個人情報が漏れたときの報告期限は、速報3〜5日・確報30日です｜漏えい時の初動
ISSみつの編集部全部が報告対象ではありません。4つの類型です
個人情報保護法26条は、個人の権利利益を害するおそれが大きい漏えい等が起きたとき、個人情報保護委員会への報告と本人への通知を義務づけています。2022年（令和4年）の施行までは努力義務でしたが、いまは義務です。
- 要配慮個人情報が含まれる個人データの漏えい等（病歴、健康診断の結果、犯罪歴など）
- 財産的被害が生じるおそれがある個人データの漏えい等（クレジットカード番号、ログイン情報など）
- 不正の目的をもって行われたおそれがある漏えい等（不正アクセス、ランサムウェア、盗難、従業者による不正な持ち出しなど）
- 本人の数が1,000人を超える漏えい等
いずれも「発生した場合」だけでなく「そのおそれがある場合」を含みます。ここが実務では効いてきます。データが持ち出されたかどうか確証がない段階でも、報告の検討が始まるということです。
注意したいのは4つ目の人数要件です。1,000人以下なら何もしなくてよいわけではありません。上の3つは1件でも対象になります。健康診断の結果が入ったファイルを1人分誤送信した、というだけで要件に当たりえます。
報告は2段階。速報は3〜5日以内が目安
| いつまで | 中身 | |
|---|---|---|
| 速報 | 発覚したら速やかに（おおむね3〜5日以内） | その時点で把握している範囲でよい |
| 確報 | 発覚から30日以内 （不正の目的によるおそれがある場合は60日以内） | 原因、被害状況、再発防止策など |
3〜5日というのは、社内で原因を突き止めてから、では間に合わない速さです。事故が起きてから体制を考えると、この期間はあっという間に過ぎます。
あわせて、本人への通知も必要になります。実務では、報告よりこちらのほうが手間も精神的な負担も大きい。誰に、どの連絡先で、何を伝えるのかを決めておかないと、初動でつまずきます。
先に決めておくと、初動が変わります
- 気づいた人は誰に報告するか（担当者不在時の代理も）
- 個人データを持っているシステム・ファイルの一覧（どこに何人分あるか）
- その情報に要配慮個人情報やカード情報が含まれるか
- 本人への連絡先を、いつでも取り出せる状態にしてあるか
- 相談先（弁護士・システムの委託先・保険会社の事故受付）の連絡先
2つ目の「どこに何人分あるか」を把握していない会社は、意外と多いです。これが分からないと、1,000人超に当たるかどうかの判断すらできません。
費用のほうは、想像より広い範囲にかかります
実際に漏えいが起きると、お金がかかるのは賠償だけではありません。原因を調べるための調査費用、本人への通知にかかる郵送費や事務、問い合わせ窓口の設置、場合によっては見舞金。事業を止めていた期間の損失も出ます。
サイバー保険と呼ばれる商品は、こうした事故対応そのものの費用を対象にしているものが多くあります。ただし補償の範囲は各社でかなり違いますし、事故の届出のしかたにも約款上の決まりがあります。入っている場合は、事故が起きる前に「まずどこへ電話するか」を確かめておいてください。
要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、この3つは1件でも報告対象です。人数要件は1,000人超。報告は速報がおおむね3〜5日以内、確報が30日以内（不正の目的によるおそれがある場合は60日以内）で、本人への通知も必要です。この速さに耐えられるかは、事故の前にどれだけ決めてあるかで決まります。
出典
※本記事は2026年9月時点の一般的な情報提供です。報告義務の有無や具体的な対応は事案により異なりますので、実際の判断は個人情報保護委員会の案内および弁護士等の専門家にご確認ください。補償内容やご加入の判断は、各保険会社の契約概要・重要事項説明書等を必ずご確認ください。
「うちが持っている個人情報って、どこまでが対象になるんだろう」というところから一緒に洗い出します。加入済みの保険で事故対応の費用が見られるのかも、証券を見れば確認できます。まずは現状を並べるところからで結構です。
