は60日以内です。
確報で報告する主な項目は、次のとおりです。
漏えいの概要
漏えいした個人データの項目
本人の数
原因
二次被害のおそれ
本人への対応の状況
公表の状況
再発防止策 など
報告は、委員会のウェブサイトにある報告フォームから行います。 なお、業種によっては、委員会ではなく所管の省庁に報告する場合があります（権限の委任）。 また、2026年10月1日からは、ランサムウェアなどのサイバー攻撃の事案について、共通様式でも報告できるようになっています。
4. 本人への通知と公表
委員会への報告とあわせて、原則として本人への通知も必要です。状況に応じて、速やかに行います。
通知に入れる主な内容は、次のとおりです。
漏えいの概要
漏えいした個人データの項目
原因
二次被害のおそれ
その他、本人の参考になる事項 など
連絡先がわからないなど、通知が難しい場合は、代わりの措置をとります。事案の公表や、問い合わせ窓口の設置などです。
なお、2026年7月17日に改正法（令和8年法律第56号）が公布されました。本人に通知しなくても権利や利益を損なうおそれが小さく、代わりの保護措置をとる場合には、通知義務がゆるめられる予定です。 ただ、施行は公布から2年以内に政令で定める日（遅くとも2028年7月まで）で、詳細もこれから決まります。当面は、いまのルールで対応しましょう。
5. 誰に相談すればいいか
漏えいへの対応は、内容によって相談先が分かれます。
行政書士：委員会への報告書や本人への通知文の作成、提出のサポート。プライバシーポリシーや契約書など、平時の備え。
弁護士：損害賠償、トラブル（紛争）の対応、交渉の代理、裁判。
セキュリティ業者：原因の技術的な調査（フォレンジック＝デジタルの鑑識のようなもの）。
警察：不正アクセスやランサムウェアなど、犯罪の被害が疑われるとき（サイバー犯罪の相談窓口）。
当事務所では、書類の作成を中心にお手伝いしつつ、ほかの専門分野にあたるご相談は、提携する専門家へおつなぎします。「どこに聞けばいいかわからない」という段階からでも大丈夫です。
▶ご相談はこちらから
6. 今からできる備え
委員会の注意喚起から、中小事業者にも身近な事例を紹介します。
事例1：システムの弱点（脆弱性）が放置された システム業者と導入時の契約しか結んでおらず、保守契約がない、または保守契約に弱点への対応が含まれていなかったことが原因の一つでした。セキュリティ対策を含めた保守契約を結び、役割分担をはっきりさせることが対策例として挙げられています。
事例7・8：「委託ではない」という思い込み 「グループ会社だから委託にあたらない」「クラウドの利用は委託にあたらない」と考え、十分に監督していなかったケースです。
事例9：API（システム同士をつなぐ仕組み）の悪用 会員IDなどを書き換えると、他人の情報が見られる状態でした。アプリやWebサービスを運営している方は、開発会社と一緒に確認してみてください。
また、委員会は、中小規模事業者でもできる基本の対策の例を示しています。これは、ガイドラインの見直し予定の内容を先取りしたもので、確定は2027年4月の予定です。
OSを最新の状態に保つ
ウイルス対策ソフトを入れ、自動で更新する
メールでファイルを送るときは、パスワードを設定する
アクセス状況などの記録（ログ）を一定期間保管する
個人データを扱う機器と担当者をはっきりさせる
あわせて、使わなくなった個人データは、遅滞なく消去するよう努める義務があります（法22条）。消去が徹底されず、被害が大きくなった事例もあると注意喚起されています。
社内では「気づいたら誰に連絡するか」を決めておき、委託契約には漏えい時の連絡に関する条項を入れておくと安心です。 なお、改正法では課徴金制度の導入や刑事罰の引き上げも予定されています。平時の備えの重要性は、これからさらに高まりそうですね。
漏えい時の報告・通知のサポート料金
個人情報の漏えいは、「おそれ」の段階から報告の対象になり、最初の報告の目安は数日と短めです。気づいたときに慌てないよう、早めにご相談いただくことが何よりの近道かもしれません。
くみ行政書士事務所では、漏えい時の報告書や本人への通知文の作成をサポートしています。代表は大手企業のIT部門で実務を経験しており、状況を図で「見える化」しながら、最初に全体像をお示しして、ゴールまで一緒に歩みます。
また、平時の備えとしては、Webサービス・アプリ専用の「利用規約・プライバシーポリシー作成」（88,000円（税込）〜）や、発注企業向けの「IT業務委託契約書作成」（88,000円（税込）〜）もお受けしています。
ご相談はこちらから ▶ まずは相談してみる
RELATED SERVICE利用規約・契約書の作成をサポートしています
IT現場の実務を知る行政書士（著作権相談員）が、利用規約・プライバシーポリシー・業務委託契約などの作成を承っています。