漏えい等報告とは？速報・確報の期限と報告対象の4つの事態

漏えい等報告は、個人データの漏えい・滅失・毀損（そのおそれを含む）のうち、要配慮個人情報、財産的被害のおそれ、不正の目的のおそれ、本人1,000人超のいずれかに当たる事態を、個人情報保護委員会に報告する手続きです（個人情報保護法第26条）。期限は、事態を知ってから速報がおおむね3〜5日以内、確報が30日以内（不正の目的のおそれがある事態は60日以内）。1,000人の基準は4つのうちの1つにすぎず、不正アクセスや健康診断の結果の誤交付は、1人分でも報告の対象です。

2026年7月に改正法が公布されましたが、漏えい等報告にかかわる部分はまだ施行されていません。報告の実務は、2026年10月時点では現行の法律と施行規則、ガイドライン（通則編、令和8年6月一部改正）に沿って行います。社内規程や監査への備えといった情報セキュリティ コンプライアンスの取り組みの中でも、漏えい等報告は期限が日単位で決まっています。起きてから手順を調べ始めると、速報に間に合いません。以下、報告に当たるかの判断、期限の数え方、報告する9つの事項とフォームの選び方、本人への通知の順に、条文とガイドラインの該当箇所を添えて整理します。改正で変わる予定の点は、後半にまとめました。

LOCKED は、クラウドサービスへのログインをまとめて記録する LOCKED MSO、人事の情報からアカウントと権限を管理する LOCKED DAS、会社の端末を管理する LOCKED MDM からなるサービス群です。漏えいのおそれに気づいたとき、どのIDで、いつ、どこから、何にアクセスできたかを記録でたどれるようにします。

無料で製品資料をお送りしています。漏えいのおそれに備えた、記録の残し方の見直しにお使いください。 製品資料をダウンロードする →

漏えい等報告とは：委員会への報告と、本人への通知

個人情報保護法第26条は、個人データの漏えい等のうち「個人の権利利益を害するおそれが大きいもの」が起きたとき、2つのことを事業者に義務づけています。個人情報保護委員会への報告（第1項）と、本人への通知（第2項）です。2020年（令和2年）の改正で入って2022年4月1日に施行され、顧客や従業員の名簿をデータベースにして事業に使っている会社であれば、規模にかかわらず対象になります。

何が「おそれが大きい」に当たるかは施行規則第7条が4つの事態として定め、報告の期限と中身は第8条、本人に通知する事項は第10条が定めています。それぞれの解釈と事例は、ガイドライン（通則編）の3-5と、委員会が公表しているQ&A（Q6-1〜Q6-33）にあります。この記事で「Q6-◯」と書いたものは、このQ&Aの番号です。

「漏えい」「滅失」「毀損」の違い

「漏えい等」は、3つの言葉をまとめた呼び方です。ガイドライン3-5-1は次のように分けています。

同じ内容のデータがほかに保管されていれば滅失・毀損には当たらず、ランサムウェアでデータを暗号化されたうえに持ち出されていれば、毀損と漏えいの両方に当たります。

漏えいについては、第三者に閲覧される前にすべて回収できた場合は当たらない、という扱いもあります。Q&A（Q6-2）は、誤送信先が閲覧せずにメールを削除したと確認できた場合や、設定ミスの期間に第三者が閲覧していないことをアクセスログなどで確認できた場合を例に挙げています。逆に、送信先の扱いやアクセスログを確かめられなければ、漏えい（またはそのおそれ）に当たり得ます。記録の有無が、報告の要否を分けます。

報告の対象となる4つの事態（施行規則第7条）

報告が必要なのは、次の4つのいずれかに当たる場合です。どれも「発生したおそれがある」段階から対象です。人数の基準があるのは第4号だけです。

1,000人超の事案は少数です。委員会の公表によると、2026年4〜6月に民間の事業者の報告として処理された5,451件のうち、第4号に当たるのは246件（4.5%）でした。多いのは第1号の3,196件（58.6%）と、第3号の1,450件（26.6%）です。第2号は1,093件（20.1%）でした。複数の号に当たる事案があるため、割合を足すと100%を超えます。

第1号・第2号は、漏れた情報の中身で決まる

要配慮個人情報は、病歴や健康診断の結果、犯罪の経歴など、本人への差別や偏見につながり得る情報です。健康診断の結果を本人以外に誤って渡せば、1人分でも報告の対象になります（Q6-9）。委員会の2026年4〜6月の公表でも、第1号の報告が多く、病院や薬局に限らず損害保険会社での誤交付も目立つと書かれています。

第2号が想定するのは、なりすましです。漏れた情報で本人になりすまし、財産を処分される場合を指します（Q6-11）。住所、電話番号、メールアドレス、SNSのアカウントだけの漏えいは、直ちには当たりません。銀行口座の情報だけの場合も同じです。クレジットカード番号は別です。番号だけでも当たり（Q6-12）、下4桁と有効期限の組み合わせだけなら直ちには当たらないとされています。知った時点で財産的被害のおそれがあれば、その後にカードを止めて被害のおそれがなくなっても、報告の対象のままです（Q6-15）。

第3号は、不正アクセスや持ち出しなら1件でも対象

第3号は、当てはまる範囲が広い事態です。「不正の目的をもって行われたおそれがある行為」の主体には、外部の第三者だけでなく従業者も含まれます。攻撃を受けた相手も自社に限りません。個人データの取扱いを委託している先や、個人データを扱うのに使っているクラウドサービスなどの事業者が攻撃された場合も含みます（ガイドライン3-5-3-1）。

対象になるデータの範囲も、第3号だけ広く取られています。すでに持っている個人データに加え、Webサイトの入力ページを改ざんされて利用者の入力した情報が攻撃者に送られた場合のように、これから取得しようとしている個人情報も含みます。正規のサイトや自社が送ったメールに偽サイトへのリンクを仕込まれた場合も、これに当たり得ます。偽サイトで盗まれたIDとパスワードで、第三者が本人になりすまして正規のサイトにログインした場合は、一般に第3号に当たるとされています（Q6-7・Q6-8）。

確証は要りません。「おそれ」は、その時点でわかっている事実から、漏えいが疑われる状態を指します。サイバー攻撃での例は次のとおりです（ガイドライン3-5-3-1）。

• 個人データを格納するサーバや、そのサーバにアクセスできる端末で、外部からデータを窃取された痕跡が見つかった
• 同じサーバや端末で、情報を盗む振る舞いが知られているマルウェアへの感染が確認された
• マルウェアを遠隔で操るサーバ（C&Cサーバ）として知られるIPアドレスなどへの通信が確認された
• 不正検知を行う公的機関や専門家など第三者から、一定の根拠に基づく連絡を受けた

従業者による持ち出しでは、通常の業務で必要としないアクセスでデータが窃取された痕跡が、例に挙がっています。ただし、マルウェアを検知しただけで直ちに「おそれ」になるわけではありません。実行を抑止できたか、外部への通信を遮断できたかも考えて判断します（Q6-17）。

第4号は、人数が確定しないときは最大で数える

人数は、調査の途中で変わります。発覚した当初は1,000人以下でも、その後の調査で1,000人を超えたらその時点で第4号に当たり、人数が確定できない場合は、漏えいしたおそれのある本人の数が最大で1,000人を超えるなら該当します。なお、国の行政機関や地方公共団体などには別の定めがあり、人数の基準は100人超です。

報告しなくてよい場合：高度な暗号化

高度な暗号化など、本人の権利利益を守る措置を講じた個人データは、報告の対象から外れます。条件は2つです（Q6-19）。1つは、事案が起きた時点の技術水準で、第三者が読める状態に戻すのが困難な暗号化であることです。もう1つは、復号の手段が適切に管理されていることです。復号の鍵を暗号化したデータと分けて漏えいを防ぐ、遠隔で削除できる、第三者が鍵を使えない設計にする、のいずれかが求められます。暗号化していても、鍵が一緒に漏れれば対象から外れません。

4つの事態に当たらない漏えいには、報告の義務はありません。それでも任意で報告できます（Q6-18）。社内での報告、事実関係の調査、再発防止といった発覚時の措置（ガイドライン3-5-2）は、報告の要否にかかわらず必要です。

速報と確報の期限は「知った日」から数える

報告は、速報と確報の2回に分けて出します（施行規則第8条）。

期限の起点は「知った」時点です。会社であれば、いずれかの部署が事態を知った時点を指します。情報システム部門や経営陣に報告が上がった日ではなく、現場の部署が先に知っていれば、その日から数えます。Q&A（Q6-24）は、部署の中のある従業者が報告対象の事態を知った時点で「部署が知った」と考えるとしています。持ち出しの事案では、持ち出した本人が知っていた時点は起点になりません。

確報の30日・60日は、土日や祝日も数えます。30日目や60日目が土日、祝日、年末年始（12月29日〜1月3日）に当たるときは、その翌日が期限です。たとえば2026年10月1日（木）に知った場合、30日目は10月30日（金）です。第3号の事態なら60日目が11月29日（日）に当たるため、翌日の11月30日（月）が期限になります。

第3号とほかの号の両方に当たるときも、60日です。速報の時点で9つの事項をすべて報告できるなら、1回の報告で速報と確報を兼ねられます。確報の時点で、合理的な努力を尽くしても一部の事項がわからないときは、把握している内容を報告し、判明したら追って報告します。30日・60日は上限です。ガイドラインは、できるならより早く報告することが望ましいとしています。

委託先で起きたときは、委託元への通知で報告が免除される

個人データの取扱いを委託していて、委託先で報告対象の事態が起きた場合、原則として委託元と委託先の双方に報告の義務があります。連名で報告することもできます。委託先が、報告の義務を負う委託元に速やかに（目安はおおむね3〜5日以内）知らせれば、委託先の報告と本人への通知の義務は免除されます（施行規則第9条、ガイドライン3-5-3-5）。

このとき、委託元は遅くとも通知を受けた時点で事態を「知った」ことになり、そこから自社の期限が始まります。委託先と、気づいたらすぐ知らせてもらう取り決めをしておくのは、このためです。個人データを取り扱わない契約になっているクラウドサービスの場合は、利用する会社が報告の義務を負い、その報告をクラウド事業者に代行させることもできます（Q6-22）。

漏えいの調査で、どの記録をどこまでたどれるか。自社の環境に合わせて無料でご相談いただけます。 デモ・個別相談を申し込む →

報告する9つの事項と、報告フォームの選び方

報告事項は施行規則第8条の9項目

速報も確報も、報告する事項は同じ9つです。書く内容は、ガイドライン3-5-3-3によります。

二次被害とその他参考となる事項の例は、Q&A（Q6-25・Q6-26）によります。本人への通知では、このうち(1)(2)(4)(5)(9)の5つを伝えます。

報告フォームは、事業とデータの種類で選ぶ

報告は原則として、委員会のWebサイトの報告フォームから行います。報告先は、3つに分かれます。

報告者の欄には会社名を入れ、担当者の氏名は事務連絡者の欄に書きます。委員会が公開しているWordの様式は、社内向けの参考資料です。報告はフォームから行います。マイナンバーを含む漏えいは、個人情報保護法とは別に番号法の報告の対象かどうかも判断が必要です（Q6-28）。

委員会のページには、委託先の事例、不正アクセスの事例、要配慮個人情報の事例、クラウド事業者による代行報告の事例の記入例も載っています。不正アクセスの記入例を見ると、報告の冒頭で「新規か続報か」「速報か確報か」を選び、続報では前回の報告日を書きます。事実の経過は、発覚のきっかけと被害の拡大を防ぐためにとった措置を、日付つきの時系列で書いています。第3号に当たる場合は、フォレンジック調査など外部の機関による調査を実施したか、予定しているかを書く欄もあります。

ランサムウェアの事案は2025年10月1日から、その他のサイバー攻撃の事案は2026年10月1日から、関係省庁で統一した共通様式（Excel）をメールで委員会に送る方法でも報告できます。

本人への通知は、5つの事項を状況に応じて速やかに

通知は、報告とは別の義務です。本人への通知（法第26条第2項）は、事態を知った後、「当該事態の状況に応じて速やかに」行います（施行規則第10条）。伝えるのは、概要、個人データの項目、原因、二次被害またはそのおそれの有無と内容、その他参考となる事項の5つです。最後の事項には、本人が自分で取れる対策などを書きます。

委員会に報告した詳しい内容を、そのまま伝える必要はありません。ガイドライン3-5-4-3は、原因のうち必要な内容を選んで伝える、漏れた項目が本人ごとに違えばその本人に関係する内容だけを伝える、といった例を挙げています。5つがすべて判明するまで待つものでもありません。

通知のタイミングは、本人の権利利益が守られる見込みや、通知で生じる弊害を考えて判断します。ガイドラインは、その時点で通知する必要があるとはいえない例を2つ挙げています。掲示板に上がったデータの削除依頼などの初期対応が済む前で、通知するとかえって被害が広がるおそれがある場合。そして、ほとんど何もわかっておらず、通知しても本人が身を守る手立てを取れない場合です。

通知の方法は、文書の郵送やメールが例に挙がっています。口頭でもかまいませんが、本人が後から内容を確かめられるよう、書面やメールを併用するのが望ましいとされています（Q6-29）。様式の定めはありません。当初は報告対象と判断したものの、実際には当たらなかったとわかった場合は、本人への通知は不要です。

本人の連絡先を持っていない、または連絡先が古くて届かないときは、事案を公表するか、問い合わせ窓口を設けてその連絡先を公表し、本人が自分のデータが対象かどうかを確かめられるようにすることで、通知に代えられます。窓口は、常設している個人情報の相談窓口でもかまいません（Q6-31）。住所と電話番号の両方を把握しているなら、郵送が戻ってきただけでは「通知が困難」とはいえず、電話でも連絡を試みます（Q6-30）。

公表そのものは義務ではありません（Q6-33）。通知に代わる措置として行う場合は別です。ただしガイドラインは、二次被害や類似の事案を防ぐ観点から、事実関係と再発防止策を速やかに公表することが望ましいとしています。公表すると被害が広がるおそれがあるときは、控えることも考えられます。

速報までの数日で調べること：誰が、いつ、何にアクセスできたか

ガイドライン3-5-2は、漏えい等が発覚したときに講じる措置を5つ挙げています。社内の責任者への報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策の検討と実施、そして委員会への報告と本人への通知です。速報の目安の3〜5日で、調査が終わるとは限りません。委員会が公開している不正アクセスの記入例でも、発覚が4月1日、外部の調査の依頼が4月3日で、侵入の痕跡が確認されたのは5月27日です。速報は、その時点でわかっていることを出せば足ります。ただ、何も調べていなければ、概要も原因も書けません。

被害の拡大防止では、不正アクセスやマルウェアの感染が疑われる端末をネットワークから切り離し（Q6-5）、盗まれたおそれのあるIDを止めてパスワードを初期化します。

調べることは、3つの問いにまとまります。フィッシングで盗まれたID、退職者のID、委託先の担当者のアカウントなど、IDが絡む事案なら次のとおりです。

記録がないと、「おそれ」を打ち消せません。先に見たとおり、閲覧されていないことをアクセスログで確かめられなければ、漏えい（またはそのおそれ）に当たり得ます。第4号は、人数が確定しないとき最大で数えます。盗まれたIDの権限が広く、実際に開いた範囲を記録で絞れなければ、そのIDから見えた範囲全体を「おそれ」として扱うことになりかねません。

委員会もこの点を繰り返し指摘しています。注意喚起「WARNING」（2026年10月7日改訂）は、報告された不正ログインの事例の原因の1つに、ログの保存と監視のルールがなく検知が遅れたことを挙げました。対策は、ログの保存期間を定め、定期的に分析することです。同じ日の注意喚起は、見直し後の技術的安全管理措置の案に「不正アクセス等の検知等」を加えています。手法の例は、認証ログ・アクセスログ・操作ログなどを一定期間保管し、改ざんなどから守り、定期的に分析することです。確定は2027年4月の予定です。

ここまでの調べ方は、社内のインシデント対応の手順に組み込んでおくと、速報に間に合わせやすくなります。報告に当たるかの判断を誰がするか、期限を誰が管理するかまで、事前に決めておくことが前提です。

報告する9つの事項と、LOCKEDの記録が調査の材料になる範囲を一覧にしています。 監査と権限の棚卸し（J-SOX・ISMS・個人情報保護法）を見る →

2026年の改正で漏えい等報告はどう変わるか（2026年10月時点で施行前）

改正法（令和8年法律第56号）は2026年7月17日に公布され、罰則の見直しなど一部の規定は2027年1月17日に、それ以外は2028年7月16日までの政令で定める日に施行されます。漏えい等報告の見直しは後者です。当面の報告は、現行のルールで行います。

委員会の資料が示す見直しのうち、漏えい等報告にかかわるのは次の5つです。

このほか、ランサムウェアなどの共通様式で報告するときの窓口を、国家サイバー統括室（NCO）のもとで一元化する方向で調整が進んでいます。委員会の勧告と命令も見直され、違反の事実を本人に通知することや公表することを求められるようになります。

課徴金制度も導入されますが、委員会の概要資料が対象に挙げているのは、不適正な利用、不正な取得、違法な第三者提供、統計作成等の特例の違反です。漏えい等報告の義務への違反は挙がっていません。

線引きは、これから委員会規則で決まります。委員会が2026年10月1日に示した考え方（案）では、本人への通知を緩める例として、ほかの事業者と共用していない社内の識別番号だけが漏れた場合が挙がっています。速報の免除と確報のとりまとめは、誤交付・誤送付をはじめ本人1名の事案に絞り、確認する第三者には認定個人情報保護団体を想定する案です。違法な第三者提供は、データの内容や件数を問わず報告の対象とする案が示されています。どれも議論のための案で、2026年9月9日の資料では、政令と委員会規則の意見募集は2027年に入ってからの見込みです。

LOCKEDで「誰が、いつ、何に」を記録に残す

LOCKED MSO は、LOCKEDを通ったログインの試行、二段階認証の結果、アプリへのアクセスの試行を端末ごとに記録し、日時、国と市区町村、IPアドレス、リスクスコアに加えて、拒否したときはその理由も残します。不正なログインと判定したときや、本人が認証を拒否したときは、管理者にメールで知らせます。

LOCKED DAS では、日時を指定して、そのユーザーが持っていた権限と、ある権限を持っていたユーザーを確かめられます。入社・異動・退職は人事の情報から反映し、IDの作成・停止と権限の付け替えを変更の履歴に残します（画面に出るのは直近30日分です）。盗まれたおそれのあるIDが、その時点で何にアクセスできたかを調べるときの出発点になります。

被害の拡大を防ぐ操作として、アカウントの停止、端末の凍結、LOCKED MDM による会社のスマホの遠隔ロック・初期化を用意しています。LOCKED MSO の管理画面での操作は、日時・操作者・操作元のIPアドレスとともに監査ログに残り、1回に最大1年分をCSVで書き出せます。

記録には範囲があります。示せるのは、LOCKEDを通ったログインと、LOCKEDで管理する権限についての事実です。サービスの中で誰がどのデータを開いたかはそれぞれのサービスの記録で確かめ、LOCKEDを通らないログインの経路はサービス側の設定で閉じておく必要があります。報告に当たるかどうかの判断と、委員会への報告・本人への通知は、会社が行います。

個人データを扱うサービスと、そこに入れる人の洗い出しから、無料でご相談いただけます。 資料請求・デモ依頼はこちら →

参考資料

• e-Gov法令検索「個人情報の保護に関する法律」（第26条）
• e-Gov法令検索「個人情報の保護に関する法律施行規則」（第7条〜第10条）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月、令和8年6月一部改正）3-5
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（令和7年7月1日）Q6-1〜Q6-33
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（漏えい等報告フォーム・記入例・共通様式）
• 個人情報保護委員会「令和8年度第1四半期における漏えい等報告の処理状況」（2026年9月2日）
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
• 個人情報保護委員会「WARNING 不正アクセスによる個人データ漏えい防止のための注意喚起」（2024年12月11日、2026年10月7日改訂）
• 個人情報保護委員会「令和8年 改正個人情報保護法について」
• 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（2026年7月）
• 「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号、2026年7月17日公布）
• 個人情報保護委員会事務局「政令・規則等で定める事項の全体像について」（2026年8月26日）
• 個人情報保護委員会事務局「政令・規則・ガイドライン等の整備に関する今後の進め方について」（2026年9月9日）
• 個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026年10月1日）

2026年10月時点の情報です。

関連記事

• 情報セキュリティコンプライアンス対応
• インシデント対応プロセスの構築
• マイナンバー情報のセキュリティ対応
• GDPR対応IT実装ガイド
• 情報漏洩ニュース2026年9月まとめ｜Gyazo・タイムズカー
• MDM による遠隔削除（Remote Wipe）｜紛失デバイスからのデータ保護