個人情報保護法連載の最終回は「個人情報漏えい発生時の対応と報告義務」について解説します。

---

1.

個人情報の漏えいが発生した場合、会社としては、同時並行で多方面への対応を行う必要があります。

迅速な対応が求められるので、普段からマニュアル等を整備し、いざというときに慌てずに対応できるよう準備しておくことが大切です。

漏えいが発生した場合、大きく分けて、「原因の究明、再発防止策の検討等の技術面の対応」と「個人
情報保護委員会への報告、プレスリリース等の対外的な対応」の二つが必要になります。

２.

個人情報保護法上、個人情報保護委員会に対する報告が義務付けられているのは、以下の４つの場合です。

①要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態

②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態

④個人データに係る本人の数が1000人を超える漏えい等が発生し、又は発生したおそれがある事態

なお、個人データの取扱いを第三者に委託している場合には、原則として、委託元と委託先の双方が、上記の報告義務を負うことになります。　

また、上記の報告は、「速報」と「確報」の二段階で行うことが想定されています。

「速報」の期限について明確な定めはありませんが、おおむね3～5日以内とされています。

他方、「確報」については、明確な期限が設けられています。

具体的には、上記①②④の場合には「当該事態を知った日」から30日以内、上記③の場合には60日以内です。

個人情報保護委員会に「速報」を提出すると、確報の提出期限のほか、報告対象事態の種類・内容に応じた追加情報の提出の要望がなされることもあります。

分野によっては、個人情報保護委員会が特定の省庁に権限を委任している場合もあるので、その場合には当該省庁に対して報告をすることになります。

３.

個人情報保護委員会への報告と並行して、報告対象自体が生じたときには、当該個人情報の本人に対しても通知をする必要があります。

本人の連絡先が不明である等本人への通知が困難である場合は、事案の公表ないし問合せ窓口の連絡先を公表することにより、本人への直接の通知に代えることも認められています。

その他、個人情報の漏えいがサイバー攻撃によるものである場合には警察への連絡が必要となったり、取引先に対する対応やプレスリリース等が必要となったりするケースも考えられます。

影響する範囲が大規模である場合には、個別にコールセンターを設置し、問合せ窓口を一元化し、漏えい後の対応にブレが生じることのないようにする必要もあります。

＜初出：顧問先向け情報紙「コモンズ通心」2026年6月5日号(vol.316)＞

※掲載時の法令に基づいており、現在の法律やその後の裁判例などで解釈が異なる可能性があります。

◆連載◆「個人情報保護法」について
1.個人情報保護法のあらまし
2.個人情報に該当するものとは
3.個人情報保護法の基本ルールと実務のポイント
4.個人情報保護法における第三者提供と委託
5.本人からの請求に対する対応
6.個人情報漏えいが発生したら～対応の流れと報告義務の概要～

コモンズ通心 / 弁護士：下山田　聖