個人情報保護委員会への
報告要件

個人情報保護委員会への報告要件は、個人データの漏えい、滅失、毀損その他の安全確保に関わる事態のうち、個人の権利利益を害するおそれが大きい類型に該当する場合に問題になります。すべての事故が報告対象になるわけではありませんが、要配慮個人情報、財産的被害、不正目的、本人1,000人超のいずれかに触れる場合は、初動から報告を前提に事実を整理する必要があります。

次の重要ポイント一覧は、報告要件を判断するときに最初に確認する観点を表しています。事故直後は情報が不足しやすいため、どの観点を優先して確認すべきかを読み取り、調査中の事項は調査中として記録することが重要です。

実務上の結論は、調査が終わってから考えるのではなく、発見直後から報告要件を仮判定し、証拠保全、被害拡大防止、本人通知、公表、委託先対応を並行して進めることです。個人情報保護委員会への報告と本人通知は関連しますが、相手方と目的が異なる別の義務として整理します。

報告義務の中心は、個人情報ではなく個人データです。氏名やメールアドレスなどの情報が含まれていても、それが個人情報データベース等を構成しているか、どの事業者が事業として取り扱っているかを確認しなければ、報告要件の判断は安定しません。

次の比較表は、報告要件の前提になる基本概念を並べています。左から概念、実務上の見方、事故時に確認する点を読むことで、対象情報が報告義務の土台に乗るかを確認できます。

実務では、顧客データベースから抽出した一覧、採用管理システムの応募者一覧、委託先へ渡した配送リスト、人事給与システムの従業員情報などが個人データに当たる可能性があります。単なるメモか、体系的に検索できる情報かを丁寧に分けることが重要です。

漏えいは外部流出、滅失は内容の喪失、毀損は意図しない変更や利用不能状態を意味します。電子データだけでなく、紙、USBメモリ、PC、スマートフォン、印刷物、クラウドストレージ、メール、チャットも対象になり得ます。

次の比較表は、漏えい、滅失、毀損の違いと典型例を表しています。事故の性質によって必要な証拠や再発防止策が変わるため、どの列に近い事案かを読み取ることが重要です。

暗号化されているという社内呼称だけでは足りません。復号鍵が同じ端末にある、パスワードが同梱されている、簡単に推測できる、ログイン状態で紛失した、といった事情があれば報告不要とする判断は慎重に行う必要があります。

速報は、報告対象事態を知った後、速やかに行います。実務上の目安は概ね3日から5日以内です。確報は原則として30日以内、不正目的類型に該当する場合は60日以内です。期限は営業日感覚ではなく、カレンダー日を前提に管理します。

次の時系列は、事故発見後にどの順番で対応を進めるかを表しています。上から下へ時間が進むため、速報が全容解明後の作業ではなく、調査と並行して行う対応であることを読み取ることが重要です。

複数類型に該当し、その中に不正目的類型が含まれる場合は、60日以内の確報期限を意識します。事故発見時点で対象データ、人数、原因、再発防止策、本人対応が十分に分かっている場合は、速報と確報を兼ねることもあります。

報告対象事態に該当する場合、原則として本人通知も必要になります。本人通知の目的は、本人が自ら権利利益を保護し、二次被害を防止できるようにすることです。行政報告の内容をそのまま転記するのではなく、本人が理解できる表現に整えます。

次の一覧は、本人通知で整理する観点を表しています。本人にとって重要なのは、何が起きたかだけでなく、自分にどのような影響があり、何に注意すればよいかを読み取れることです。

通知方法は、郵送、電子メール、会員ページ、アプリ通知、電話、対面説明などが考えられます。通知が困難な場合は、ウェブサイトでの公表、問い合わせ窓口の設置、報道発表などの代替措置を検討します。

典型事例ごとに見るべき情報は異なります。メール誤送信では対象情報と削除確認、ランサムウェアでは外部流出のおそれと毀損、端末紛失では暗号化と鍵管理、内部持ち出しでは不正目的、クラウド設定ミスでは公開範囲とアクセスログが重要です。

次の一覧は、代表的な事故類型と判断ポイントを整理したものです。事例名だけで報告要否を決めるのではなく、対象情報、人数、不正目的、回収可能性、証拠の有無を読むことが重要です。

メールアドレス単体の漏えいは、直ちに財産的被害のおそれの類型に該当しない場合があります。ただし本人の数が1,000人を超える場合、不正目的の攻撃で取得されたおそれがある場合、他の情報と結び付く場合は、別類型を含めて検討します。

事故対応では、発見直後の数時間で証拠保全や被害拡大防止の質が決まります。報告要件を判断するためにも、対象データ、対象人数、四類型、委託関係、報告先、本人通知を早期に整理する必要があります。

次の時系列は、初動から事後対応までの作業を順番に並べたものです。上から下へ進むほど調査が深まるため、各段階で何を終えておくべきかを読み取ってください。

初動で最も避けたいのは、調査のためにログを上書きすること、証拠を消すこと、関係者の連絡が遅れること、速報期限を営業日ベースで誤認することです。

マイナンバーを含む特定個人情報が関係する場合は、個人情報保護法上の報告義務と、マイナンバー法・関連ガイドライン上の報告義務を別々に検討します。金融、保険、医療、通信、教育、決済、上場会社などでは、業法や監督指針、上場規則、契約、認証制度も関係します。

次の比較表は、個人情報保護委員会への報告以外に確認すべき制度を表しています。事故対応では、どの制度が重なっているかを読み取り、提出先、期限、説明内容を分けて管理することが重要です。

当局報告では、事実を過小評価したり、未確認事項を断定したりしないことが重要です。日本法、外国法、契約、業界規制を横断するため、グローバル企業ではインシデント対応プロトコルを整えておく必要があります。

1人だけなら報告不要ですか

一般的には、対象者が1人でも、要配慮個人情報、財産的被害のおそれ、不正目的のおそれに該当する場合は報告対象事態になり得るとされています。ただし、対象情報、事故態様、証拠関係によって判断は変わります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

メールアドレスだけなら絶対に報告不要ですか

一般的には、メールアドレスだけでは直ちに財産的被害のおそれの類型に該当しない場合があります。ただし、本人の数が1,000人を超える場合、不正目的の攻撃で取得されたおそれがある場合、他の情報と結び付く場合には結論が変わる可能性があります。

暗号化していれば報告不要ですか

一般的には、高度な暗号化と適切な鍵管理により第三者が容易に閲覧できない場合、報告対象事態に該当しないと評価されることがあります。ただし、暗号方式、鍵管理、パスワード同梱、ログイン状態、認証情報の同時漏えいによって判断が変わります。

委託先の事故は委託先だけが報告しますか

一般的には、委託元と委託先の双方に報告義務が問題となります。ただし、委託先が委託元へ通知した場合、委託先自身の個人情報保護委員会への報告義務が一定範囲で免除される制度構造があります。契約関係とデータ取扱いの実態を確認する必要があります。

調査が終わるまで速報しなくてよいですか

一般的には、速報は判明している範囲で速やかに行うものとされています。全容解明を待つ制度ではありません。未判明事項は調査中と記載し、確報又は補充報告で更新する対応が考えられます。

報告すれば本人通知は不要ですか

一般的には、報告対象事態では本人通知も必要になるとされています。行政報告と本人通知は相手方と目的が異なる別の義務です。本人通知の方法や内容は、対象者、情報項目、二次被害のおそれ、通知困難性によって変わります。

法令

• e-Gov法令検索「個人情報の保護に関する法律」
• e-Gov法令検索「個人情報の保護に関する法律施行規則」

個人情報保護委員会資料

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• 個人情報保護委員会「権限の委任」
• 個人情報保護委員会FAQ「個人情報取扱事業者等が個人情報保護法に違反した場合の措置」