個人情報の漏えい報告｜速報3〜5日・確報30日（不正アクセスは60日）の期限と初動

個人情報の漏えい報告：先に結論と確認日時

個人情報の漏えい報告の期限は、個人情報保護委員会（個人情報保護法を担当する国の機関）への速報が、事態を知った時点から概ね3〜5日以内、確報が30日以内です。同委員会は、不正アクセスによる漏えい等の報告を、2026年4月に166件、10月は16日までで830件受け付けたとする月別件数の資料を公表しています。

この記事は、自社の顧客や従業員の情報が漏れたかもしれないと気づいたときの、報告の期限と最初の動き方を扱います。個人情報保護委員会、警察庁、IPA（情報処理推進機構）、JPCERT/CC（日本のセキュリティ対応機関）の資料を、2026年10月30日 21時時点で確認しました。

先に結論です。

• 報告が要る場合：名簿などの個人データが漏れた（又はそのおそれ）うち、4つの事態のどれかに当たるときです。不正アクセスや、ランサムウェア（データを暗号化して身代金を求める攻撃）による暗号化は、委員会のリーフレットが「不正の目的」の例に挙げています。
• 期限：速報は概ね3〜5日以内、確報は30日以内です。不正の目的のおそれがある事態の確報は60日以内です。確報の日数は、土日・祝日も数えます。
• 最初の動き：影響のある機器はネットワークから切り離し、電源は切らず、記録を残し、専門会社に相談します。
• 預けたデータ：クラウドや制作会社に預けたデータが漏れたときは、委託先から通知を受けた自社が報告する側になります。

状況は変わりえます。最新は各機関のページで読み直してください。個別の事案が当てはまるかは事情によるため、迷うときは委員会の相談窓口か専門家に確認します。PHP や Chrome の更新は脆弱性まとめ（2026年10月）の記事、パスワードと ID の守り方はパスワード管理ツールの記事にあります。

目次

報告件数：4月の166件から、10月は16日までで830件

委員会の資料は、個人情報取扱事業者（名簿などを事業に使う会社や個人事業主）から委員会へ直接報告された、不正アクセスによる漏えい等の件数を、速報の受付月ごとに載せています。

4月1日から10月16日までに漏えい等した延べ本人数は、約2億6,000万人とされています。10月分の830件を本人数別に見ると、10万人以下が588件、10万人超が45件、不明が197件です。10月は16日までの半月で、9月1か月（303件）の約2.7倍です。

資料の注に、読み方の注意があります。

• 速報時点の数字で、確報の提出などの時点で件数や本人数が変わる可能性があります。
• 金融業・電気通信業など、委任先の省庁を経由した報告は含まれません。
• データの取扱いを委託している場合は、同じ出来事について委託先と委託元の双方が報告していることがあります。

件数が増えた理由は、資料に書かれていません。当社の読みは、10月の830件のうち約7割が10万人以下で、大規模な事件だけの話ではない、というものです。10月上旬には、委員会、警察庁、IPA などが相次いで注意喚起を出しています。

報告が必要になる4つの事態：不正アクセスもランサムウェアも対象

漏えい等の報告は、個人情報保護法第26条第1項に基づく義務です。対象は、個人データ（顧客名簿や従業員名簿など、検索できる形にまとめた個人情報）の漏えい等のうち、同法施行規則第7条が定める次の4つの事態です。「又はそのおそれ」の段階でも含まれます。「漏えい等」には、盗まれる・見られるだけでなく、暗号化されて復元できなくなる場合も含まれると、委員会のリーフレットは例に挙げています。

たとえるなら、4つの事態は「中身が重い」「お金に直結する」「悪意がある」「数が多い」の4つの入口で、どれか1つでも通れば報告の対象です。人数の条件が付くのは④だけで、①〜③は少人数でも対象になりえます。従業員の情報（雇用管理情報）や株主情報を含む場合も、委員会への報告が必要と、委員会のページに注記があります。

①の要配慮個人情報は、病歴など、取扱いに特に配慮が要る情報です。

4つに当たらない場合でも、委員会に任意で報告できます（ガイドライン）。高度な暗号化などの措置を講じた個人データは、報告の対象から除かれています（施行規則第7条）。鍵の管理も問われます。

期限：速報は3〜5日、確報は30日（不正アクセスは60日）

たとえるなら、速報は火事のときの119番通報、確報は後日出す詳しい報告書のようなものです。まず一報を入れ、調べ終えてから確定した内容を出します。

• 速報：事態を知った時点から概ね3〜5日以内が、「速やか」の日数の目安です（ガイドライン通則編）。速報時点では、把握している内容を報告すれば足りるとされています。
• 確報：事態を知った日から30日以内です。不正の目的をもって行われたおそれがある事態は、60日以内です（施行規則第8条第2項）。一部が判明していなければ、その時点で把握している内容を報告し、判明次第に追加で報告します。
• 数え方：確報の30日・60日は、土日・祝日も含めて数えます。法人では、いずれかの部署が事態を知った時点が起点です。

起点について、当社の整理です。どこかの部署が気づいた時点で数え始める扱いなので、気づいた人から責任者へ上げる経路を、先に決めておきます。

速報も確報も、9項目が報告事項です。次の表は9項目を6行にまとめ、右の列に最初の数日の埋め方の当社の案を置いています。

報告は、委員会の「漏えい等の対応とお役立ち資料」のページで受け付けています。マイナンバーを含む場合は、別の報告フォームです。ランサムウェアなどサイバー攻撃の事案では、共通様式（Excel）をメールで送る案内があります。

気づいてから最初の動き方：社内に上げる・広げない・残す・相談する

ここからは当社の整理で、公式の手順書そのものではありません。根拠は、個人情報保護法サイバーセキュリティ連絡会（個人情報保護委員会、国家サイバー統括室、警察庁、IPA、NICT、JPCERT/CC で構成）が2026年1月16日に出したフォレンジック調査の資料です。フォレンジック調査とは、侵入の原因と被害の範囲を調べる詳しい調査のことです。

① 社内に上げる

あらかじめ決めた対応フローで、担当者から責任者へ、必要に応じて経営層へ上げます。個人情報保護の担当が別にいるなら早く共有し、報告が要るかを早く判断できるようにします。IPA は、異常なログやアカウントを見つけたら、速やかにインシデント（セキュリティ上の事故）と判定して対応し、専門のセキュリティベンダーに詳細調査を依頼することを強く推奨しています。

② 広げない

影響が及んだ可能性のある機器は、被害の拡大を防ぐため、速やかにネットワークから隔離します。有線・無線の接続を切ることです。ランサムウェアは、いままさに進行している事案への対応になるため、速さが要るとされています。

③ 残す

フォレンジック調査を予定する機器に、してよい措置はネットワークの隔離です。してはいけない措置は、電源オフ、再起動、ウイルススキャン、初期化、ソフトウェアの更新です。初期対応を誤るとログが消え、原因の特定に悪影響が出ます。たとえるなら、事故の現場をそのまま残して警察を待つのと同じで、触ってよいのは広がりを止めることだけです。保守を委託している場合は、委託先と連携します。

④ 相談する

必要に応じて速やかに、調査会社や専門機関に相談します。封じ込めまで頼みたい場合は、あらかじめ伝えておきます。調査報告書の受領まで1か月以上かかる例が多いため、早めの相談が勧められています。調査会社は、IPA の情報セキュリティサービス基準適合サービスリストから探せます。なお、フォレンジック調査は、個人情報保護法に基づく報告のために義務付けられているものではありません。

連絡先の一覧：誰に何を伝えるか

警察への通報と、委員会への報告は、別の窓口です。両方が要るかを確認します。

本人への通知：速やかに、必要な範囲で

• 時期と内容：事態の状況に応じて速やかに通知します（ガイドライン通則編）。通知する事項は、概要、個人データの項目、原因、二次被害のおそれの有無と内容、その他参考となる事項です（施行規則第10条）。
• 通知が難しいとき：事案の公表や、問い合わせ窓口を用意して連絡先を公表する、といった代替措置が認められています。
• 二次被害：警察庁は、情報流出元の企業をかたる偽メールの可能性を挙げ、メール内のリンクを安易にクリックしないよう呼びかけています。当社の整理では、自社の通知が偽メールと見分けにくくならないよう、パスワードを入力させるリンクを通知文に置かず、問い合わせ窓口をホームページにも載せます。なりすましの手口は、社長を装う送金指示の記事にもあります。

預けたデータが漏れたとき：報告は誰がするか

• ガイドライン：委託先が、報告義務を負う委託元へ速報の事項を通知すれば、委託先の報告義務は免除されます。通知は、事態を知った後、速やかに行います。通知を受けた委託元が報告し、通知した委託先は、本人への通知義務も免除されます。
• 委員会の件数の注：委託している場合は、同じ出来事について委託先と委託元の双方が報告していることがあります。
• 当社の整理：たとえるなら、預けた荷物に事故があれば、預かった倉庫から荷主へまず連絡が入る関係です。預ける側は、連絡を誰が受けるか、契約書に連絡の期限と方法があるかを確かめておきます。預かる側（顧客の名簿を扱う制作会社など）は、知った後に速やかに委託元へ伝えます。

平時にやっておく3つ

1. 連絡の順番を1枚にする：気づいた人、責任者、個人情報の担当、保守業者、調査会社の候補、警察の順に、誰に伝えるかを決めます。連絡会の資料は、対応フローを作って周知することを勧めています。
2. 持っているデータを数え、不要なものを消す：委員会は10月7日の注意喚起で、利用の必要がなくなった個人データを遅滞なく消去するよう努める法第22条を挙げ、消去が徹底されず漏えいが深刻化した事例があるとしています。IPA も、不要な情報は持たず、必要最小限にするよう書いています。考え方はデータ最小化の記事にあります。
3. ログを残す：連絡会の資料は、調査に必要なログ（機器やサービスの操作・通信の記録）を少なくとも1年程度保管するのが望ましいとしています（法令上許される期間を超える保管の推奨ではありません）。ログは、機器の防犯カメラの録画のようなもので、残っていないと何が起きたか分かりません。ログは、パソコンだけでなく、サーバー、ネットワーク機器、クラウドサービスにも残ります。委託先の見方はベンダーの審査の記事にあります。

2026年の改正法で変わること：施行は公布から2年以内

個人情報保護法の改正法は、2026年7月10日に成立し、7月17日に公布されました。施行期日は、原則として公布の日から起算して2年を超えない範囲内です。委員会の概要資料にある、漏えい等報告に関わる改正と見直しの方向は次のとおりで、10月30日の確認時点で施行前のため、現行のルールが続きます。

• 本人への通知：本人の権利利益の保護に欠けるおそれが少ない場合は、通知義務を緩和し、代替措置による対応を認めます（第26条第2項）。
• 速報：体制・手順について認定個人情報保護団体（委員会の認定を受けた民間の団体）などの確認を受けること等を前提に、一定の範囲で免除することが検討されています。
• 本人が1名の誤交付・誤送付：確報を、一定期間ごとに取りまとめて行うことを認める検討がされています。
• 違法な個人データの第三者提供：報告の対象となる事態に加える検討がされています。

2つ目から4つ目は、法律そのものではなく委員会規則の見直しで検討予定とされています（10月1日の委員会資料）。具体的な範囲も、規則等で定める想定とされています。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 10月に件数が増えた理由と、10月17日以降の件数（委員会の資料に記載なし）。
• サイバー攻撃等の共通様式の適用日。委員会のページには、ランサムウェアが「令和7年10月1日以降」、その他のサイバー攻撃等を加えた様式が「令和8年10月1日以降」と、別々の日付で書かれています。どちらも過ぎていますが、報告の前にページで確かめてください。

よくある質問

従業員が数人の会社でも、報告は必要ですか。

名簿などの個人データを事業に使う会社は、規模にかかわらず個人情報取扱事業者に当たります。4つの事態のどれかに当たれば、報告が要ります。

本人の数がまだ分かりません。報告は待つべきですか。

待たずに、速報の目安（概ね3〜5日以内）に合わせて、分かっている範囲を報告します。ガイドラインは、速報時点で把握している内容を報告すれば足りるとしています。委員会の集計にも、本人数が「不明」の区分があります。

調査が終わらないうちに、確報の期限が来そうです。

一部が判明していない場合は、その時点で把握している内容を報告し、判明次第に追加で報告するとガイドラインにあります。調査報告書の受領まで1か月以上かかる例が多いとされるため、調査会社には早めに相談します。

警察に通報すれば、委員会への報告は要りませんか。

別の窓口です。警察は被害の通報・相談の窓口で、委員会への漏えい等報告は個人情報保護法に基づく手続きです。両方が要るかを確認します。

メールの宛先を誤って一斉表示（BCC のつもりが CC）にしました。報告は要りますか。

本人の数が1,000人を超える場合は、④の例として委員会のリーフレットが挙げています。1,000人以下でも、①〜③に当たらないかを確認し、迷うときは委員会の相談窓口に聞きます。

まとめ

報告が要るのは、4つの事態のどれかに当たるときです。速報は概ね3〜5日以内、確報は30日以内（不正の目的のおそれは60日以内）で、確報の日数は土日・祝日も数えます。最初の動きは、社内に上げる、広げない、残す、相談するの順です。

参照元・出典

• 個人情報保護委員会：漏えい等の対応とお役立ち資料、不正アクセスによる漏えい等の傾向（参考資料）、大規模な漏えい等事案を踏まえた対応について（10月7日）、ガイドライン（通則編）、漏えい等報告のリーフレット、フォレンジック調査の着眼点、令和8年改正法、改正法の概要
• 公的機関の注意喚起：国家サイバー統括室（一覧）、警察庁 サイバー警察局便り、IPA、JPCERT/CC
• 相談・届出：警察、IPA 相談窓口、IPA 届出窓口、JPCERT/CC、IPA サービスリスト

本記事は 2026年10月30日 21時の確認時点のものです。