個人情報の漏えいが起きたとき、個人情報保護委員会への報告と本人への通知が法律上の義務になる場合があります。よく誤解されているのが件数の条件です。「1,000人を超えなければ報告不要」ではありません。不正アクセスによる漏えいは、人数に関係なく報告対象になります。この記事では、対象となる範囲と期限、そして間に合わせるために事前に決めておくべきことを整理します。
報告が必要になる4つの類型
個人情報保護法では、本人の権利利益を害するおそれが大きい事態として、次の4つが定められています。いずれかに当てはまれば報告の対象です。
| 類型 | 内容 | 件数の条件 |
|---|---|---|
| ① 要配慮個人情報 | 病歴、健康診断の結果、犯罪の経歴など | なし |
| ② 財産的被害のおそれ | クレジットカード番号、送金に使える情報など | なし |
| ③ 不正の目的による行為 | 不正アクセス、ランサムウェア、内部者による持ち出しなど | なし |
| ④ 大規模な漏えい | 上記に当たらない場合 | 1,000人超 |
件数の条件がつくのは④だけです。①〜③は1件でも報告の対象になります。
不正アクセスは③に当たります
ここが実務上もっとも重要な点です。
ID・パスワードを盗まれて不正にログインされ、個人情報が閲覧された場合、それは「不正の目的による行為」にあたります。漏えいした人数が1件でも、報告の義務が生じます。
つまり、
- 顧客名簿が1件だけ見られた
- PCが1台だけランサムウェアに感染した
- 退職者が自分の担当分の顧客情報だけを持ち出した
これらはすべて報告対象になり得ます。「小規模だから社内で収めよう」という判断は、法令上の義務を果たさない結果になります。
認証情報が盗まれる経路は フィッシングによる認証情報の窃取、 パスワードリスト攻撃で扱っています。
「おそれ」の段階でも対象になります
漏えいが確定していなくても、漏えいした「おそれ」がある段階で報告の対象になります。
不正アクセスの痕跡があり、どのデータが見られたか特定できない場合、「見られていないと確認できていない」なら、おそれがある状態です。
これがログを残す実務上の理由になります。アクセスログがあれば「この範囲は見られていない」と示せますが、なければ範囲を確定できず、より広い前提で対応することになります。
アクセスログの監査を参照してください。
期限：速報と確報の2段階
報告は2回に分かれます。この構造を知らないと、1回目の期限を逃します。
| 区分 | 期限の目安 | 内容 |
|---|---|---|
| 速報 | 事態を知った時点から おおむね3〜5日以内 | その時点で把握している範囲。分からない項目は空欄で提出できます |
| 確報 | 30日以内 （③の場合は60日以内） | 原因、被害範囲、再発防止策などを含む確定情報 |
速報は「調査が終わってから」ではありません。知った時点から数日以内です。原因が分からない段階でも、分かっている範囲で提出します。
調査を待って速報を出さないのが、最も起きやすい不履行です。
本人への通知も必要です
委員会への報告とは別に、対象となる本人への通知も求められます。時期は「速やかに」とされています。
本人への連絡先が分からないなど通知が難しい場合は、公表など代替の措置を取ることになります。
期限に間に合わせるために事前に決めておくこと
3〜5日という期限は、体制がない状態では守れません。発生してから決めていては間に合いません。
① 誰が報告を判断するか
現場が異常に気づいてから、報告を決める人に届くまでの経路です。ここが決まっていないと、数日が社内の確認だけで消えます。
② 誰が委員会に提出するか
提出は原則としてオンラインの窓口から行います。提出の担当と、その代理の担当を決めておきます。1人だけに紐づけていると、不在時に止まります。
③ どの情報を集めるか
報告に必要な項目をあらかじめ把握しておくと、収集が並行して進みます。
- いつ、何が起きたか
- 漏えいした（おそれのある）個人データの項目と本人の数
- 原因
- 二次被害またはそのおそれ
- 本人への対応
- 再発防止の措置
④ 誰が対外的に説明するか
取引先や顧客からの問い合わせに、誰がどこまで答えるかです。担当が決まっていないと、部署ごとに違う説明が出ます。
報告を減らす方向の対策
報告義務そのものは避けられませんが、報告が必要な事態の発生を減らすことはできます。
③の「不正の目的による行為」で最も多い入口は、正規のID・パスワードでのログインです。攻撃者が正規の認証情報を使う場合、システムから見れば正当な利用に見えます。
二要素認証を入れると、パスワードが漏れていてもログインが成立しません。③に至る経路のうち、最も件数の多いものを塞げます。
多要素認証の基本、 WindowsのOSログインに二要素認証を入れる方法を参照してください。
あわせて、アクセス権を絞っておくと、1件の突破で見られる範囲が小さくなります。報告の対象になるかどうかは変わりませんが、規模と対応負荷が変わります。
特権アカウントの管理、 IDの棚卸しと監査で扱っています。
VPN機器から入られた事例では、侵入後に社内のPCやサーバーへ次々とログインされ、被害が広がっています（大阪急性期・総合医療センター、オーミケンシなど）。PCやサーバーのログインにも2つ目の要素を求めておくと、入口を突破されても横への広がりを止めやすくなります。誰が・いつ・どのPCにログインしたかの記録が残っていれば、確報に書く「原因」と「影響範囲」を絞り込む材料にもなります。
よくある質問
1,000人以下なら報告は不要ですか
いいえ。件数の条件がつくのは4類型のうち1つだけです。要配慮個人情報、財産的被害のおそれ、不正の目的による行為に当たる場合は、1件でも報告の対象になります。
不正アクセスを受けたが漏えいしたか分からない場合は
漏えいした「おそれ」がある段階で対象になります。見られていないと確認できない場合は、おそれがある状態として扱うことになります。ログがあれば範囲を絞れます。
速報は調査が終わってから出せばよいですか
いいえ。事態を知った時点からおおむね3〜5日以内です。原因が判明していなくても、分かっている範囲で提出します。調査を待つのが最も起きやすい不履行です。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、不正ログインにつながるID・パスワードの管理状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年8月時点の情報に基づく一般的な解説であり、法的助言ではありません。報告の要否・期限・様式の判断は、上記の公式情報および必要に応じて専門家にご確認ください。