「サーバーに不審なログインがあった」「社員が顧客リストを誤って別の会社に送ってしまった」――個人情報の漏えいは、どれほど注意していても起こり得ます。問題は、起きた後の最初の数日で会社が何をするかです。この記事では、個人情報が漏えいしたときの初動の手順、個人情報保護委員会への報告（速報・確報）と本人通知が義務になる要件と期限、公表の判断、不正アクセスを受けた会社の責任の範囲と再発防止までを、条文と公的資料に沿って整理します。
漏えいに気づいた直後にやること ― 初動の5ステップ
漏えいの疑いを知ったとき、最初にすべきことは「原因の特定」でも「お詫び文の作成」でもなく、被害の拡大を止め、事実を残し、報告期限を逆算して動き出すことです。
ステップ1 ― 拡大防止（遮断）
不正アクセスが疑われるなら、該当アカウントの無効化、外部からの接続遮断、感染が疑われる端末の切り離しを行います。誤送信なら、送信先への削除依頼が先です。端末を初期化すると調査に必要なログが消えるため、「切り離すが消さない」が原則です。
ステップ2 ― 事実の記録と証拠の保全
発覚日時、気づいた経緯、対象データの種類と件数の見込み、取った措置を時刻つきで記録し、アクセスログやメールの送信履歴は改変せずに保存します。この記録が、委員会への報告や本人への説明、後に責任を問われたときの資料になります。
ステップ3 ― 社内の報告ラインの一本化
経営者を責任者とし、窓口担当者を一人決めます。現場が個別に顧客へ連絡すると説明に矛盾が生じるため、問い合わせは窓口へ回します。
ステップ4 ― 報告義務の有無と期限の確認
次章の4つのケースに当たるかを判断し、当たる場合は「知った日」を起点に速報・確報・本人通知の期限を逆算します。迷う段階でも、まず弁護士に連絡するのが安全です。
ステップ5 ― 外部専門家と関係先への連絡
不正アクセスの場合は、原因調査を行うセキュリティ事業者（フォレンジック調査）の手配を検討します。警察への相談、委託元・委託先への連絡、保険会社への通知も並行して進めます。
初動の順番は「止める → 残す → 一本化する → 期限を逆算する → 専門家を入れる」です。原因の全容が分からない段階で動き出す必要があり、「分からないから待つ」が最も危険です。
個人情報保護委員会への報告が義務になる4つのケース
個人情報保護法26条1項は、個人データの漏えい・滅失・毀損（以下「漏えい等」）のうち「個人の権利利益を害するおそれが大きいもの」が生じたときに、個人情報保護委員会への報告を義務づけています。対象となる事態は、施行規則7条が4類型で定めています。
| 類型（施行規則7条） | 内容 | 中小企業での具体例 |
|---|---|---|
| 1号 要配慮個人情報 | 病歴・犯罪の経歴・健康診断の結果などを含む個人データの漏えい等 | 健康診断結果の一覧を誤送信した、医療・介護に関する顧客データが流出した |
| 2号 財産的被害のおそれ | 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等 | クレジットカード番号を含む決済データ、決済機能のあるサービスのIDとパスワードの組合せ |
| 3号 不正の目的 | 不正の目的をもって行われたおそれがある行為による漏えい等 | 不正アクセス、ランサムウェア、端末の盗難、従業者による顧客名簿の持ち出し |
| 4号 1,000人超 | 本人の数が1,000人を超える漏えい等 | 顧客リスト全体を添付して誤送信した、ECサイトの会員データが流出した |
注意点は3つです。第一に、1号から3号には人数の下限がなく、要配慮個人情報が1人分でも、不正アクセスで1件漏れたおそれがあるだけでも対象になり得ます。第二に、いずれも「発生したおそれがある事態」を含み、漏えいが確定していなくても義務が生じます。第三に、報告が義務になる事態では、原則として本人への通知も義務になります（法26条2項）。
速報と確報 ― 期限・報告事項・報告先
報告は「速報」と「確報」の2段階で行います（施行規則8条）。起点はいずれも会社が「当該事態を知った」日です。
| 区分 | 期限 | 内容 |
|---|---|---|
| 速報 | 知った後「速やかに」（個人情報保護委員会は発覚から概ね3〜5日以内を目安としています） | その時点で把握している事項を報告 |
| 確報 | 知った日から30日以内。不正の目的によるおそれがある事態（3号）は60日以内 | 9つの報告事項をすべて報告 |
| 本人通知 | 「当該事態の状況に応じて速やかに」（施行規則10条） | 概要・項目・原因・二次被害の有無など、本人の権利利益の保護に必要な範囲 |
報告する9つの事項
施行規則8条1項が定める報告事項は、①概要、②漏えい等した個人データの項目、③本人の数、④原因、⑤二次被害またはそのおそれの有無と内容、⑥本人への対応の実施状況、⑦公表の実施状況、⑧再発防止のための措置、⑨その他参考となる事項の9つです。速報の段階ですべて埋まることはまずなく、分かっている範囲で出し、確報までに調査を進めます。
報告先と方法
報告は原則として個人情報保護委員会の報告フォーム（電子申請）で行います。業種によっては事業所管の省庁に権限が委任されており、その場合は所管省庁へ報告します。マイナンバーが含まれる（または不明な）場合は専用フォームから報告します。
委託先で漏えいが起きた場合
顧客管理システムの運用会社など、個人データの取扱いの委託先で漏えいが起きた場合、報告義務を負うのは原則として委託元と委託先の双方です。ただし、委託先が施行規則9条に従って委託元に通知した場合、委託先の報告義務は免除されます（法26条1項ただし書）。委託元である貴社は、通知を受けた時点で「知った」ことになり期限が動き始めるため、委託契約には「漏えい時は直ちに委託元へ報告する」旨の条項が必要です。
速報は「分からないことが多い状態」で出すものです。原因の確定を待つと目安期間を過ぎてしまいます。確報の30日（不正目的は60日）も、フォレンジック調査の日程を考えると長くありません。
本人への通知と公表の判断
本人通知は原則義務、例外は「困難な場合」の代替措置
委員会への報告対象となる事態では、本人への通知も義務です（法26条2項）。通知は「当該事態の状況に応じて速やかに」行い、内容は概要・漏えいした項目・原因・二次被害の有無・その他参考事項のうち、本人の権利利益を守るために必要な範囲とされています（施行規則10条）。連絡先がないなど通知が困難な場合には、必要な代替措置をとることで通知に代えることができます（同項ただし書）。典型が自社サイトでの公表と問い合わせ窓口の設置ですが、通知できる相手にはまず通知するのが原則です。
公表するかどうかの判断軸
公表そのものは、法令上すべての事案で一律に義務づけられているわけではありません。しかし、報告事項に「公表の実施状況」が含まれているとおり、委員会は公表を二次被害防止の手段として位置づけています。判断の軸は3つです。
- 二次被害の防止に役立つか ― フィッシングメールやなりすましが予想されるなら公表に傾きます。
- 本人への通知で足りるか ― 対象者全員に個別連絡できるなら、公表を必須としない判断もあり得ます。
- 後に「隠した」と評価されないか ― 取引先や報道を通じて明らかになると、漏えいそのものより隠蔽の印象で信用を失います。
公表文には、概要、対象、判明している範囲の原因、本人へのお願い（パスワード変更など）、問い合わせ窓口、再発防止策を記載し、調査中の事項は断定しません。
不正アクセスを受けた会社はどこまで責任を負うのか
「攻撃を受けた側なのに、なぜ責任を負うのか」と感じる経営者は多いはずです。会社は「被害者」であると同時に個人データを預かる「管理者」であり、その義務を果たしていたかで責任の有無が決まります。
安全管理措置義務と委託先の監督義務
個人情報取扱事業者は、個人データの漏えい・滅失・毀損の防止のために「必要かつ適切な措置」を講じなければなりません（法23条）。従業者への監督（法24条）と委託先への監督（法25条）も義務です。どこまでやれば足りるかはデータの性質・量や事業規模で変わりますが、ソフトウェアの更新を長期間放置していた、全員が同じパスワードを共有していた、退職者のアカウントが残っていた、といった状態は不十分と評価されやすい典型例です。
行政上の責任 ― 勧告・命令・罰則
安全管理措置や漏えい等報告の規定に違反した場合、個人情報保護委員会は是正措置の勧告を行い、正当な理由なく従わないときは命令を出すことができ、緊急時には勧告を経ずに命令することもできます（法148条）。命令違反には1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金が定められています（法178条・184条）。委員会の報告徴収・立入検査（法146条）に対する報告の不履行や虚偽報告には50万円以下の罰金があります（法182条）。
なお、2026年（令和8年）に成立・公布された改正法（施行は公布から2年以内）で課徴金制度が導入されますが、安全管理措置の不備による漏えいそのものは、委員会の概要資料に示された課徴金の対象行為には挙げられていません。一方で、勧告を経ない緊急命令の要件が緩和されるなど、行政対応の面での影響は小さくありません。
民事上の責任 ― 本人・取引先からの損害賠償請求
漏えいした本人からは、不法行為（民法709条）や使用者責任（民法715条）に基づく損害賠償請求を受ける可能性があります。裁判所は、講じていた安全管理措置、漏えいした情報の性質（要配慮個人情報や決済情報を含むか）、二次被害の有無、漏えい後の対応などを総合して判断します。初動を適切に行い、本人通知と二次被害防止策を速やかに講じたことは、責任の範囲を限定する方向に働きます。取引先から預かったデータの場合は、別に業務委託契約や秘密保持契約の違反を問われるため、契約の賠償上限・免責・報告期限の定めも確認してください。
再発防止と平時の備え ― 次に同じことを起こさないために
確報には「再発防止のための措置」を記載する必要があり、「社員教育を徹底する」だけでは足りません。会社で現実に取り組める対策を原因別に整理します。
- 不正アクセス ― VPN機器・OS・ソフトウェアの更新ルール、多要素認証、退職・異動時のアカウント停止、ログの保存、オフラインのバックアップ。
- 誤送信 ― 宛先の二重確認、添付ファイルの暗号化、顧客リストをメール添付で扱わない運用。
- 従業者の持ち出し ― アクセス権限の最小化、外部媒体・私用クラウドへの保存禁止、退職時の誓約書と返還確認。
- 委託先 ― 委託契約への漏えい時報告条項・再委託の制限・セキュリティ要件の明記と、定期的な実施状況の確認。
平時の備えとして効果が高いのは、「漏えい時の対応手順書」を1枚にまとめておくことです。第一報の宛先（経営者・窓口担当・弁護士・システム保守会社）、報告期限の一覧、公表文と本人通知のひな形、報告フォームのURLを書いておくだけで、発覚当日の動きが変わります。あわせて個人データの棚卸しを行い、利用目的を終えたデータを消去しておくことが、漏えいの規模そのものを小さくします。
よくある質問（FAQ）
漏えいしたかどうかはっきりしない段階でも、個人情報保護委員会に報告しなければなりませんか？
社員1人分の情報を誤送信しただけでも報告が必要ですか？
速報の期限は具体的に何日ですか？
委託しているシステム会社で漏えいが起きました。うちも報告するのですか？
公表は必ずしなければなりませんか？
不正アクセスの被害者なのに、会社が損害賠償を払うことになるのですか？
まとめ
- 初動は「止める → 記録する → 窓口を一本化する → 期限を逆算する → 専門家を入れる」の順。端末の初期化は避けます。
- 要配慮個人情報・財産的被害のおそれ・不正の目的・1,000人超の4類型（施行規則7条）に当たれば、委員会への報告と本人通知が義務になります。1〜3号は1人分でも対象です。
- 速報は知った後速やかに（目安3〜5日）、確報は30日以内（不正目的は60日以内）。委託先からの通知日が貴社の起点です。
- 公表は一律の義務ではありませんが、二次被害防止と本人通知の代替措置として判断が求められます。
- 不正アクセスの被害者であっても、安全管理措置（法23条）と委託先監督（法25条）が不十分なら、勧告・命令や損害賠償の責任を問われ得ます。
漏えいが起きてから報告期限・本人通知・公表文・取引先への説明を同時に進めるのは、会社にとって大きな負担です。当事務所の顧問弁護士サービスでは、平時の対応手順書と委託契約の整備から、発覚時の初動の助言、報告書・公表文のレビューまでをチャット・オンラインで全国対応しています。すでに漏えいの疑いがある場合も、まずはお問い合わせ（無料相談）からお知らせください。
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。法令・制度の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令をご確認のうえ、弁護士にご相談ください。