自社や委託先で個人情報の漏えいが疑われたとき、まず確認したいのは「これは個人情報保護委員会に報告しなければならない事案なのか、いつまでに何をすればよいのか」という一点ではないでしょうか。
結論から言うと、個人データの漏えい・滅失・毀損などで個人の権利利益を害するおそれが大きい一定の事態（報告対象の4類型）が生じた場合、個人情報保護法にもとづき、個人情報保護委員会への報告と本人への通知が義務づけられています。令和4年4月1日に施行された義務です。
本記事では、報告義務が生じる4類型と件数の考え方、報告の期限（速報・確報）、本人への通知、報告が不要になるケース、義務を怠った場合の扱い、発覚直後の初動対応までを整理します。あわせて、漏えいを繰り返さないための委託先リスク管理（TPRM）ツールによる平時の体制づくりにも触れます。
目次
一括ダウンロードする
個人情報漏えいの報告義務とは
個人情報漏えいの報告義務とは、取り扱う個人データについて一定の漏えい等の事態が生じたときに、個人情報保護委員会へ報告し、あわせて本人へ通知しなければならないという個人情報保護法上の義務です。根拠は同法第26条にあります。
第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
個人情報の保護に関する法律 第26条第1項｜e-Gov法令検索
この義務は、令和2年の法改正で新設され、令和4年4月1日から施行されました。それ以前は漏えい時の報告が努力義務にとどまっていましたが、現在は「おそれが大きい」と定められた事態について報告と本人通知が法的な義務になっています。
「漏えい・滅失・毀損」と「権利利益を害するおそれ」とは
報告義務の対象は「個人情報」一般ではなく、データベースなどで検索できる形に整理された「個人データ」です。その「漏えい・滅失・毀損」は、次のような事態を指します。
- 漏えい：個人データが外部に流出すること（誤送信、不正アクセスによる流出など）
- 滅失：個人データの内容が失われること（誤って削除した、記録媒体を紛失したなど）
- 毀損：個人データの内容が意図せず変更・破損し、利用できなくなること（ランサムウェアによる暗号化など）
ただし、これらが起きれば必ず報告義務が生じるわけではありません。報告が義務づけられるのは、「個人の権利利益を害するおそれが大きいもの」として個人情報保護委員会規則で定められた事態に限られます。その具体的な線引きが、次に見る4類型です。
報告義務が生じる4類型と件数要件
個人情報保護委員会への報告が義務づけられるのは、施行規則第7条が定める次の4つの類型のいずれかに当てはまる場合です。自社の事案がどれに該当するかを、下の判定表で確認してください。
| ①要配慮個人情報を含む | ②財産的被害のおそれ | ③不正の目的による行為 | ④大規模な漏えい | |
|---|---|---|---|---|
| どんな漏えい等か（例） | 病歴・障害・犯罪歴など、取扱いに配慮を要する情報を含む個人データの漏えい等 | クレジットカード番号と有効期限、送金機能のあるサービスのIDとパスワードなど、不正利用で財産的被害が生じうる個人データの漏えい等 | 不正アクセス・ランサムウェア・従業員による不正な持ち出しなど、不正の目的をもって行われたおそれのある行為による漏えい等 | ①〜③以外でも、本人の数が多い漏えい等 |
| 対象となる件数 | 1人分でも対象 | 1人分でも対象 | 1人分でも対象 | 1,000人を超える（1,001人以上） |
要点は2つあります。1つは、①〜③には件数のしきい値がなく、1人分の漏えいでも報告対象になること。件数で線を引く④とは扱いが異なります。もう1つは、いずれの類型も実際に漏えいした場合だけでなく「漏えいのおそれがある事態」も対象になることです。
一 要配慮個人情報が含まれる個人データ（略）の漏えい、滅失若しくは毀損（略）が発生し、又は発生したおそれがある事態
二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（略）の漏えい等が発生し、又は発生したおそれがある事態
四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
個人情報の保護に関する法律施行規則 第7条｜e-Gov法令検索
③の「不正の目的による行為」は、条文上、すでに取得した個人データだけでなく、事業者が取得しようとしている個人情報も対象に含むと明記されています。たとえば入力途中のフォーム情報を狙った攻撃なども、この類型で捉えられます。
実務では「この情報の漏えいは②や③に当たるのか」と判断に迷う場面が少なくありません。個人情報保護委員会は、通則編ガイドライン（3-5-3-1）とガイドラインQ&Aで、次のような具体的な線引きを示しています。
- クレジットカード番号のみの漏えい：番号全体が漏えいした場合は、暗証番号やセキュリティコードが割り出されるおそれがあるため②に該当します。一方、下4桁と有効期限の組合せだけであれば、ただちには②に該当しないと考えられます。
- 銀行口座情報のみの漏えい：金融機関名・口座番号・名義などの口座情報だけであれば、ただちには②に該当しないと考えられます。ただし、その口座情報とインターネットバンキングのパスワードの組合せが漏えいした場合は②に該当します。
- ランサムウェアによる暗号化：個人データがランサムウェア等で暗号化され、復元キーを失って復元できなくなった場合は「毀損」に当たり報告対象になります。データが外部へ持ち出された痕跡がなくても、漏えいの「おそれ」がある事態として捉えられる場合があります。
出典・参考資料（3件）
報告の期限｜速報（3〜5日）と確報（30日／不正目的60日）
報告は「速報」と「確報」の2段階で行います。ここでは、それぞれの期限と報告する内容を整理します。まず、発覚から確報までの流れと期限を全体像で示します。
速報：まず「速やかに」（概ね3〜5日以内が目安）
速報は、4類型に当たる事態を知った後、「速やかに」報告するものです（施行規則第8条第1項）。個人情報保護委員会は、この「速やかに」の目安を概ね3〜5日以内と示しています。この段階では、判明している範囲の情報を報告すれば足り、原因の詳細が固まっていなくても構いません。
確報：30日以内（不正目的は60日以内）
確報は、事態を知った日から30日以内に、報告事項をすべて報告するものです。ただし、③の「不正の目的による行為」に当たる事態の場合は、調査に時間を要することを踏まえ60日以内とされています（施行規則第8条第2項）。
ここでいう「知った」の起算点は、担当者個人がたまたま気づいた時点ではなく、事業者（法人）としていずれかの部署が当該事態を認識した時点を基準とするのが原則と解されています。現場と管理部門で把握のタイミングがずれても、組織として認識した時点から日数を数えます。
確報で報告する事項は、施行規則第8条第1項が定める次の9項目です（速報の段階では、このうち判明している範囲を報告すれば足ります）。
- 概要
- 漏えい等が生じた個人データの項目
- 漏えい等が生じた個人データに係る本人の数
- 原因
- 二次被害またはそのおそれの有無およびその内容
- 本人への対応の実施状況
- 公表の実施状況
- 再発防止のための措置
- その他参考となる事項
出典・参考資料（1件）
個人情報保護委員会への報告と本人への通知
報告対象と判明したら、実際に行う手続きは「個人情報保護委員会への報告」と「本人への通知」の2つです。それぞれ、どこへ・何を・どのように行うのかを確認します。
報告先・報告方法（委員会へのオンライン報告）
報告先は個人情報保護委員会です。報告は、原則として委員会のウェブサイト上にあるオンラインの漏えい等報告フォーム（電子情報処理組織）から行います。速報と確報のいずれも、このフォームを通じて提出します。オンラインでの報告が困難な場合は、所定の様式による書面での提出も認められています。
出典・参考資料（1件）
マイナンバー（特定個人情報）を含む漏えいについては、行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」）にもとづく別の報告制度があり、本記事で扱う個人情報保護法の枠組みとは取り扱いが異なります。該当する場合は、番号法側の手続きを別途確認してください。
本人への通知（内容・時点・困難な場合の代替措置）
報告対象の事態では、漏えい等の対象となった本人に対しても、状況に応じて速やかに通知しなければなりません（施行規則第10条）。通知する内容は、事態の概要・漏えいした個人データの項目・原因・二次被害またはそのおそれの有無と内容などです。
本人への通知が困難な場合には、本人の権利利益を保護するために必要な代替措置をとることが認められています（法第26条第2項ただし書）。具体的には、事案の公表や、問い合わせ窓口を設けて本人が確認できる状態にするなどの対応が該当します。
出典・参考資料（1件）
報告が不要になるケース
4類型に当たる漏えい等でも、次のケースでは報告義務が生じない、または免除されます。「自社は報告が必要か」を判断する際の確認ポイントになります。
- 高度な暗号化などの秘匿化措置が講じられている場合：個人データに高度な暗号化その他の権利利益を保護するために必要な措置が講じられていれば、報告対象となる「個人データ」から除かれます（施行規則第7条第1号の括弧書き。この扱いは各類型に及びます）。ただし「高度な暗号化等の秘匿化」と認められるには、2つの要件を両方満たす必要があります（ガイドラインQ&A Q6-19）。1つは、第三者が内容を読み取れる状態にすることが困難となる暗号化等の技術的措置が講じられていること。もう1つは、その情報を読み取れる状態に戻すための手段（復号鍵など）が適切に管理されていることです。単に何らかの暗号化をしていれば免除される、というものではありません。
- 仮名加工情報の場合：他の情報と照合しない限り特定の個人を識別できないよう加工した仮名加工情報には、法第26条の規定が適用されません（法第41条第9項）。したがって漏えい等の報告・本人通知の義務は課されません。
- 委託先が委託元へ通知した場合：個人データの取扱いを委託された事業者（委託先）が、漏えい等の事態を委託元へ速やかに通知したときは、委託先自身の報告義務は免除されます（報告主体などの詳細は後述の「委託先で個人情報漏えいが起きた場合」を参照）。
出典・参考資料（2件）
報告義務を怠った場合｜命令違反の罰則と行政対応
「報告しなかったら、ただちに罰金」と受け止められがちですが、正確には段階を踏んだ構造になっています。報告義務（法第26条）に違反したこと自体に、直接の刑事罰は定められていません。
罰則が生じるのは、個人情報保護委員会が勧告・命令を行い、その命令に事業者が違反した場合です。委員会は、法違反に対して緊急に措置をとる必要があると認めるときは、勧告を経ずに命令を出すこともできます（法第148条）。この命令に違反した者は、1年以下の拘禁刑または100万円以下の罰金に処せられます（法第178条）。
さらに、法人については両罰規定により、行為者を罰するほか法人に対して1億円以下の罰金が科されます（法第184条第1号）。加えて、委員会は命令違反があった旨を公表することができるため（法第148条第4項）、金銭的な負担だけでなく信用面のリスクも伴います。
出典・参考資料（3件）
漏えい発覚直後の初動対応フロー
報告義務の判断は、発覚後の対応の流れの中に位置づけられます。個人情報保護委員会が示す対応も踏まえると、初動は次の順で進めるのが基本です。
- 事実関係の確認：いつ・何が・どの範囲で漏えいした可能性があるかを把握します。
- 被害拡大の防止：不正アクセスなら該当システムの遮断、パスワード変更、該当アカウントの停止など、拡大を止める応急措置をとります。
- 調査と類型の判定：原因と影響範囲を調査し、4類型のいずれに当たるか（報告義務が生じるか）を判断します。
- 速報：報告対象であれば、判明している範囲で速やかに委員会へ速報します。
- 本人への通知：対象となる本人へ、状況に応じて速やかに通知します（困難な場合は代替措置）。
- 確報：30日以内（不正目的は60日以内）に、報告事項をすべて委員会へ報告します。
- 再発防止：原因を踏まえた再発防止策を講じ、社内体制や委託先管理を見直します。
とくに②の被害拡大の防止では、原因となった攻撃の手口を正しく把握できているかが初動の精度を左右します。不正アクセスが疑われる場合の手口・原因・被害時の対応については、不正アクセスとは？手口・原因・被害事例から対策・被害時の対応までわかりやすく解説で詳しく整理しています。
個人情報保護委員会は、事業者が行うべき対応や漏えい等報告フォームをまとめた案内を公開しています。実際の報告手続きは、あわせて確認してください。
出典・参考資料（2件）
委託先で個人情報漏えいが起きた場合の報告主体と責任
個人データの取扱いを外部に委託している場合、委託先で漏えいが起きたときに「誰が報告するのか」が問題になります。ここは誤解が生じやすい論点です。
原則として、委託元と委託先の双方が報告義務を負います。ただし前述のとおり、委託先が漏えい等の事態を委託元へ速やかに通知すれば、委託先の委員会への報告義務は免除され、報告は委託元に一本化できます（法第26条第1項ただし書、施行規則第9条）。本人への通知も委託元が行います。
さらに委託元には、委託先が個人データを安全に管理するよう必要かつ適切な監督を行う義務があります（法第25条）。委託先で起きた漏えいであっても、委託元の監督が不十分だったと判断されれば、委託元自身の責任が問われます。委託先の選定と平時からの管理が、そのまま自社のリスクに直結します。
クラウドサービスを利用している場合の扱いも、誤解が生じやすい点です。クラウド事業者が契約上・運用上、保存されたデータを取り扱わないこととなっている場合、報告対象の漏えい等が起きても、報告義務を負うのはクラウドを利用する側の事業者です。クラウド事業者自身は報告義務を負いません（報告の事務をクラウド事業者に委託することは可能です）。
一方、クラウド事業者が個人データを取り扱う場合は、委託先として自らも報告主体になります。
出典・参考資料（3件）
一括ダウンロードする
再発防止と平時の体制整備｜委託先リスク管理をどう整えるか
報告義務への対応は「事故が起きてから」の話に見えますが、本質的に問われるのは平時の備えです。発覚から速報まで数日という短い時間で正確に判断・対応するには、あらかじめ体制を整えておく必要があります。
自社で整えるべきは、漏えいを検知したときの連絡・報告のルール（誰が・いつ・どこへ判断を上げるか）、報告要否を判定する基準の文書化、そして定期的な訓練です。加えて、前章で見たとおり委託先で起きた漏えいも自社が報告・通知の当事者になり得るため、委託先・再委託先のセキュリティを平時から把握しておくことが重要になります。
委託先の数が増えるほど、チェックシートの送付・回収・採点・経年管理を手作業で回すのは難しくなります。こうした委託先リスク管理（TPRM）を効率化するのが、専用のクラウドサービスです。以下では、委託先の調査・監査を仕組み化できるサービスを比較します。
| サービス名 | VendorTrustLink | Conoris BP | AuditnQ |
|---|---|---|---|
| 提供会社 | 株式会社アトミテック | 株式会社Conoris Technologies | RenderingConsulting株式会社 |
| 委託先への調査方式 | チェックシート（アンケート）方式 外部スキャン・自動診断機能はなし | チェックシート（Webフォーム調査票）方式 AIレビューアシストが回答を自動分析 | 既存のExcelチェックシートを取り込み Netskope CCI連携で外部評価データも参照 |
| 準拠・参照基準 | ISO 31000（一般的なリスクマネジメント指針）に準拠 | 自動車産業サイバーセキュリティガイドライン等の業界別テンプレートに対応 | 顧客が用意した既存調査票を利用（標準の評価基準は規定しない） |
| 対応言語 | 日本語 | 日本語 | 日本語 |
| 主な特徴 | 委託先へのチェックシートの送付・回収・採点・経年比較までをクラウドで自動化。ISO 31000準拠 | AIレビューで審査時間を短縮（導入事例で1件あたり平均3時間→1時間）。再委託先まで階層管理 | 既存のExcel運用を維持したまま移行。再委託先（Nth Party）まで含めたサプライチェーン管理 |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 月額費用 | 要問い合わせ（アカウント数×委託先数で個別見積り） | 要問い合わせ（管理企業数により変動） | 要問い合わせ |
| 無料トライアル | あり | あり | 要問い合わせ |
| 導入形態 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る |
ここからは、委託先リスク管理に適したサービスの一例を紹介します。
VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、委託先・取引先へのセキュリティチェックシートの送付から回収・採点・経年比較までをクラウド上で一元化する、委託先リスク管理（TPRM）に特化したサービスです。国際的なリスクマネジメントの指針であるISO 31000に沿った設計を掲げています。
委託先ごとに設問を配信し、委託先が専用アカウントで回答すると、結果が自動採点され、レーダーチャートやダッシュボードで可視化されます。未回答者への自動リマインドや、重要度・個人情報の取扱区分による委託先の分類にも対応しており、Excelやスプレッドシートでの属人的な管理から移行しやすい点が特徴です。
20人未満の小規模企業から大手企業まで幅広い導入実績があり、料金は委託先数と利用アカウント数に応じた個別見積りです（無料トライアルあり）。運営元の株式会社アトミテックは、OSS運用管理ツールの提供などエンタープライズ向けSaaSの実績を持ちます。
委託先リスク管理（TPRM）ツールをほかのサービスとも比べて選びたい場合は、以下の記事で主要なサービスを機能・料金・対応範囲で整理しています。自社に合うツールの選び方もあわせて確認できます。
TPRM（サードパーティリスク管理）ツールおすすめ15選を徹底比較｜委託先リスク管理とセキュリティ格付・評価サービスの違い・選び方を解説
取引先や業務委託先を経由したサイバー攻撃・情報漏えいが相次ぎ、自社のセキュリティ対策だけでは事業を守りきれない時代になりました。委託先のリスクを継続的に把握・管理する取り組みは、サードパーティリスク管理（TPRM：Third-Party R…
まとめ
個人情報漏えいの報告義務は、個人データの漏えい等が報告対象の4類型（①要配慮個人情報②財産的被害のおそれ③不正の目的④1,000人超）のいずれかに当たるときに生じます。①〜③は1人分でも対象で、「おそれ」の段階でも報告が必要です。期限は、まず速やかに速報し、確報は30日以内（不正目的は60日以内）が原則です。
短い時間で正確に判断・対応するには、平時の体制づくりが欠かせません。とくに委託先で起きた漏えいは自社が報告・通知の当事者になり得るため、委託先リスク管理の仕組み化が再発防止の要になります。自社に合ったサービスの資料を集めて、比較検討を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 個人情報が1件でも漏えいしたら報告が必要ですか？
A. 個人情報漏えいの報告義務は、漏えい等が報告対象の4類型のうち①要配慮個人情報②財産的被害のおそれ③不正の目的のいずれかに当たる場合、対象者が1人分（1件）でも報告が必要です。これら3類型には件数のしきい値がなく、1人分の漏えいでも対象になります。一方、①〜③に当てはまらない④大規模な漏えいは、本人の数が1,000人を超える（1,001人以上）場合に限って報告対象になります。
出典・参考資料（1件）
Q. メールの誤送信でも個人情報漏えいの報告義務がありますか？
A. メールの誤送信による個人情報漏えいに報告義務があるかは、誤送信という手段そのものではなく、漏えいした個人データの内容が報告対象の4類型に当たるかどうかで判断します。
たとえば病歴などの要配慮個人情報が含まれていれば①に当たり1件でも報告対象になり、送信先や対象者が多数（本人の数が1,000人超）であれば④に当たります。逆に、どの類型にも該当しない少人数の一般的な情報の誤送信であれば、報告義務は生じません。
Q. 実際に漏えいしていなくても「おそれ」だけで報告が必要ですか？
A. 個人情報漏えいの報告義務は、漏えいが確定していなくても、漏えい等が「発生したおそれがある事態」の段階で報告が必要になります。施行規則第7条は4類型のいずれも「漏えい等が発生し、又は発生したおそれがある事態」と定めており、確証がなくても漏えいの可能性が認められる段階が対象です。原因を調べきってから報告するのではなく、おそれを認識した時点で速報の対象になると考えて対応する必要があります。
出典・参考資料（1件）
Q. 個人情報漏えいの速報と確報の違い、それぞれの期限は？
A. 個人情報漏えいの報告は、判明した範囲でまず行う「速報」と、報告事項をすべて報告する「確報」の2段階に分かれます。速報は事態を知った後「速やかに」行うもので、個人情報保護委員会は概ね3〜5日以内を目安として示しています（この日数は施行規則の条文ではなく委員会が示す目安です）。
確報は、事態を知った日から30日以内、③不正の目的による行為の場合は60日以内に、報告事項をすべて報告します（施行規則第8条第2項）。
出典・参考資料（2件）
Q. 漏えいした本人への通知はいつまでに行いますか？
A. 漏えいの対象となった本人への通知は、事態を知った後、その状況に応じて速やかに行う必要があります（施行規則第10条）。通知する内容は、事態の概要・漏えいした個人データの項目・原因・二次被害またはそのおそれの有無と内容などです。本人への通知が困難な場合は、事案の公表や問い合わせ窓口の設置といった代替措置をとることが認められています（法第26条第2項ただし書）。
出典・参考資料（1件）
Q. 委託先で個人情報漏えいが起きたら、誰が報告しますか？
A. 委託先で個人情報漏えいが起きた場合、委託先が漏えいの事態を委託元へ速やかに通知すれば、委託先自身の報告義務は免除され、報告は委託元が行います（法第26条第1項ただし書、施行規則第9条）。委託元と委託先はもともと双方が報告義務を負いますが、この通知によって報告を委託元に一本化できます。
本人への通知も委託元が担います。また、委託元には委託先を監督する義務（法第25条）があるため、委託先任せにはできず、平時からの委託先管理が自社のリスクに直結します。
出典・参考資料（2件）
Q. 個人情報漏えいを報告しなかったらどうなりますか？
A. 個人情報漏えいの報告義務（法第26条）に違反したこと自体には直接の罰則はなく、罰則が科されるのは個人情報保護委員会の命令に違反した場合です。委員会が勧告・命令を行い、その命令に違反すると、1年以下の拘禁刑または100万円以下の罰金が科され（法第178条）、法人には両罰規定により1億円以下の罰金が科されます（法第184条）。
「報告しないと即罰金」ではなく、命令→違反という段階を踏む構造です。ただし命令違反は公表の対象にもなり得るため、金銭面だけでなく信用面のリスクも伴います。
出典・参考資料（2件）
Q. マイナンバー（特定個人情報）が漏えいした場合も同じ報告義務ですか？
A. マイナンバー（特定個人情報）を含む漏えいは、個人情報保護法ではなく番号法にもとづく別の報告制度の対象となり、本記事で解説した個人情報保護法第26条の枠組みとは手続きが異なります。マイナンバーが含まれる事案では、番号法側で定められた報告のルールを別途確認する必要があり、個人情報保護法の4類型や速報・確報の期限をそのまま当てはめないよう注意してください。
TPRM（委託先リスク管理）サービスの料金を一括チェック
MCB FinTechカタログでは、TPRM（委託先リスク管理）サービスの最新資料をワンクリックで一括入手できます。対応機能・料金体系・サポート体制・セキュリティ方針など、比較に必要な情報をまとめて把握し、社内での検討をスムーズに進められます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
