個人情報漏えいの報告義務｜PPCへの速報・確報・本人通知を実務解説

個人情報漏えいの報告義務｜PPCへの速報・確報・本人通知を実務解説

～個人情報保護法26条・施行規則7条～10条に基づく実務対応ガイド／2026年9月6日時点～

── 漏えい対応で一番のリスクは、「対応が遅れること」ではなく、「判断を誤ること」です。本記事では、その判断に必要な法的要件と実務ポイントを、条文・ガイドライン等の一次資料に沿って網羅的に解説します。

2022年4月1日施行の令和2年改正個人情報保護法により、一定の個人データの漏えい等が発生した場合の個人情報保護委員会（PPC）への報告と本人への通知が「義務化」されました。さらに2024年4月1日施行の施行規則改正により、いわゆるWebスキミング等を捉える形で報告対象が拡大されています。

加えて、2026年7月10日には「個人情報の保護に関する法律等の一部を改正する法律」が成立し、同月17日に公布されました。ただし主要な改正規定は2026年9月6日時点でまだ施行されていません。現在発生している漏えい事故については、あくまで現行の法26条・現行施行規則7条～10条・現行ガイドラインに基づいて対応する必要があります。

本記事では、漏えい等報告の「速報」と「確報」の違い、報告が必要な4つの類型、報告事項、期限の考え方、本人通知、委託先で事故が起きた場合の整理、そして2026年改正法の現在地までを、実務担当者が押さえるべき粒度で解説します。

1. 漏えい等報告とは

漏えい等報告とは、個人情報取扱事業者が取り扱う個人データについて、漏えい・滅失・毀損（以下「漏えい等」）その他の個人データの安全の確保に係る事態のうち、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときに、個人情報保護委員会への報告（法26条1項）及び本人への通知（法26条2項）を行う義務のことです。

すべての漏えい等が対象になるわけではなく、対象は施行規則7条で定める4類型（報告対象事態）に限定されています。

【重要】26条1項にはただし書があります。委託先が委託元へ所定の通知をした場合には、委託先自身のPPCへの報告義務が免除されるという構造になっており、これが第9章で扱う「委託先事故」の理解の出発点になります。

2022年4月1日の改正法施行前は努力義務にとどまっていましたが、改正により法的義務となりました。報告義務違反は指導・助言、勧告、命令の対象となり得ます（詳細は第10章）。

2. 報告が義務となる4つの類型

個人情報保護法施行規則7条は、法26条1項本文の「個人の権利利益を害するおそれが大きいもの」として、次の4つの類型を定めています。いずれかに該当すれば報告義務が生じます。

出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-1、同「漏えい等の対応とお役立ち資料」

3. 「漏えい」「滅失」「毀損」の考え方と報告を要しない場合

該当性判断の入口で最も詰まりやすいのが、「そもそもこれは漏えいなのか」という点です。通則編ガイドライン3-5-1は、次のとおり定義しています。

「漏えい等」に該当しないとされる場合

• 第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しません（通則編ガイドライン3-5-1-2）。逆にいえば、一部でも回収できていない、あるいは閲覧の可能性を否定できない場合には、漏えい（又はそのおそれ）として扱う必要があります。
• 事業者が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しません（第三者提供は原則としてあらかじめ本人の同意が必要である点は別論です）。
• 滅失・毀損について、その内容と同じデータが他に保管されている場合は、滅失・毀損に該当しません。合理的な理由により削除する場合も滅失に該当しません。
• ただし、帳票等が適切に廃棄されていない場合や、紛失物が社外に流出した場合には、漏えいに該当し得ます。また、ランサムウェア被害で同時に個人データが窃取された場合は、毀損に加えて漏えいにも該当します。

高度な暗号化等が施されている場合

規則7条1号は、対象となる個人データから「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」を除外しており、この括弧書きは規則7条全体及び規則8条1項に及びます（「以下この条及び次条第1項において同じ。」）。

通則編ガイドライン3-5-3-1も、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については報告を要しないとしています。

4. 「速報」と「確報」の違い

個人情報保護委員会への報告は、「速報」（規則8条1項）と「確報」（規則8条2項）の2段階で行います。

出典：個人情報保護委員会「ガイドライン（通則編）」3-5-3-3・3-5-3-4

起算点となる「知った」時点

ガイドライン3-5-3-3は、報告期限の起算点となる「知った」時点について、個別の事案ごとに判断されるとしつつ、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とすると明記しています。

つまり、法務部門やCSIRTが把握した時点ではなく、現場部門・支店・コールセンター等、いずれかの部署が最初に把握した時点が起算点になり得ます。「法務に上がってきた日から数える」という運用は誤りです。

なお、確報を行う時点（30日以内又は60日以内）において、合理的努力を尽くした上で一部の事項が判明しておらず全ての事項を報告できない場合には、その時点で把握している内容を報告し、判明次第、報告を追完することとされています。「全部が固まるまで確報を出さない」は誤った運用です。

5. 報告事項の詳細（9項目）

施行規則8条1項各号に定められた報告事項は、以下の9項目です。

【ポイント】速報では、上記のうち報告をしようとする時点において把握しているものを報告すれば足ります（規則8条1項括弧書き）。確報では9項目全ての報告が求められますが、合理的努力を尽くしても判明しない事項は判明次第追完できます。
また、後述の本人通知で必要となるのは、このうち1号・2号・4号・5号・9号の5項目です（規則10条）。速報の作成段階から、本人通知に転用できる形で整理しておくと二度手間になりません。

6. 報告先と報告方法

報告先の原則と例外

報告先は原則として個人情報保護委員会です。ただし、PPCが法150条1項の規定により報告を受理する権限を事業所管大臣に委任している分野の事業者は、PPCではなく権限委任先府省庁等に報告する必要があります。この場合、当該事業者が行った報告の内容は、権限委任先府省庁等を通じてPPCに報告されます。

事業所管大臣に報告する場合でも、報告期限はPPCに報告する場合と同様です（通則編ガイドライン3-5-3-3）。

報告方法（2026年9月時点）

PPCへの報告は、規則8条3項により、原則として電子情報処理組織を使用する方法（PPCウェブサイトの漏えい等報告フォーム）により行います。権限委任先の事業所管大臣に報告する場合は、原則として別記様式第一による報告書を提出する方法によります（報告先が別に定める場合はその方法）。

通常のPPCへの漏えい等報告は、原則としてウェブの入力フォームから行います。PPCが掲載しているWord様式は、社内報告や記載事項の確認等のための参考資料であり、報告そのものには使用しないよう案内されています。なお、ランサムウェア事案など、PPCが別の報告方法を案内している場合には、その方法を利用することができます（後述）。

PPCの漏えい等報告フォームは、次の区分で入口が分かれています。

• 漏えい等した情報にマイナンバーが含まれている場合（不明な場合を含む）：事業者・行政機関等ともにマイナンバー用フォームから報告
• 行政機関等：行政機関等用フォーム
• 民間事業者・規律移行法人（法58条1項各号）：権限委任業種に該当する場合は権限委任先省庁へ／該当しない場合はPPCのフォーム

PPCは、記入例（委託先事例／不正アクセス事例／要配慮個人情報／誤送付事例／クラウド事業者による代行報告事例）も公開しています。事前に目を通しておくと、速報作成時の粒度感がつかめます。

▶ 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告フォーム・記入例・様式）

ランサムウェア事案の関係省庁共通様式

政府全体としてのサイバー攻撃の被害報告一元化の方針に従い、令和7年（2025年）10月1日以降、ランサムウェア事案による個人データの漏えい等（又はそのおそれ）が発生した場合には、関係省庁申合せに基づく共通様式により報告を行うことができるようになっています。

• 提出方法：PPCが指定するメールアドレス宛に共通様式を送付（件名は「【報告者組織名：報告日（送信日）】ランサムウェア事案の報告について」の形式）
• 漏えいした情報にマイナンバーが含まれている場合、個人データが含まれている場合のいずれでも利用可能
• 権限委任業種に該当する事業者及び行政機関等も利用可能（権限委任業種の具体的手続は権限委任先省庁に相談）

※ 共通様式本体・記載の手引き・関係省庁申合せの詳細は、上記PPC「漏えい等の対応とお役立ち資料」ページ及びリンク先（国家サイバー統括室）で確認してください。

マイナンバー（特定個人情報）が含まれる場合

漏えいした情報にマイナンバー（特定個人情報）が含まれる場合は、個人情報保護法26条の枠組みとは別に、番号法29条の4第1項・第2項及び「行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の4第1項及び第2項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第5号）に基づく報告等のルールを別途確認する必要があります。詳細は特定個人情報の適正な取扱いに関するガイドライン（事業者編）の「（別添2）特定個人情報の漏えい等に関する報告等」を参照してください。

▶ 個人情報保護委員会「特定個人情報の漏えい等事案が発生した場合の対応について」

7. 本人通知義務

報告対象事態が生じた場合には、PPCへの報告に加えて、本人への通知も義務となります（法26条2項）。

通知すべき事項（5項目）

本人へ通知すべき事項は、漏えい等報告の9項目のうち次の5項目に限られています（規則10条）。

1. 概要（規則8条1項1号）
2. 漏えい等が発生し、又は発生したおそれがある個人データの項目（同2号。規則7条3号の事態については同号の個人情報を含む）
3. 原因（同4号）
4. 二次被害又はそのおそれの有無及びその内容（同5号）
5. その他参考となる事項（同9号）＝本人が自らの権利利益を保護するために取り得る措置等

ガイドラインは、これらの事項が全て判明するまで本人通知をする必要がないというものではないことを明記しています。また、本人通知は「本人の権利利益を保護するために必要な範囲において」行うものであり、PPCに報告した詳細な内容をそのまま通知する必要はなく、必要な内容を選択して通知することや、本人ごとに関係する内容のみを通知することが認められています。

通知の時期

通知の時期は「当該事態の状況に応じて速やかに」です（規則10条）。日数の目安は定められていません。ガイドラインは、具体的に通知を行う時点は、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断するとしています。

通知方法と、通知が困難な場合の代替措置

「本人への通知」とは本人に直接知らしめることをいい、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければなりません。ガイドラインは、文書を郵便等で送付する方法、電子メールを送信する方法を例示しています。本人通知については様式が法令上定められていないため、本人にとって分かりやすい形で行うことが望ましいとされています。

本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められます（法26条2項ただし書）。

8. 【2024年4月改正】報告対象の拡大（Webスキミング等）

2024年4月1日施行の改正施行規則により、規則7条3号の対象範囲が拡大されました。いわゆるWebスキミング等への対応です。

改正の背景

Webスキミングとは、ECサイト等の入力フォームに不正なスクリプトを仕込む等により、利用者が入力した個人情報（氏名、住所、クレジットカード番号等）を直接攻撃者に送信させる手口です。この場合、当該情報は事業者の個人情報データベース等に登録される前に窃取されるため、「個人データ」の定義（法16条3項）に該当せず、従来の報告対象からは外れ得るという整理上の問題がありました。

現在の規則7条3号のルール

現行の規則7条3号は、対象となる「個人データ」に、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。」と定めています。

通則編ガイドライン3-5-1-1は、この括弧書きにより、同号に定める事態との関係では、「漏えい」「滅失」「毀損」の考え方における「個人データ」は、事業者が取り扱う個人データに加えて、取得予定の個人情報も含むことになると整理しています。また同3-5-3-1は、次の点を明らかにしています。

• 「取得しようとしている個人情報」に該当するかどうかは、事業者が用いている個人情報の取得手段等を考慮して客観的に判断する
• 個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当する
• 不正行為の主体には、第三者のみならず従業者も含まれる
• 不正行為の相手方である「当該個人情報取扱事業者」には、委託先や、個人データを取り扱うに当たって第三者の提供するサービスを利用している場合の当該第三者も含まれる

ガイドラインが挙げる報告を要する事例（規則7条3号）

• 入力ページの改ざん：ウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該事業者が当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
• リンク・ボタンの改ざん：入力ページに遷移するためのリンクやボタンが改ざんされ、ユーザーがクリックした結果、偽の入力ページに遷移し、そこに入力した個人情報が第三者に送信された場合であり、かつ、当該事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
• 返信用封筒の改ざん：第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報を個人情報データベース等へ入力することを予定していたとき
• 端末経由の感染：従業者の私用端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と自社サーバとの電気通信に起因して当該サーバも感染し、個人データが漏えいした場合

※ 該当性の判断は個別事案ごとの整理が必要です。詳細はPPCガイドライン（通則編）3-5をご確認ください。

9. 委託先で漏えいが発生した場合／クラウドサービス

委託先の報告義務が免除される場合（法26条1項ただし書・規則9条）

委託先が、PPC（権限委任がある場合は事業所管大臣）への報告義務を負っている委託元に対し、規則8条1項各号の事項のうちその時点で把握しているものを通知したときは、委託先は報告義務を免除されます（法26条1項ただし書、規則9条）。

この仕組みについて、ガイドラインは次のとおり整理しています。

• 委託先から通知を受けた委託元が報告を行うことになる
• 委託元への通知についても、速報としての報告と同様に、報告対象事態を知った後「速やかに」行わなければならない。「速やか」の日数の目安は、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内
• 委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない
• 通知を行った委託先は、委託元が報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる
• 委託先が規則9条の通知を行った場合、委託先は報告義務を免除されるとともに、本人への通知義務も免除されます（通則編ガイドライン3-5-4-1）。この場合も、委託先は必要に応じて委託元による本人通知に協力することが求められます

クラウドサービスを利用している場合

クラウドサービスについては、「契約に個人データを取り扱わないと書いてあれば、クラウド事業者は常に報告義務を負わない」と単純化することはできません。判断の順序は次のとおりです。

出典：個人情報保護委員会「ガイドラインに関するQ&A」（Q6-19、Q7-53）、同「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」（令和6年3月25日）。なお、PPCは「クラウド事業者による代行報告事例」の記入例も公開しています。

10. 報告義務違反に対する監督上の措置と罰則の関係

出典：個人情報保護委員会FAQ「個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。」　※刑法等の一部を改正する法律（令和4年法律第67号）により懲役・禁錮は拘禁刑に一本化されています（令和7年6月1日施行）。

直近の監督実績（令和7年度）

PPCが2026年7月に公表した令和7年度年次報告の概要によれば、個人情報取扱事業者等に対する監督実績は次のとおりです（【　】内は令和6年度実績）。

出典：個人情報保護委員会「令和7年度 年次報告の概要について」（令和8年7月）。なお、行政機関等に対する監視では、漏えい等事案に関する報告の処理が2,278件（令和6年度1,951件）でした。

漏えい等報告の処理件数は年間1万件台後半で推移しており、指導及び助言は前年度から増加しています。令和7年度には命令1件・勧告2件が行われ、いずれも名簿業者による不適正な利用の禁止（法19条）違反に関する事案として公表されています。報告義務を履行しないことは、行政対応リスクだけでなく、企業のレピュテーションリスクにも直結します。

11. 【2026年改正法】公布済み・未施行のポイント

漏えい等報告・本人通知に関する改正の方向性

PPCの改正法概要資料は、漏えい等報告・本人通知について、次の内容を挙げています（いずれも未施行であり、具体的な範囲は今後の政令・委員会規則等で定められる想定とされています）。

• 本人通知義務の緩和：本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務を緩和し、代替措置による対応を認める（改正法26条2項）。想定例として、サービス利用者の社内識別子（ID）等、漏えいした情報の取得者においてそれ単体ではおよそ意味を持たない情報のみが漏えいした場合などが挙げられています
• 速報の一部免除：体制・手順に係る認定個人情報保護団体などの第三者の確認を受けること等を前提として、一定の範囲で速報を免除することを可能とする
• 確報の取りまとめ報告：本人の数が1名である誤交付・誤送付のようなケースについて、確報を一定期間ごとに取りまとめた上で行うことを許容する
• 報告対象事態の追加：違法な個人データの第三者提供についても報告対象事態にする
• 窓口の一元化：サイバー攻撃対処能力強化法に基づく報告義務施行に併せて、共通様式（ランサムウェア等）により報告が行われる場合の窓口を一元化する方向で、国家サイバー統括室（NCO）の下で所要の調整を進める

課徴金制度について（誤解の多い論点）

なお、改正法では、勧告・命令の要件と内容の見直し（法148条）、違反行為を補助等する第三者への要請の根拠規定（法148条の2）、個人情報データベース等の不正提供等に係る罰則の対象行為の拡大と法定刑の引上げ、詐欺行為等による個人情報の不正取得に対する罰則の新設等も行われます。これらも施行日は今後の政令によります。

出典：個人情報保護委員会「令和8年 改正個人情報保護法について」、同「個人情報保護法等の一部を改正する法律について」（令和8年7月）

12. 実務対応のポイント

漏えい等発生時に適切な対応ができるよう、平時からの準備が重要です。なお、通則編ガイドライン3-5-2は、漏えい等事案が発覚した場合に講ずべき措置として、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤PPCへの報告及び本人への通知の5項目を挙げています。社内マニュアルは、この5項目の骨格に沿って設計するのが最も安全です。

① インシデント対応マニュアルの整備

• ガイドライン3-5-2の5項目に沿った初動対応フロー
• 規則7条4類型の該当性判断基準と、判断根拠の記録方法
• 「知った」時点の記録ルール（どの部署が、いつ、何を把握したか）
• 報告担当部署・責任者・エスカレーション経路の明確化
• 速報・確報・本人通知文案のテンプレート

② 委託先管理の徹底

• 委託契約への漏えい等発生時の速やかな通知義務条項の追加（規則9条の通知を前提とする場合は、通知事項・期限・連絡先を具体化する）
• 「委託先が通知したら委託元が報告主体になる」ことを前提とした社内受領・エスカレーション体制の整備
• 委託先のセキュリティ体制の定期的な確認（法25条の委託先の監督）
• 再委託・クラウド利用の有無と、実際の個人データ取扱状況の把握

③ 規則7条3号（取得予定情報）への対応

• 入力フォーム・決済ページ・リンク／ボタンの改ざん検知の仕組み
• ウェブサイトのセキュリティ対策強化（WAF導入、外部スクリプトの管理等）
• 「まだデータベースに入っていない情報」も報告対象になり得ることを前提とした社内規程の改訂
• 紙の返信用封筒・アンケート等、非電子経路の取得手段の点検

④ 報告先・様式の事前確認

• 自社の業種が権限委任対象か（最新のPPC「権限の委任」一覧で毎年確認）
• マイナンバーが含まれる場合の報告ルート（番号法側のルールを含む）
• ランサムウェア事案の共通様式の存在と提出方法
• 連名報告・代行報告の可否と、その場合の社内決裁

⑤ 従業員教育

• 「いずれかの部署が知った時点」が起算点になることの周知
• インシデント発見時の即時報告の徹底（隠さない・自己判断で握り込まない）
• 定期的なセキュリティ研修の実施

13. よくある質問（FAQ）

14. 初動チェックリスト

発覚直後から確報提出までの最低限の確認項目です。社内マニュアルの雛形としてご活用ください。

15. 実務で本当に必要なのは「判断を助ける型」

本記事では、漏えい等報告制度の全体像と法的要件を整理しました。しかし実務では、毎回ゼロから考えていては初動が遅れます。

特に以下の場面では、「該当性判断」「速報／確報の切り分け」「本人通知文案の作成」を「その場で」求められます。

まとめ

個人データの漏えい等が発生した場合、個人情報保護法26条に基づき、個人情報保護委員会への報告と本人への通知が義務付けられています。報告対象は施行規則7条の4類型に限られ、いずれも「発生したおそれ」がある段階を含みます。人数基準は「1,000人以上」ではなく「1,000人を超える」場合です。

報告は「速報」と「確報」の2段階で行います。速報の法令上の期限は「速やかに」であり、ガイドライン上の目安は概ね3～5日以内です（固定的な法定期限ではありません）。確報は知った日から30日以内、規則7条3号の事態については60日以内です。起算点は、法人の場合、いずれかの部署が事態を知った時点となります。

委託先で漏えいが発生した場合は、原則として委託元・委託先の双方が報告義務を負い、委託先が法26条1項ただし書・規則9条に基づき委託元へ速やかに通知した場合に、委託先の報告義務と本人通知義務が免除されます。クラウドサービスについては、契約上の文言だけでなく、実際の個人データの取扱状況を踏まえた判断が必要です。

報告義務違反については、法26条違反それ自体に直ちに刑事罰が科されるのではなく、指導・助言、勧告、命令という監督上の措置が先行し、命令違反に刑事罰が結び付く構造です。

2026年7月17日に公布された改正個人情報保護法は、2026年9月6日時点で主要規定が未施行であり、PPCが政令・委員会規則・ガイドライン等の整備を進めています。現在発生する事故は、あくまで現行法26条・現行施行規則7条～10条・現行ガイドラインに基づいて対応し、将来施行予定の制度と混同しないようにしてください。