# 情報漏洩の報告義務とは？速報・確報の期限、本人通知と損害賠償

個人情報保護法の漏えい等報告の対象となる4つのケース、速報（3〜5日）と確報（30日・60日）の期限、本人への通知、命令違反の罰則、損害賠償の考え方までを、個人情報保護委員会の資料と法令をもとに解説します。

個人データの漏えいが起き、それが法律で定める一定のケースにあたる場合、事業者は個人情報保護委員会への報告と、本人への通知をしなければなりません。報告は2段階で、知った時点からおおむね3〜5日以内に「速報」、30日以内（不正な目的によるものは60日以内）に「確報」を出します。報告とは別に、被害を受けた人から民法上の損害賠償を求められることもあります。

<Points>

- 報告が必要なのは、要配慮個人情報、財産的被害のおそれ、不正な目的、1,000人超の4つのケース（おそれがある場合を含む）
- 期限の起算点は、会社のいずれかの部署が事態を知った時点。担当部署に上がった日ではない
- 報告や命令に従わない場合は罰則があり、法人には最高1億円の罰金が科される場合がある

</Points>

## 漏えい等報告の義務とは

個人情報保護法第26条は、個人データの漏えい、滅失、毀損など、個人の権利利益を害するおそれが大きい事態が生じたとき、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。JPCERT/CCも、令和4年（2022年）4月1日に施行された改正法で一定の場合の報告が義務になった点に注意するよう呼びかけています。

報告が必要になるのは、次の4つのケースです。実際に漏えいした場合だけでなく、「漏えいのおそれ」がある段階でも対象になります。

<Figure title="報告が必要な4つのケース（民間事業者）" source="個人情報保護委員会「漏えい等の対応とお役立ち資料」">

| ケース | 内容と例 |
| --- | --- |
| 要配慮個人情報 | 病歴や健康診断の結果など、要配慮個人情報を含む個人データの漏えい等 |
| 財産的被害のおそれ | 不正に使われると財産的な被害が生じるおそれがあるもの。例：ECサイトからのクレジットカード番号の漏えい |
| 不正な目的 | 不正アクセス、ランサムウェア、媒体の盗難、従業者による持ち出しなど、不正な目的で行われた漏えい等 |
| 1,000人超 | 本人の数が1,000人を超える漏えい等 |

</Figure>

個人情報保護委員会は、カード番号の下4桁と有効期限だけが漏えいした場合は、それだけでは財産的被害のおそれのケースにすぐには当たらないとしています。行政機関等には別の基準があり、人数の基準は100人超です。

ランサムウェアや不正アクセスによる漏えいは、件数にかかわらず「不正な目的」のケースにあたります。小さな会社でも、数十件の顧客情報が盗まれたおそれがあれば報告の対象になり得ます。

## 速報と確報の期限

報告は速報と確報の2段階で行います。

<Flow
  title="漏えい等報告の流れ"
  caption="個人情報保護委員会のガイドライン（通則編）をもとに作成。期限は事態を知った日を1日目として数えます。"
  steps={[
    { label: "事態を知る", note: "会社のいずれかの部署が知った時点が起算点" },
    { label: "速報", note: "知った時点からおおむね3〜5日以内。その時点でわかっている事項を報告" },
    { label: "調査・本人への通知", note: "状況に応じて速やかに本人へ通知" },
    { label: "確報", note: "知った日から30日以内。不正な目的によるものは60日以内" },
  ]}
/>

ガイドラインでは、速報の「速やか」の目安を、事業者が事態を知った時点から「概ね3～5日以内」としています。法人の場合、起算点は「いずれかの部署が当該事態を知った時点」です。現場の部署が気づいてから経営層や担当部署に上がるまでの日数も、期限に含まれる点に注意してください。

確報では、すべての報告事項を報告します。合理的な努力をしても一部がわからない場合は、その時点でわかっている内容で報告し、判明しだい追完します。

## 報告する内容と報告先

報告事項は個人情報保護委員会規則第8条で定められています。

<Figure title="報告事項と本人への通知事項" source="個人情報保護委員会「個人情報保護法ガイドライン（通則編）」">

| 項目 | 委員会への報告 | 本人への通知 |
| --- | --- | --- |
| 概要 | 必要 | 必要 |
| 漏えい等した個人データの項目 | 必要 | 必要 |
| 本人の数 | 必要 | ― |
| 原因 | 必要 | 必要 |
| 二次被害やそのおそれの有無と内容 | 必要 | 必要 |
| 本人への対応の実施状況 | 必要 | ― |
| 公表の実施状況 | 必要 | ― |
| 再発防止のための措置 | 必要 | ― |
| その他参考となる事項 | 必要 | 必要 |

</Figure>

報告は、個人情報保護委員会のWebサイトにある報告フォームから行います。マイナンバーを含む場合や含むかどうかわからない場合は、マイナンバー用の報告フォームを使います。業種によっては、報告の権限が事業所管の省庁に委任されているため、その省庁に報告します。ランサムウェアなどのサイバー攻撃による事案では、共通の様式（Excel）も用意されています。

他社から個人データの取り扱いを委託されている場合は、委託元に通知すれば、委託先自身の報告義務はなくなります（法第26条第1項ただし書）。

## 本人への通知

本人への通知は、「当該事態の状況に応じて速やかに」行います。通知する内容は、上の表のとおり報告事項の一部で、本人の権利利益を守るために必要な範囲に限られます。

<Compare>
<Column title="原則：本人に通知する">

- 状況に応じて速やかに通知する
- 概要、漏えいした項目、原因、二次被害のおそれなどを伝える
- 本人が取るべき対応（パスワード変更など）も伝えると役立つ

</Column>
<Column title="通知が難しい場合：代替措置" tone="accent">

- 連絡先がわからないなど、通知が困難な場合に限られる
- 事案を公表する
- 問い合わせ窓口を設けて連絡先を公表し、本人が自分の情報が含まれているか確認できるようにする

</Column>
</Compare>

なお、漏えいした個人データに高度な暗号化など、個人の権利利益を守るために必要な措置が講じられていた場合は、報告の対象外です。

## 違反したときの罰則と損害賠償

報告や通知を怠った場合、個人情報保護委員会は是正の勧告をし、勧告に従わず重大な権利利益の侵害が切迫していると認めるときは命令を出すことができます（法第148条）。

<Figure title="個人情報保護法の主な罰則" source="個人情報の保護に関する法律（e-Gov法令検索）">

| 違反 | 行為者 | 法人 |
| --- | --- | --- |
| 委員会の命令に違反（第178条） | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 |
| 個人情報データベース等を不正な利益を図る目的で提供・盗用（第179条） | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下の罰金 |
| 委員会からの報告や資料の提出の求めに応じない、虚偽の報告をする（第182条） | 50万円以下の罰金 | 50万円以下の罰金 |

</Figure>

第182条は、委員会が法第146条にもとづいて報告や資料の提出を求めたときに応じない、または虚偽の報告をした場合などの罰則です。

刑事罰とは別に、漏えいによって損害を受けた本人から、民事上の損害賠償を求められることがあります。民法には次のような規定があります。

- **不法行為（第709条）**：故意または過失で他人の権利や法律上保護される利益を侵害した者は、生じた損害を賠償する責任を負う
- **財産以外の損害（第710条）**：財産以外の損害、つまり精神的な損害についても賠償が必要になる
- **使用者責任（第715条）**：従業員が事業の執行について第三者に損害を与えた場合、使用者も賠償責任を負う。選任や監督に相当の注意をしていた場合などは除かれる

情報漏えいでは、財産的な被害がなくても、プライバシーの侵害による精神的な損害が問題になり得ます。賠償額は事案によって大きく異なるため、実際の対応は弁護士に相談してください。

<Note title="要追記：実体験">（ここに、専門家への取材などで確認した、漏えい時の社内連絡フローの具体例や、報告フォームの入力で迷いやすい点を書く）</Note>

## よくある質問

### Q. 漏えいしたかどうかはっきりしない段階でも報告が必要ですか？

必要です。報告の対象は、漏えい等が発生した場合だけでなく、そのおそれがある場合も含みます。速報はその時点でわかっている事項で行い、確報で全体を報告します。

### Q. 3〜5日を過ぎてしまったらどうなりますか？

ガイドラインの「概ね3～5日以内」は、速やかに報告するための目安です。過ぎてしまっても、気づいた時点ですぐに報告してください。報告をしないまま放置すると、勧告や命令の対象になるおそれがあります。

### Q. 社員の情報が漏れた場合も報告が必要ですか？

個人データであれば、顧客か従業員かは問いません。個人情報保護委員会も、従業員や株主の情報が含まれる場合は、事業所管の省庁への報告とは別に委員会への報告が必要になる場合があると案内しています。

### Q. ランサムウェアで暗号化されただけで、持ち出された形跡がない場合は？

ランサムウェアによる被害は不正な目的による事態にあたります。個人情報保護委員会も、不正な目的による漏えい等の例としてランサムウェアを挙げています。持ち出されたかどうかわからない段階でも「おそれ」があるものとして扱い、速報を出したうえで調査を進めてください。判断に迷う場合は、委員会や専門家に相談するのが確実です。

出典: [個人情報保護委員会「漏えい等の対応とお役立ち資料」](https://www.ppc.go.jp/personalinfo/legal/leakAction/)、[個人情報保護委員会「個人情報保護法ガイドライン（通則編）」](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)、[e-Gov法令検索「個人情報の保護に関する法律」](https://laws.e-gov.go.jp/law/415AC0000000057)、[e-Gov法令検索「民法」](https://laws.e-gov.go.jp/law/129AC0000000089)、[JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」](https://www.jpcert.or.jp/magazine/security/ransom-faq.html)