情報漏洩の報告義務とは？速報・確報の期限、本人通知と損害賠償

個人データの漏えいが起き、それが法律で定める一定のケースにあたる場合、事業者は個人情報保護委員会への報告と、本人への通知をしなければなりません。報告は2段階で、知った時点からおおむね3〜5日以内に「速報」、30日以内（不正な目的によるものは60日以内）に「確報」を出します。報告とは別に、被害を受けた人から民法上の損害賠償を求められることもあります。

漏えい等報告の義務とは

個人情報保護法第26条は、個人データの漏えい、滅失、毀損など、個人の権利利益を害するおそれが大きい事態が生じたとき、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。JPCERT/CCも、令和4年（2022年）4月1日に施行された改正法で一定の場合の報告が義務になった点に注意するよう呼びかけています。

報告が必要になるのは、次の4つのケースです。実際に漏えいした場合だけでなく、「漏えいのおそれ」がある段階でも対象になります。

個人情報保護委員会は、カード番号の下4桁と有効期限だけが漏えいした場合は、それだけでは財産的被害のおそれのケースにすぐには当たらないとしています。行政機関等には別の基準があり、人数の基準は100人超です。

ランサムウェアや不正アクセスによる漏えいは、件数にかかわらず「不正な目的」のケースにあたります。小さな会社でも、数十件の顧客情報が盗まれたおそれがあれば報告の対象になり得ます。

速報と確報の期限

報告は速報と確報の2段階で行います。

ガイドラインでは、速報の「速やか」の目安を、事業者が事態を知った時点から「概ね3～5日以内」としています。法人の場合、起算点は「いずれかの部署が当該事態を知った時点」です。現場の部署が気づいてから経営層や担当部署に上がるまでの日数も、期限に含まれる点に注意してください。

確報では、すべての報告事項を報告します。合理的な努力をしても一部がわからない場合は、その時点でわかっている内容で報告し、判明しだい追完します。

報告する内容と報告先

報告事項は個人情報保護委員会規則第8条で定められています。

報告は、個人情報保護委員会のWebサイトにある報告フォームから行います。マイナンバーを含む場合や含むかどうかわからない場合は、マイナンバー用の報告フォームを使います。業種によっては、報告の権限が事業所管の省庁に委任されているため、その省庁に報告します。ランサムウェアなどのサイバー攻撃による事案では、共通の様式（Excel）も用意されています。

他社から個人データの取り扱いを委託されている場合は、委託元に通知すれば、委託先自身の報告義務はなくなります（法第26条第1項ただし書）。

本人への通知

本人への通知は、「当該事態の状況に応じて速やかに」行います。通知する内容は、上の表のとおり報告事項の一部で、本人の権利利益を守るために必要な範囲に限られます。

なお、漏えいした個人データに高度な暗号化など、個人の権利利益を守るために必要な措置が講じられていた場合は、報告の対象外です。

違反したときの罰則と損害賠償

報告や通知を怠った場合、個人情報保護委員会は是正の勧告をし、勧告に従わず重大な権利利益の侵害が切迫していると認めるときは命令を出すことができます（法第148条）。

第182条は、委員会が法第146条にもとづいて報告や資料の提出を求めたときに応じない、または虚偽の報告をした場合などの罰則です。

刑事罰とは別に、漏えいによって損害を受けた本人から、民事上の損害賠償を求められることがあります。民法には次のような規定があります。

• 不法行為（第709条）：故意または過失で他人の権利や法律上保護される利益を侵害した者は、生じた損害を賠償する責任を負う
• 財産以外の損害（第710条）：財産以外の損害、つまり精神的な損害についても賠償が必要になる
• 使用者責任（第715条）：従業員が事業の執行について第三者に損害を与えた場合、使用者も賠償責任を負う。選任や監督に相当の注意をしていた場合などは除かれる

情報漏えいでは、財産的な被害がなくても、プライバシーの侵害による精神的な損害が問題になり得ます。賠償額は事案によって大きく異なるため、実際の対応は弁護士に相談してください。

よくある質問