メールの誤送信、ノートパソコンの紛失、不正アクセス。個人情報の漏えいは、規模の大小を問わずどの会社でも起こりえます。2022年4月からは、一定の場合に個人情報保護委員会への報告と、本人への通知が義務になっています。
この記事では、報告が必要になる場合と期限、2026年の法改正の動きをまとめます。
報告と本人への通知が必要になる4つの場合
個人の権利利益を害するおそれがある次の場合は、個人情報保護委員会への報告と、本人への通知が必要です。
- 病歴など、要配慮個人情報が含まれる場合
- クレジットカード番号など、財産的な被害が生じるおそれがある場合
- 不正アクセスやランサムウェアなど、不正の目的による漏えいの場合
- 1,000人を超える漏えいの場合
3つ目は、漏えいした人数が少なくても対象になる点に注意が必要です。サイバー攻撃を受けた場合は、たとえ1件でも報告の対象になりえます。また、漏えいが確定していなくても、そのおそれがある段階で対象になります。
報告の期限
- 速報：漏えいを知ってから、速やかに（おおむね3〜5日以内）
- 確報：原則30日以内。不正の目的による漏えい（上の3つ目）の場合は60日以内
報告は個人情報保護委員会のウェブサイトから行えます。速報の時点ですべてが分かっている必要はなく、その時点で把握している内容を報告します。
本人への通知
漏えいの概要、漏えいした情報の項目、原因などを、本人に分かりやすく伝えます。連絡先が分からないなど通知が難しい場合は、ホームページでの公表や問い合わせ窓口の設置といった代わりの対応が認められています。
2026年の法改正で変わること
2026年7月10日、個人情報保護法の改正法が成立しました。施行は原則として公布から2年以内とされています。漏えいへの対応に関係する主な点は次のとおりです。
- 本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務が緩和されます。
- 重大な違反に対して、課徴金の制度が導入されます。
報告の手続きの細かい部分は、今後、規則やガイドラインで定められます。施行日が近づいたら、個人情報保護委員会の案内を確認してください。
いざというときに慌てないために
漏えいが起きてから期限内に報告するには、事前の準備が欠かせません。
- どこにどんな個人情報があるかを把握しておく：何人分の、どんな情報が漏れたのかがすぐ分からないと、報告の要否も判断できません。
- 社内の連絡体制を決めておく：誰が気づいたら、誰に報告し、誰が判断するのかを決めておきます。
- ログを残しておく：不正アクセスの場合、どこまで見られたかを調べるにはアクセスの記録が必要です。被害を受けた機器の電源をすぐに切ると記録が消えることがあるので、まずはネットワークから切り離します。
当事務所でお手伝いできること
個人情報の取り扱い状況の整理、ログの取得や保管の仕組みづくり、事故が起きたときの初動の支援を行っています。ランサムウェアへの備えは「ランサムウェア被害が過去最多に。中小企業がまず確認したい5つのこと」でも紹介しています。お気軽にご相談ください。
※ この記事は一般的な情報をまとめたものです。個別の事案で報告が必要かどうかは、個人情報保護委員会の案内や専門家にご確認ください。