個人情報の漏えい等報告の実務｜速報3〜5日・確報30日／60日と本人通知の動かし方

2022年4月施行の改正個人情報保護法により、一定の漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が法律上の義務となりました。

「うちは大した量を扱っていないから関係ない」「漏えいが起きたら頑張ろう」この姿勢で構えていると、実際に漏えいが発生した時、初動3〜5日以内に速報を出す体制がないことに気づき、その時点で既に法令違反となる事態が頻発しています。

本記事では、漏えい等報告の対象、速報（3〜5日以内）と確報（30日／60日以内）の期限、本人通知の方法、社内体制の整え方を整理します。

「報告義務の対象」4類型のいずれかに該当するか

個人情報保護法施行規則7条は、以下の4類型のいずれかに該当する漏えい等について、報告義務を課しています。

類型1：要配慮個人情報の漏えい等

• 要配慮個人情報＝人種、信条、社会的身分、病歴、犯罪歴、犯罪被害等の機微情報
• 人数を問わず、1名でも漏えいすれば報告義務

類型2：財産的被害が生じるおそれがある漏えい等

• クレジットカード番号、口座番号、ID・パスワードなど不正利用で財産的被害が生じる情報
• 人数を問わず、1名でも漏えいすれば報告義務

類型3：不正の目的をもって行われたおそれがある漏えい等

• 外部からのサイバー攻撃、内部不正、盗難・置き忘れ後の不正利用の疑い
• 人数を問わず、1名でも該当すれば報告義務

類型4：1,000人超の漏えい等

• 本人の数が1,000人を超える漏えい等
• 類型1〜3に該当しない場合の数量基準

「うちは大した量を扱っていない」と考える企業企業でも、要配慮個人情報・財産情報・不正アクセスが1件でも疑われれば、報告義務が発生することに注意が必要です。

「速報と確報」2段階の報告義務

速報：3〜5日以内

漏えい等を「知った」日から3〜5日以内（事案による）に、暫定情報で速報を提出します。

• タイミング：「概ね3〜5日以内」（個人情報保護委員会のQ&Aで運用基準が示される）
• 内容：判明している範囲の概要、対象本人数、漏えい情報の種類
• 方法：個人情報保護委員会のウェブフォーム経由
• 未確定事項：分かっている範囲で報告。「全部判明してから出す」のはNG

確報：30日（類型1〜3）または60日（類型4）以内

• タイミング：類型1〜3は30日以内、類型4（1,000人超）は60日以内
• 内容：原因・再発防止策まで含めた詳細
• 報告事項：概要、漏えい情報の種類・本人の数、原因、二次被害の有無、本人への対応、公表の状況、再発防止策など全9項目

「期限ギリギリに完璧な報告を出す」より、「速報で第一報を出して、確報までに詳細を詰める」が正しい進め方です。

本人通知の方法と例外

漏えい等報告の対象となる場合、本人への通知も法律上の義務です。

• タイミング：「事態の状況に応じて速やかに」
• 方法：書面・電子メール・封筒の郵送等、本人に届く方法
• 内容：概要、漏えいした情報の種類、原因、二次被害防止のための対応、問い合わせ窓口

本人通知の例外

• 本人への通知が困難（連絡先を保有していない等）で、公表など本人の権利利益を保護するために必要な代替措置を講じている場合は、本人通知に代えることが可能
• 「メールアドレスしかなく、配信不能になっている」場合は、公表での代替が認められやすい

社内体制の整え方

漏えい等報告は、発生から3〜5日以内という短期間で動く必要があるため、平時の体制整備が必須です。

要素1：インシデント検知のフロー

• システム監視（不正アクセス・データ流出の検知）
• 社員からの通報窓口（紛失・誤送信の自己申告）
• 外部からの通報（取引先・本人・SNS指摘）

要素2：初動対応チーム（CSIRT）

• メンバー：情シス、法務、広報、コンプライアンス、関連事業部
• 責任者：CISO・CTOまたは経営層
• 権限：システムの一時停止、対外公表、外部専門家への依頼

要素3：判断フロー（報告対象かの判定）

• 「対象に該当するか」のチェックリスト：4類型のどれに該当するかを15分で判定できる業務フロー
• 「該当する可能性がある」段階で速報の準備を始めることが、3〜5日以内達成の鍵

要素4：報告書テンプレートと提出窓口

• 個人情報保護委員会のフォームに記入する内容を社内フォーマットで先に作成する仕組み
• 法務・広報・情シスでの並行作業を可能にするテンプレート設計

要素5：本人通知の運用

• 連絡先データの保有状況の棚卸し：紙ベース・メール・電話の混在状況
• 大量通知のシステム化：1万件超の場合の発送・コールセンター手配の事前準備
• 問い合わせ対応スクリプト：FAQ・想定問答の事前整備

業務委託先での漏えいの取扱い

業務委託先で漏えいが発生した場合の報告主体は、委託元・委託先の両方です。

• 委託元：自社が個人情報取扱事業者として報告義務を負う
• 委託先：委託先自身も個人情報取扱事業者として報告義務を負う

「委託先が報告すれば、委託元は報告しなくてよい」ではないことに注意が必要です。両者がそれぞれ自身の名義で報告する必要があります。

委託契約での事前整備

• インシデント発生時の通知義務：委託先から委託元への何時間以内の通知義務
• 報告書ドラフトの共有：委託先が個人情報保護委員会に提出する内容の事前共有
• 本人通知の主体：委託元・委託先どちらの名義で通知するかの事前合意
• 再発防止策の共同検討：原因分析・対策の共同実施

ありがちな落とし穴

落とし穴1：「該当するか分からない」と判定に時間をかける

「報告対象に該当するかどうかの判定」に5日以上かけると、該当した場合に速報の期限を逃します。「該当する可能性がある」段階で速報の準備を並行で進めることが、期限達成の前提です。

落とし穴2：速報を「完璧」にしようとする

速報は暫定情報で良い制度ですが、「未確定事項が多いから出せない」と先送りするケースが多発します。「判明している範囲で出す」「未確定事項は『調査中』と明記する」が正しい進め方です。

落とし穴3：本人通知の連絡先データが古い

長期間更新されていない顧客データでは、本人通知のメール送信失敗・郵便不達が大量発生します。「連絡先データの定期的なクレンジング」が、平時から必要です。

落とし穴4：委託先任せにする

「委託先で起きたから委託先が報告する」と勘違いして、委託元が報告を怠ると、委託元自身が法令違反となります。委託契約と社内手順書で「両方が報告する」前提を明文化しておく必要があります。

漏えい発覚から72時間のチェックリスト

最後に、漏えい発覚から72時間以内に対応すべき項目を整理します。

• 【0〜2時間】インシデントの確認と被害拡大の遮断（システム停止、アクセス権限剥奪）
• 【2〜12時間】CSIRT招集、事実関係の初期把握、報告対象該当性の判定
• 【12〜24時間】速報の準備開始、本人通知の準備、対外公表の方針決定
• 【24〜48時間】速報の提出、本人通知の発送、コールセンター開設
• 【48〜72時間】公表（必要時）、メディア対応、確報の作成準備

「全部のステップを自社単独で動かそう」とせず、外部の弁護士・フォレンジック調査会社・PR会社を平時から候補に持っておくことが、初動の速さを決めます。

結論：「初動72時間で全部決まる」前提で平時に備える

個人情報の漏えい等報告は、「3〜5日以内の速報」「30日／60日以内の確報」「速やかな本人通知」という、タイムプレッシャーが極めて強い義務です。

「漏えいが起きたら頑張ろう」では絶対に間に合わないため、平時の段階で5要素（検知フロー・CSIRT・判断フロー・テンプレート・本人通知運用）を整えておくことが、法令遵守と被害最小化の両方を実現する唯一の方法です。