漏えい等発生時の報告・通知義務と契約条項

【応用実務】最終確認：2026年10月25日

一　いつ・誰が・何をするのか

委託先から連絡が入りました。「サーバーに不正アクセスがあったようです。詳細は調査中です」。

このとき、時計はすでに動いています。個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、個人情報保護委員会に報告しなければなりません（個人情報保護法26条1項）（注1）。本人への通知も要ります（同条2項）（注1）。

問題は、誰がいつ報告するのかが、委託関係では入り組んでいることです。そして、その入り組み方は契約条項で決まります。

漏えい等事案が発覚した場合に事業者が講ずべき措置は、5つに整理されています（注2）。

1. 事業者内部における報告および被害の拡大防止
2. 事実関係の調査および原因の究明
3. 影響範囲の特定
4. 再発防止策の検討および実施
5. 個人情報保護委員会への報告および本人への通知

このうち5だけが、改正により法令上の義務になりました（注3）。残る4つも講ずべき措置として明記されていますが（注2）、期限が切られているのは5です。

---

二　手順

1　委員会への報告は二段階

報告は速報と確報の2つに分かれます。

速報　報告対象事態を知ったときは、速やかに報告します（規則8条1項）。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3〜5日以内であるとされています（注4）。報告事項は9つですが、速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足ります（注4）。

確報　当該事態を知った日から30日以内（規則7条3号の事態については60日以内）に報告します（規則8条2項）（注5）。確報では9つの事項すべてを報告しなければなりませんが、合理的努力を尽くしたうえで一部の事項が判明していない場合は、その時点で把握している内容を報告し、判明次第、報告を追完するものとされています（注5）。

期限の数え方にも定めがあります。確報の報告期限の算定に当たっては土日・祝日も含め、30日目または60日目が土日、祝日または年末年始閉庁日の場合は、その翌日を報告期限とします（注6）。知った日を1日目として数えます（注7）。

2　本人への通知は、内容も期限も別に決まる

本人への通知は、報告とは別の義務です。通知すべき事項は、報告事項9つのうち5つ（概要、漏えい等が発生した個人データの項目、原因、二次被害またはそのおそれの有無および内容、その他参考となる事項）に限られています（注8）。

期限は「当該事態の状況に応じて速やかに」です（規則10条）（注9）。日数の目安は示されていません。具体的に通知を行う時点は、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断するとされています（注9）。

ガイドラインは、その時点で通知を行う必要があるとはいえない事例を2つ挙げています。掲示板の管理者に削除を求める等の初期対応が完了しておらず、本人に通知することでかえって被害が拡大するおそれがある場合と、事案がほとんど判明しておらず、通知しても本人が権利利益を保護する措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合です（注10）。

なお、2026年7月17日公布の改正法（令和8年法律第56号）により、公布の日から起算して2年を超えない範囲内で政令で定める日からは、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合も、代わりの措置をとることを条件に本人通知の例外となります（改正後26条2項ただし書）。

3　委託先で起きたとき、誰が報告するか

ここが契約条項に直結します。

委託先が漏えいを起こした場合、委託元と委託先の双方が報告義務を負うのが原則です。ただし、規則9条による例外があります。

委託先は、……報告義務を負っている委託元に対し、3-5-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3〜5日以内である。 この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない（注11）

本人への通知も同じ構造です。委託している場合は原則として委託元と委託先の双方が本人への通知義務を負いますが、委託先が委託元に通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除されます（注12）。

つまり、委託先が委託元に通知した瞬間に、報告も本人通知も委託元の仕事になります。委託先は、そのあと事態の把握を行い、必要に応じて委託元の報告に協力することが求められるにとどまります（注11）。

---

三　つまずきやすいところ

1　時計は、現場の一人が気づいた時点から動いている

報告期限の起算点となる「知った」時点は、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とします（注13）。

この「部署が知った」の意味について、次の指摘があります。

Q&A6-21によれば、原則として、部署内の「ある従業者」が報告対象事態を知った時点で「部署が知った」ことになる。したがって、経営陣や部署内の責任者へのエスカレーションがなくても、誰か一人の従業員が事態を把握した時点から報告期限の計算が進行することに注意が必要である（注14）

社内で情報が上がってくるのを待っていると、その間に期限が減ります。速報の目安が3〜5日しかないことを考えると、現場からの一報が遅れるだけで足りなくなります。

2　委託元の速報は、委託元が知った時から数える

二の3のとおり、委託先は事態を知った時点から概ね3〜5日以内に委託元へ通知します。そして委託元は、遅くとも通知を受けた時点で報告対象事態を知ったことになり、そこから速やかに報告しなければなりません（注11）。

委託元の速報の目安は、委託元自身が報告対象事態を知った時から数えるので、委託先が通知までに使った日数がそのまま差し引かれるわけではありません。ただし、委託元が別の経路で先に知っていれば、その時点が起点です。それでも、通知が遅れれば被害の拡大を止める初動が遅れます。条項例は、委託先から委託元への通知の目安が概ね3〜5日以内とされていることを踏まえ、委託元への通知期限を72時間以内としています（注15）。もっとも、委託元の立場から24時間以内とする例や、委託先の立場から「速やかに」と定めるにとどめる例もあります（注15）。

3　二重報告と、どちらもしないの両方が起きる

規則9条の例外は、委託先が委託元に通知したときに限って委託先の義務を免除するものです（注11）。ここを取り違えると、次の2つが起きます。

• 二重報告　委託先が自ら委員会に報告し、委託元も報告する。同一事案が二重に受理される
• どちらもしない　委託先は「委託元が報告するはず」と考え、委託元は「委託先が報告したはず」と考える

契約書に「委託先は自ら報告等を行わない」と書いておくと、この取り違えが防げます。条項例でも、委託先が独自に報告等を行うことを制限しています（注16）。あわせて、漏えい等が生じた場合に委託先が甲の事前の同意なく公表せず、本人への通知を行わない旨を定めています。ただし、委託先が法令を遵守するためにやむを得ない場合はこの限りでない、というただし書が付いています（注17）。

4　報告したら必ず立入検査、ではない

報告をためらう理由として、そのあとの行政対応を心配する声があります。実際の運用は、個人情報保護委員会の年次報告の統計から読み取れます（注18）。

令和3年度の統計では、個人データの漏えい等事案の報告受付件数5,846件に対し、報告徴収329件、立入検査4件、指導・助言217件、勧告3件、命令1件でした（注18）。個人データの漏えい等事案に関する報告の受付件数に比しても、報告徴収や立入検査、指導・助言等の件数は少なく、指導および助言に至るのは一部にとどまっています（注18）。なお、監督の件数は漏えい等事案に限られないため、報告件数に対する処分の割合を示すものではありません（注18）。

さらに、過去に実施された報告徴収や立入検査をみると、業法に基づく定期検査と合わせて実施されたものを除けば、安全管理措置に相当の懸念のある事案や個人情報の適切な取扱いに懸念のある事案を対象として行われており、個人データを漏えいしたからといってただちに報告徴収や立入検査の対象となるわけではないと思われます（注18）。

---

四　仕組みにする

インシデント対応は、起きてから条項を読み直していては間に合いません。契約と社内規程の両方に置きます。

契約に置くもの

項目	書き方
委託先から委託元への通知期限	「知ったときから72時間以内」等、時間で切る
通知すべき内容	規則8条1項各号の9項目を引く
委託先の単独対応の禁止	委員会への報告・公表・本人通知を、委託元の同意なく行わない（法令遵守のためやむを得ない場合を除く）
調査への協力義務	原因の調査に直ちに着手し、結果を報告する
再発防止措置	委託元が満足する内容の措置を講じ、内容を報告する
費用と損害の負担	調査費用・弁護士費用を含めて、委託先の帰責事由による場合の負担を明記する

条項例は、このうち通知期限・調査・再発防止・費用と損害の負担を10項に（注19）、公表と本人通知の単独実施の禁止を11項に（注17）定めています。委員会への報告の扱いは条項例にはないので、別に書き足します。損害賠償義務については、別途の条項で一部免責が定められる場合がありますが、情報漏えいによる損害は巨額になるおそれがあるため、免責の適用を除外することも考えられ、サイバー保険の利用も検討の余地があります（注20）。

社内規程に置くもの

契約で相手方を縛っても、自社が動けなければ期限は守れません。三の1のとおり、現場の一人が気づいた時点で時計が動きます。

• 一報の宛先を1か所にする　誰に上げるかを迷わせない
• 判断を待たずに上げる　報告対象事態に当たるかの判断は、上げた先でする
• 委託先からの連絡の受け皿を決める　契約書に書いた通知先が、実在して機能しているかを確かめる

契約書の通知先が退職者のメールアドレスのままだった、という事故は起こり得ます。契約更新のたびに、通知先の実在を確かめる運用にしておくのが確実です。

なお、事案の規模によっては調査委員会等の設置を検討することになりますが、その目的、調査対象および調査方法を検討する必要があり、構成員は法的知識を有する有識者のほか、セキュリティ面が論点となる場合には技術的側面を提言できる有識者を加えておく必要があります（注21）。この委員会は、当該事業者や役員個人の法的責任追及を直接の目的にする委員会ではなく、法的責任追及を目的とする委員会とは別組織とすべき場合が多いと思われます（注21）。

---

参考文献等

註

（注1）個人情報保護法26条1項・2項
（注2）個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2016年11月〔2026年6月一部改正〕）3-5-2。岡田淳＝北山昇＝小川智史「個人情報保護をめぐる実務対応の最前線（第9回）インシデント対応(1)──個人データの漏えい等報告をめぐる論点」NBL1222号（2022年）81頁が5つに整理しています
（注3）前掲注2のNBL1222号81頁
（注4）前掲注2のガイドライン3-5-3-3
（注5）前掲注2のガイドライン3-5-3-4
（注6）前掲注2のガイドライン3-5-3-4（※2）
（注7）前掲注2のガイドライン3-5-3-4
（注8）前掲注2のガイドライン3-5-4-3。規則8条1項1号・2号・4号・5号・9号による
（注9）前掲注2のガイドライン3-5-4-2
（注10）前掲注2のガイドライン3-5-4-2の【その時点で通知を行う必要があるとはいえないと考えられる事例】
（注11）前掲注2のガイドライン3-5-3-5
（注12）前掲注2のガイドライン3-5-4-1
（注13）前掲注2のガイドライン3-5-3-3
（注14）前掲注2のNBL1222号88頁。同頁が引くQ&A6-21は、現行のQ&AではQ6-24です
（注15）阿部・井窪・片山法律事務所編『契約書作成の実務と書式──企業実務家視点の雛形とその解説〔第3版〕』（有斐閣、2025）630頁
（注16）前掲注15・630頁
（注17）前掲注15・632頁の条項例11項
（注18）岡田淳＝北山昇＝小川智史「個人情報保護をめぐる実務対応の最前線（第10回）インシデント対応(2)」NBL1226号（2022年）154〜155頁および同頁の【表1】。同表は令和元年度から令和3年度までの個人情報保護委員会年次報告に基づくものです
（注19）前掲注15・632頁の条項例10項
（注20）前掲注15・630頁
（注21）前掲注18のNBL1226号154頁

---