企業がサイバー攻撃を受け、顧客情報が漏洩した。あるいは、従業員が顧客情報を誤送信してしまった。
こうした事故が発生した際、企業は何をすればよいのでしょうか。
実は、一定の個人情報漏洩事故については、個人情報保護委員会への法定報告と、本人への通知が義務付けられています。
対象となるのは大企業だけではありません。中小企業や個人事業主にも適用されます。
しかも、個人情報が実際に盗まれたと確認されていなくても、漏洩のおそれがある段階で報告義務が生じることがあります。
この記事では、行政手続の専門家である行政書士が、報告対象となる事故、期限、報告書の作成方法、事故後の対応を解説します。
【この記事の結論】
- 個人情報漏洩等の報告が義務となるのは、法令で定める4類型のいずれかに該当する場合です。
- 速報は発覚後速やかに、概ね3～5日以内が目安です。
- 確報は原則30日以内、不正目的の行為による漏洩等の場合は60日以内です。
- 報告対象となる事故では、原則として本人への通知も必要です。
- 行政書士は、行政機関への報告書作成や提出手続について支援できる専門家です。
個人情報保護委員会への報告は法律上の義務
個人情報保護法第26条第1項では、事業者が取り扱う個人データについて、個人の権利利益を害するおそれが大きい漏洩等が発生した場合、個人情報保護委員会への報告を義務付けています。
この制度は2022年4月1日から施行されています。
ここでいう「漏洩等」には、情報が第三者に流出する場合だけでなく、個人データの滅失や毀損も含まれます。
例えば、ランサムウェアによって顧客データが暗号化され、復元できなくなった場合には、個人データの毀損に該当することがあります。
一方、別の場所に同じデータが安全に保管されている場合など、事故の内容によって判断が異なります。
報告義務は、事故の原因、対象情報の種類、影響人数などに応じて判断します。
法律上の用語である「個人データ」は、一般的な意味でのすべての個人情報と同一ではありません。個人情報データベース等を構成する個人情報などを指します。ただし、不正目的の行為による事案では、今後個人データとして取り扱う予定の個人情報も報告対象に含まれます。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
個人情報保護法第26条
人情報漏洩の報告義務が生じる4つのケース
個人情報保護法施行規則第7条では、報告が必要となる事態を4類型に分けています。
① 要配慮個人情報を含む個人データの漏洩等
例えば、病歴、障害、犯罪歴など、特に慎重な取り扱いが求められる情報が含まれる場合です。
医療機関の患者情報や、介護事業者が管理する利用者情報などが典型的な例です。
対象者が1人であっても報告義務が生じ得ます。
ただし、氏名、住所、生年月日などが記載されているだけで、当然に要配慮個人情報に該当するわけではありません。
② 財産的被害が生じるおそれのある個人データの漏洩等
クレジットカード番号や認証情報などが漏洩し、不正な財産処分に利用されるおそれがある場合です。
単に住所やメールアドレスが漏洩したというだけで、直ちにこの類型に該当するとは限りません。
情報を悪用することで本人の財産的被害につながるかを具体的に検討します。
③ 不正目的による個人データの漏洩等
不正アクセス、サイバー攻撃、従業員による情報の不正持ち出しなどが考えられます。
例えば、第三者が顧客管理システムへ不正アクセスし、顧客情報を取得した場合です。
この類型では、対象人数が少なくても報告が必要になり得ます。
また、実際の流出が確定していなくても、個人データの漏洩等が発生したおそれが認められる場合には報告対象となります。
④ 1,000人を超える個人データの漏洩等
個人データの対象者が1,000人を超える場合です。
例えば、1,500人分の顧客名簿を誤ってインターネット上に公開したケースなどが該当します。
この類型では、個人データの内容が比較的基本的なものであっても、影響人数によって報告義務が生じます。
なお、適切な高度暗号化など、法令上の所定の保護措置が講じられている個人データについては、報告対象から除外される場合があります。
参考：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
個人情報漏洩の報告期限はいつまで？
個人情報保護委員会への報告には「速報」と「確報」の2段階があります。
| 報告区分 | 期限 |
|---|---|
| 速報 | 事態を知った後、速やかに。概ね3～5日以内が目安 |
| 確報（通常） | 事態を知った日から30日以内 |
| 確報（不正目的の行為による事案） | 事態を知った日から60日以内 |
速報は調査が完了していなくても提出する
事故の原因や影響人数がまだわからない場合もあるでしょう。
その場合でも、報告対象となる事態を知ったら、その時点で把握している内容に基づいて速報を行います。
例えば、顧客管理システムに不正アクセスされたことが判明したものの、対象人数が確定していない場合は、把握できている事故の概要などを先に報告することになります。
すべての事実関係を確認してから報告しようとすると、期限に間に合わないおそれがあります。
確報では調査結果と再発防止策を整理する
確報には、事故の原因、漏洩等の対象情報、対象人数、本人通知の状況、再発防止策などを記載します。
合理的な調査を尽くしても一部の事項が判明しない場合は、その時点で把握している内容を報告し、後日判明した事項を追完します。
期限の起算点は原則として事業者が報告対象事態を知った日です。期限計算や休日の取り扱いも法令・ガイドラインに従う必要があります。
個人情報保護委員会への報告方法と記載事項
通常の民間企業が個人情報保護委員会へ報告する場合は、原則として公式のオンライン報告フォームを利用します。
報告書には、主に次の9項目を記載します。
- 漏洩等の概要
- 漏洩等が発生した、またはそのおそれがある個人データの項目
- 対象となる本人の数
- 事故の原因
- 二次被害またはそのおそれ
- 本人への対応状況
- 事故の公表状況
- 再発防止のための措置
- その他参考となる事項
報告書の作成には正確な事実整理が必要
例えば、サイバー攻撃を受けた場合でも「攻撃を受けたこと」「顧客データにアクセスされたこと」「情報が外部へ持ち出されたこと」は、それぞれ異なる事実です。
確認されていない情報流出を断定してはいけません。
一方、流出した証拠が発見されなかったという理由だけで、漏洩のおそれまで否定できるとは限りません。
報告書では、確認できた事実、推定される事実、調査中の事項を区別することが重要です。
2026年10月からサイバー攻撃用の共通報告様式も利用可能に
2026年10月1日から、ランサムウェア事案やその他のサイバー攻撃事案について、関係省庁共通の報告様式を使用できる仕組みが導入されています。
複数の行政機関への報告が関係する事故では、こうした制度も確認するとよいでしょう。
なお、報告先が金融庁、厚生労働省などの事業所管省庁に委任されている場合は、報告先や提出方法が異なることがあります。
マイナンバーを含む場合も、番号法に基づく報告義務を別途確認する必要があります。
報告した後に企業が行うべき対応
個人情報保護委員会へ報告しただけで、企業の事故対応が終了するわけではありません。
事故の性質に応じて、以下のような対応が必要になります。
① 被害の拡大防止と原因調査
不正アクセスが確認された場合には、侵害されたアカウントの停止や感染端末の隔離など、被害拡大を防ぐ措置を実施します。
同時に、ログや関連記録を保存し、事故の経緯を調査します。
専門的なデジタル・フォレンジック調査が必要な場合には、情報セキュリティ専門会社などの支援が必要です。
② 本人への通知
報告対象となる事態では、原則として本人への通知も義務付けられています。
本人通知では、事故の概要、対象情報、原因、二次被害のおそれなど、本人の権利利益を守るために必要な事項を伝えます。
ただし、本人への通知と、ホームページ等での一般公表は別の問題です。
すべての事故について、一般向けに公表する法律上の義務があるわけではありません。
③ 再発防止策の策定と実施
事故の原因に応じて、パスワード管理、多要素認証、アクセス権限、従業員教育、バックアップ体制などを見直します。
再発防止策は単に報告書に記載するだけでなく、実際に実施することが重要です。
④ 個人情報保護委員会からの追加確認への対応
報告内容によっては、個人情報保護委員会から追加説明や資料提出を求められることがあります。
調査の結果、必要に応じて指導・助言などの対応が行われます。
報告したこと自体をもって、直ちに行政処分となるわけではありません。
クラウドサービスがサイバー攻撃を受けた場合も報告が必要？
近年、特に注意したいのが、業務を委託している外部システムへのサイバー攻撃です。
自社のパソコンやサーバが直接攻撃されていなくても、顧客情報を預けていたクラウド事業者が攻撃を受ける可能性があります。
2023年には、社会保険労務士向け業務支援システム「社労夢」を提供する株式会社エムケイシステムがランサムウェア攻撃を受けました。
この事件では、システムを利用する多数の士業事務所や顧問先企業にも影響が及び、個人情報保護委員会への漏洩等報告が多数行われました。
注意したいのは、外部サービスにデータを預けているからといって、データを取り扱う企業自身の法的責任が当然になくなるわけではないことです。
個人データの取扱いを委託している場合には、原則として委託元と委託先の双方が報告義務を負うことがあります。
ただし、委託先から委託元への所定の通知により、委託先の報告義務が免除される制度もあります。
契約関係やデータの取扱い状況に応じた確認が必要です。
行政書士事務所もサイバー攻撃の被害を受けている
岡高志行政書士事務所では、行政書士業界における実際のサイバー攻撃事例を調査し、2026年11月6日に記事を公開しました。
行政書士法人IMSのウイルス感染、行政書士未来タクトのメールアカウント乗っ取り、行政書士古内事務所、坪川事務所の外部システム被害などを紹介しています。
実際の個人情報流出が確認された事故と、流出のおそれが生じた事故を区別して解説しています。
関連記事：行政書士事務所もサイバー攻撃の標的に！実例4件と情報漏洩を防ぐ対策――岡高志行政書士事務所のセキュリティ宣言
個人情報漏洩の報告書作成・提出手続は行政書士に相談できる？
行政書士は、行政書士法に基づき、官公署に提出する書類や電磁的記録の作成を業務とする国家資格者です。
個人情報保護委員会への漏洩等報告も、行政機関への法定報告手続です。
行政書士は、他の法律で制限される業務を除き、依頼者からの委任に基づいて、報告書の作成や提出手続について支援することができます。
例えば、以下の業務が考えられます。
- 個人情報保護法に基づく報告義務の確認
- 報告対象となる事故の事実関係の整理
- 速報・確報に必要な記載事項の整理
- 個人情報保護委員会への報告書作成
- 委任に基づく提出手続の支援
- 行政機関への説明に必要な資料の整理
- 本人通知文書や再発防止に関する書類の作成支援
実際の電子報告における代理提出の方法や委任状の取り扱いについては、提出先の運用を確認する必要があります。
また、行政書士が担当するのは、主として行政手続と書類作成の分野です。
システム侵入の技術的調査やサーバの復旧は情報セキュリティ専門家、損害賠償請求や示談交渉など紛争性のある法律事務は弁護士が担当するなど、専門家の役割分担が重要です。
岡高志行政書士事務所が情報セキュリティを重視する理由
申請ALL.comを運営する岡高志行政書士事務所は、行政手続とデジタル技術の両方に取り組んできた事務所です。
代表の行政書士・岡高志は、東京大学法学部を卒業し、東京大学大学院工学系研究科を修了した工学修士でもあります。
行政書士としての実務に加え、業務のDXやAI活用にも継続して取り組んできました。
自社開発・自社運営のサービスである「遺言書AI」「VISAdeAI」「申請ALL.com」も、その取り組みの一環です。
こうしたシステム開発・運営の経験から、情報セキュリティを単なる技術上の問題ではなく、利用者の信頼に関わる重要な課題として捉えています。
当事務所は、情報セキュリティについて次の4つの方針を掲げています。
- 基本的なセキュリティ対策の徹底
- 生成AI利用時のルール整備と情報管理
- ビジネスメール詐欺・成りすまし対策
- セキュリティ事故発生時の備え
法令を理解する行政書士としての専門性と、デジタル技術を実務に取り入れてきた経験。
この両方を生かし、個人情報の適切な管理と、行政手続に関する正確な情報提供に努めています。
よくある質問（FAQ）
Q1．個人情報が1件漏洩しただけでも報告が必要ですか？
A．必要になる場合があります。
要配慮個人情報を含む場合や、不正目的による漏洩等の事案では、1人分でも報告対象となることがあります。
一方、すべての誤送信や紛失について法定報告が必要になるわけではありません。
Q2．個人情報が実際に流出したかわからない場合は？
A．漏洩等のおそれがある場合も報告対象になり得ます。
特に不正アクセス事案では、情報流出の痕跡が確認できなくても、アクセス状況や管理体制などから漏洩のおそれを判断する必要があります。
Q3．報告期限を過ぎてしまった場合はどうすればよいですか？
A．報告義務がある場合は、期限が過ぎても速やかに報告してください。
期限を過ぎた理由や事故発覚後の経緯などを整理し、提出先の指示に従って対応することが重要です。
期限を過ぎたことで報告義務そのものがなくなるわけではありません。
Q4．クラウド事業者が報告していれば、自社は報告不要ですか？
A．必ずしもそうではありません。
個人データの取扱いを委託している場合は、原則として委託元と委託先の双方に報告義務が生じ得ます。
委託先からの所定の通知による例外などもあるため、契約関係と事故内容を確認してください。
Q5．個人情報漏洩をホームページで公表する義務はありますか？
A．すべての事故について一般公表が義務付けられているわけではありません。
法令上の本人通知義務と一般公表は区別されます。ただし、本人通知が困難な場合の代替措置や、二次被害防止の観点から公表が必要・適切となる場合があります。
Q6．個人情報保護委員会への報告は無料ですか？
A．個人情報保護委員会への報告手続自体について、行政機関に支払う申請手数料はありません。
ただし、事故調査、システム復旧、書類作成などを外部の専門家へ依頼する場合は、別途費用が発生することがあります。
Q7．行政書士に個人情報漏洩の報告書作成を相談できますか？
A．はい。行政書士は官公署提出書類の作成を専門とする資格者です。
報告書に必要な事実関係の整理、法令上の報告事項の確認、速報・確報の書類作成などについて相談できます。
ただし、技術的な事故調査や法的紛争の代理は、各分野の専門家との連携が必要です。
個人情報漏洩の報告書作成・行政手続に関するご相談
個人情報漏洩事故が発生すると、企業担当者には多くの対応が求められます。
被害の拡大防止、原因調査、顧客への説明、取引先への報告、再発防止策の検討。
その中で、個人情報保護委員会への報告義務や期限を正確に把握することも欠かせません。
岡高志行政書士事務所では、行政手続の専門家として、個人情報漏洩等に関する報告書作成や提出手続についてのご相談を承ります。
事故の内容や対応状況に応じて、支援できる範囲を確認いたします。
ご相談は、申請ALL.comの画面右下にあるチャットボットからお問い合わせください。
なお、初回のお問い合わせでは、事故の発生時期や概要など、必要最小限の情報をお知らせください。
氏名、口座番号、マイナンバー、漏洩対象となった名簿などの機密情報は、チャットボットに直接入力・アップロードしないでください。
また、法定報告の期限が迫っている場合は、専門家からの返信を待つことなく、事業者自身による必要な初動対応や速報を進めてください。
参考法令・公式資料
- 個人情報の保護に関する法律（e-Gov法令検索）
- 行政書士法（e-Gov法令検索）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 個人情報保護委員会「個人情報保護法ガイドライン（通則編）」
- 個人情報保護委員会「ガイドラインに関するQ&A」
本記事は2026年11月6日現在の制度に基づく一般的な解説です。個別の報告義務や報告先、提出方法等は、事故の内容と適用法令に応じて確認する必要があります。