個人情報の漏えいが起きたとき、会社には個人情報保護委員会への報告と、本人への通知が法律で求められる場合があります。報告には期限があり、対応が遅れたり不十分だったりすると、指導や勧告の対象にもなります。
本記事は、Webサービスやアプリを運営する企業の事業責任者・IT担当者の方に向けて、漏えいが起きたときの対応の流れ、報告が必要になる条件と期限、本人への通知の内容と例文、会社や従業員に関わる罰則を整理したものです。法律の内容は、個人情報保護委員会のガイドラインと法令をもとにしています。
なお、漏えいがなぜ起きるのか、事前にどんな対策ができるのかは、別の記事で解説しています。
この記事の結論
- 要配慮個人情報、財産的被害のおそれ、不正な目的、1,000人超のいずれかに当てはまる漏えい（おそれを含む）は、個人情報保護委員会への報告と本人への通知が義務です（本人への通知が難しい場合は、公表などの代替措置で対応できます）
- 報告は、事態を知ってから、速報を概ね3〜5日以内、確報を30日以内（不正な目的の場合は60日以内）に行います
- 漏えいそのものに直接の罰則はありませんが、委員会の命令違反などには罰則があり、法人には最大1億円の罰金が科される場合があります
個人情報漏洩が起きたときの対応の流れ
個人情報保護委員会のガイドラインでは、漏えいやそのおそれのある事案が見つかった場合に、次の5つについて必要な措置をとるよう定めています。
出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 社内への報告と被害の拡大防止：責任ある立場の人にすぐ報告し、被害がそれ以上広がらないようにする
- 事実関係の調査と原因の究明：何が起きたのか、なぜ起きたのかを調べる
- 影響範囲の特定：誰の、どの情報が、どれだけ影響を受けたかを確かめる
- 再発防止策の検討と実施：調査の結果をもとに、同じことが起きないようにする
- 委員会への報告と本人への通知：条件に当てはまる場合は、期限内に報告し、本人に知らせる
あわせてガイドラインは、二次被害や類似の事案を防ぐ観点から、事実関係や再発防止策を速やかに公表することが望ましいとしています。
実際には、1〜4を進めながら、並行して5の準備をすることになります。特に報告は、すべてがわかるまで待つことはできません。次の章で詳しく説明します。
個人情報保護委員会への報告義務
次の4つのいずれかに当てはまる漏えいが起きた、または起きたおそれがある場合は、個人情報保護委員会への報告が義務になります。
対象になるのは、原則として「個人データ」（データベースなどで検索できるように整理された個人情報）の漏えい・滅失・毀損、またはそのおそれです。不正な目的による行為の場合は、これから個人データとして取り扱う予定の個人情報（Webサイトの入力フォームに入力された情報など）も含まれます。
報告が必要な4つのケース
| ケース | Webサービス・アプリでの例（委員会が示す例） |
|---|---|
| 1. 要配慮個人情報（病歴や健康診断の結果など、特に配慮が必要な情報）が含まれる | 従業員の健康診断の結果を含むデータが漏えいした |
| 2. 不正に使われると財産的な被害が出るおそれがある | ECサイトからクレジットカード番号が漏えいした／送金や決済ができるサービスのIDとパスワードの組み合わせが漏えいした |
| 3. 不正な目的による行為で漏えいした | 不正アクセスで個人データが漏えいした（おそれを含む）／ランサムウェアで個人データが暗号化され、復元できなくなった／従業員が顧客データを持ち出した／Webサイトの入力ページが改ざんされ、入力された情報が第三者に送られた |
| 4. 本人の数が1,000人を超える | 設定ミスでインターネット上から閲覧できる状態になった／1,000人超の会員へのメール配信でアドレスをBCCではなくCCに入れて送った |
ここで大事なのは、「漏えいが確定した場合」だけでなく、「漏えいが発生したおそれがある場合」も対象になる点です。ガイドラインでは、その時点でわかっている事実から、漏えいが疑われるものの確証がない場合が「おそれ」に当たるとしています。
また、ケース4の人数は、最初は1,000人以下でも、後から1,000人を超えればその時点で対象になります。人数が確定できない場合は、最大で1,000人を超える可能性があれば対象です。
なお、漏えいしたデータに高度な暗号化などの秘匿化がされていた場合は、報告は不要とされています。ただし、暗号化しているというだけで一律に報告不要になるわけではありません。暗号化の方式や、復号に必要な鍵の管理状況などを踏まえて判断する必要があります。
報告の期限：速報と確報の2段階
報告は「速報」と「確報」の2段階で行います。
| 報告 | 期限 | 内容 |
|---|---|---|
| 速報 | 知った時点から速やかに（目安は概ね3〜5日以内） | その時点でわかっている内容でよい |
| 確報 | 知った日から30日以内（ケース3の不正な目的による場合は60日以内） | 報告事項のすべて。わからない項目は判明しだい追加で報告 |
期限の起点となる「知った」時点は、会社のいずれかの部署が知った時点です。経営層が把握した日ではありません。確報の期限は土日・祝日も含めて数えます。
報告する内容
報告は、原則として個人情報保護委員会のホームページの報告フォームから行います。報告する項目は次の9つです。
- 概要（発生日、発覚日、経緯など）
- 漏えいした個人データの項目
- 本人の数
- 原因
- 二次被害やそのおそれの有無と内容
- 本人への対応の実施状況
- 公表の実施状況
- 再発防止策（実施済みと実施予定に分ける）
- その他参考となる事項
業種によっては、委員会ではなく、権限を委任された省庁に報告する場合があります。報告前に、委員会のページで最新の報告先を確認してください。
委託先で漏えいが起きた場合
個人データの扱いを外部に委託している場合、原則として委託元と委託先の両方に報告の義務があります。連名で報告することもできます。委託先が、報告義務のある委託元に必要な事項を速やかに通知した場合は、委託先の報告義務は免除され、委託元が報告します。
開発会社や保守会社、クラウドサービスに個人データの扱いを任せている場合は、漏えいが起きたときに誰がどの順で連絡し、誰が報告するかを、事前に決めておく必要があります。
本人への通知義務
委員会への報告が必要な漏えいでは、本人への通知も義務になります。ここでは、いつ・何を・どう伝えるかを整理します。
通知のタイミング
通知は「当該事態の状況に応じて速やかに」行います。委員会への報告のように日数の目安は示されていません。その時点でわかっている内容や、通知することで本人を守れる見込み、通知で生じる弊害などを考えて判断します。
ガイドラインは、すぐに通知しなくてもよいと考えられる例として、次のような場合を挙げています。
- 漏えいしたデータが掲示板などに上がっており、削除依頼などの初期対応が終わる前に通知すると、かえって被害が広がるおそれがある
- 事案がほとんど判明しておらず、通知しても本人が身を守る行動をとれず、混乱を招くおそれがある
ただし、どちらの場合も、状況に応じて速やかに通知すべきことに変わりはありません。
通知する内容
本人に伝える項目は、委員会への報告事項のうち次の5つです。すべてが判明するまで待つ必要はありません。
- 1. 概要
- 2. 漏えいした個人データの項目
- 3. 原因
- 4. 二次被害やそのおそれの有無と内容
- 5. その他参考となる事項（本人が自分を守るためにとれる措置など）
委員会に報告した詳しい内容をすべて伝える必要はなく、本人の権利利益を守るために必要な範囲で伝えます。漏えいした項目が人によって違う場合は、その人に関係する内容だけを伝える方法も示されています。
通知の方法と、通知が難しい場合
通知は、郵便で文書を送る、メールを送るなど、本人に確実に伝わる方法で行います。様式は法令で決まっていませんが、本人にわかりやすい形が望ましいとされています。
連絡先を持っていない、連絡先が古くて届かないなど、通知が難しい場合は、代わりの措置で対応できます。例として、事案の公表や、問い合わせ窓口を設けて本人が自分の情報が含まれるかを確認できるようにすることが挙げられています。
本人通知の例文（参考例）
以下は、ガイドラインが示す通知事項に沿って作った参考例です。法令で決まった様式ではありません。実際の通知文は、事案の内容に合わせて作成し、必要に応じて弁護士などの専門家に確認してください。
件名：【重要】お客様情報の漏えいに関するお知らせとお詫び
○○サービスをご利用のお客様へ
このたび、当社が運営する○○サービスにおいて、お客様の個人情報が漏えいしたおそれがあることが判明しました。ご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。
1. 概要 ○年○月○日、当社サーバーへの第三者による不正アクセスを確認しました。調査の結果、お客様の情報が外部から閲覧された可能性があることがわかりました。
2. 漏えいしたおそれのある情報 現時点の調査では、氏名、メールアドレス、電話番号が対象となった可能性があります（クレジットカード情報は含まれておりません）
3. 原因 現時点の調査では、○○の設定の不備によるものと考えられます（引き続き、外部の専門家とともに詳しい調査を進めています）
4. 二次被害のおそれ 現時点で、情報の不正利用は確認されていません。ただし、当社を装ったメールやSMSが届くおそれがあります。
5. お客様にお願いしたいこと 当社からパスワードやカード番号をお尋ねすることはありません。不審な連絡にはご注意ください。
お問い合わせ窓口 ○○サポート窓口（電話：○○／受付時間：○○）
株式会社○○
個人情報漏洩の罰則
「漏えいを起こしたら、すぐに罰金を取られるのか」と心配される方は多いですが、現在の個人情報保護法では、漏えいしたこと自体に直接の罰則があるわけではありません。罰則の対象になるのは、主に次の2つです。
- 個人情報保護委員会の命令に従わなかった場合や、委員会から求められた報告や資料の提出を拒んだり、うその報告をしたりした場合
- 従業員などが、不正な利益を得る目的で個人情報のデータベースを持ち出したり、盗用したりした場合
漏えい等報告（第26条）を怠ること自体に直接の罰則はありませんが、委員会の勧告や命令の対象になり得ます。その命令に従わなかったり、委員会からの報告の求めに応じなかったりすると、罰則につながります。以下、条文の内容はe-Gov法令検索「個人情報の保護に関する法律」（2026年10月1日時点で施行されている版）に基づきます。令和8年の改正法による罰則の変更は2027年1月17日に施行されるため、次の章で分けて紹介します。
委員会の「勧告」と「命令」
委員会は、法律違反があり、個人の権利利益を守るために必要と判断した場合、会社に対して違反をやめるよう勧告できます（第148条）。勧告に正当な理由なく従わず、重大な侵害が迫っていると認めたときは、命令を出せます。重大な事実があり緊急の必要がある場合は、勧告を経ずに命令が出されることもあります。
主な罰則
| 対象となる行為 | 行為者への罰則 | 法人への罰則（両罰規定） |
|---|---|---|
| 委員会の命令に違反した（第178条） | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 |
| 従業者などが、不正な利益を図る目的で個人情報データベース等を提供・盗用した（第179条） | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下の罰金 |
| 委員会から求められた報告や資料提出をしない、うその報告をする、立入検査を拒むなど（第182条） | 50万円以下の罰金 | 50万円以下の罰金 |
「両罰規定」（第184条）とは、従業員などが業務に関して違反をしたとき、本人だけでなく会社にも罰金が科される仕組みです。命令違反と不正な提供・盗用については、会社への罰金の上限が1億円と、個人より大幅に重く設定されています。
従業員による持ち出しも罰則の対象
第179条の対象は、会社の役員や従業者、そして過去にそうだった人です。ガイドライン（3-4-3 従業者の監督）では、「従業者」には正社員だけでなく、契約社員、パート・アルバイト、派遣社員、取締役なども含まれると説明されています。退職者が在職中に知った顧客データを持ち出して売った、といったケースもこの条文の対象になり得ます。
罰則以外に会社が負うもの
法律上の罰則がなくても、漏えいが起きると会社にはさまざまな負担が生じます。被害を受けた本人からの損害賠償請求、お詫びや問い合わせ対応、原因調査や再発防止のための費用、そして取引先や利用者からの信頼の低下です。委員会が指導や勧告をした事案は、委員会のサイトで公表されることもあります。
実際の事案でどのような対応が取られたかは、以下の記事で紹介しています。
令和8年の法改正で変わること
2026年7月に、個人情報保護法の改正法が成立し、7月17日に公布されました。施行は原則として公布から2年以内とされています。ただし、罰則の強化に関する規定などは、公布から6か月を経過した2027年1月17日に先に施行されます。この記事の執筆時点（2026年10月）では、どちらもまだ施行されていません。ここまでの説明は現在の法律に基づくものです。以下は改正法の施行後に適用される予定の変更で、施行までは現行法に沿って対応します。
漏えい対応にかかわる主な変更点は、次のとおりです。
出典：個人情報保護委員会「令和８年 改正個人情報保護法について」、「個人情報保護法等の一部を改正する法律について」
報告・本人通知のルールの見直し
- 本人通知の緩和：本人の権利利益の保護に欠けるおそれが少ない場合には、本人への通知に代えて、別の措置で対応できるようになります。
- 報告の負担軽減：体制や手順について認定個人情報保護団体などの確認を受けることを前提に、一定の範囲で速報が不要になります。また、本人1名分の誤交付・誤送付などは、確報を一定期間ごとにまとめて報告できるようになります。
- 報告対象の追加：違法な第三者提供も、報告の対象に加わります。
罰則の強化と課徴金の導入
- 罰則の引き上げ：従業者などによる不正な提供・盗用の罰則（現行の第179条。改正後は第178条）は、2027年1月17日から、「1年以下の拘禁刑または50万円以下の罰金」から「2年以下の拘禁刑または100万円以下の罰金」に引き上げられます。あわせて、不正な利益を得る目的だけでなく「損害を加える目的」も対象になります。
- 不正取得の直罰化：詐欺や不正アクセスなどによって個人情報を不正に取得する行為に、直接の罰則が設けられます。
- 課徴金制度の導入：個人情報の不適正な利用や不正な取得、違法な第三者提供などについて、一定の要件を満たす場合に課徴金（行政上の金銭的な制裁）が課されるようになります。要件には、相当の注意を怠ったこと、本人の権利利益が侵害されたこと、対象となる本人の数（1,000人が基準）などが含まれます。
委員会の命令の強化
委員会の勧告・命令の内容に、本人への通知や公表を求めることが加わります。また、緊急時に出す命令の要件も見直されます。
このほか、委託先が、委託された業務の範囲を超えて個人データを取り扱ってはならないことも明記されます。外部の開発会社や運用会社に個人データを預けている会社は、契約の内容を見直すきっかけにするとよいでしょう。
罰則の強化に関する規定などは2027年1月17日に施行されます。そのほかの主な改正事項の施行日や細かな運用は、今後政令や規則、ガイドラインなどで定められます。委員会の発表を確認するようにしてください。
個人情報漏洩の対応マニュアルに入れておくこと
ここまで見てきたように、漏えいが起きると、知った時点から速報の目安は3〜5日、確報は30日以内と、限られた時間で多くの対応が求められます。起きてから考え始めると、まず「誰が判断するのか」「どのデータがどこにあるのか」を確かめるところで時間がかかってしまいます。
そこで、平時のうちに次のような点を決めておき、簡単な対応マニュアルにまとめておくことをおすすめします。
| 準備しておくこと | 具体的な内容 |
|---|---|
| 連絡体制 | 漏えいに気づいた人が、誰に・どの手段で連絡するか。休日や夜間の連絡先も含めて決めておく |
| 判断する人 | 委員会への報告や本人通知の要否を、誰が判断するか |
| データの把握 | どのシステムに、どんな個人データが、何件くらい保存されているか。要配慮個人情報やカード情報などを扱っているか |
| 委託先の把握 | 個人データの取り扱いを外部に委託している場合、どの会社に何を任せているか、事故時の連絡方法 |
| 調査の手段 | アクセスログや操作記録が残っているか、どのくらいの期間保存しているか |
| 報告・通知の手順 | 報告フォームの場所、本人通知の文面のひな形、問い合わせ窓口の立て方 |
特に「データの把握」と「調査の手段」は、エンジニアがいないと整理しにくい部分です。ログが残っていなければ、何件漏えいしたのか、漏えいしていないことを示せるのかもわからず、報告や通知の範囲を決められません。
また、漏えいの多くは日々の運用の中で起きます。クラウドの設定見直しや、アップデートを含む保守体制の整備を平時から進めておくことは、漏えいを防ぐことにも、起きたときに素早く状況をつかむことにもつながります。
アプリの立ち上げ段階で決めておきたい「トラブル時の連絡先と役割」などの方針は、「新規事業のアプリセキュリティ超入門」でも解説しています。
個人情報保護委員会のサイトでも、漏えい等の対応とお役立ち資料として、報告の手順や関連資料がまとめられています。マニュアルを作る際の参考にしてください。
個人情報漏洩の報告・通知に関するよくある質問
個人情報が漏洩したら、必ず個人情報保護委員会への報告が必要ですか？
必ずではありません。要配慮個人情報、財産的被害のおそれ、不正な目的、本人の数が1,000人超のいずれかに当てはまる場合（おそれを含む）に、報告が義務になります。反対に、最初の3つのいずれかに当てはまれば、本人が1人だけでも対象になります。
漏えい等報告をしないとどうなりますか？
報告を怠ること自体に直接の罰則はありませんが、委員会の勧告や命令の対象になり得ます。命令に違反した場合は、1年以下の拘禁刑または100万円以下の罰金（法人は1億円以下の罰金）の対象になります。また、委員会から求められた報告をしなかったり、うその報告をしたりした場合は、50万円以下の罰金の対象です。
確報の期限に土日や祝日は含まれますか？
含まれます。30日（または60日）の数え方には土日・祝日も含めます。ただし、期限の日が土日・祝日・年末年始（12月29日〜1月3日）に当たる場合は、その翌日が期限になります。
委託先で漏えいが起きた場合、誰が報告しますか？
原則として委託元と委託先の両方に報告義務があり、連名で報告することもできます。委託先が委託元に速やかに通知すれば、委託先の報告義務は免除されます。
本人への通知はメールでもよいですか？
はい。ガイドラインは通知の方法の例として、文書の郵送と電子メールの送信を挙げています。本人にとって分かりやすい形で伝えることが望ましいとされています。メールアドレスの誤りなどで届かないこともあるため、届かなかった人には郵送など別の方法を検討します。
まとめ
個人情報の漏えいが起きたときに押さえておきたいポイントを振り返ります。
- まず被害の拡大を防ぎ、事実関係と影響範囲を調べる
- 要配慮個人情報、財産的被害のおそれ、不正な目的、1,000人超のいずれかに当てはまれば、個人情報保護委員会への報告が必要（「おそれ」の段階でも対象）
- 報告は、事態を知ってから、速報を概ね3〜5日以内、確報を30日以内（不正な目的の場合は60日以内）
- 報告が必要な場合は、本人への通知も必要。通知が難しければ公表などの代替措置で対応できる
- 漏えいそのものより、その後に委員会の命令に従わない、委員会からの報告の求めに応じないといった対応が罰則につながる。従業員による不正な持ち出しは、会社にも最大1億円の罰金が科され得る
- 令和8年の改正で、報告・通知のルールの見直し、罰則の強化、課徴金の導入が予定されている
限られた日数で正しく対応するには、事前の準備が欠かせません。連絡体制やデータの把握など、できるところから今のうちに整えておきましょう。
