インシデント概要更新日
#個人情報漏えいの速報と確報の期限は何日ですか？
速報はおおむね3～5日以内、確報は原則30日以内が提出の期限です。確報は、速報を出した日ではなく、事態を知った日から数えて原則30日以内に提出します。不正な目的で行われたおそれがある場合だけ、確報の期限が60日以内になります。
また、60日はあくまで確報の期限です。不正アクセスのケースでも、速報の目安は3〜5日のまま変わりません。期限は個人情報保護委員会の漏えい等報告の案内で確認できます。
速報は、その時点でわかっていることだけを書けば出せます。調べている途中でも先に出す、という考え方ですね。
なお、Studioは、利用しているクラウド環境に第三者の不正アクセスがあり、預かっている顧客情報が外部に流出した可能性があると公表しました。不正アクセスは不正目的の類型に当てはまるため、確報は60日の枠で考えることになりそうです。ただし、これは一般のルールに当てはめた見方で、Studioがそう明言しているわけではありません。
#漏えいの報告義務がある4つの類型とは何ですか？
「自社サイトの問い合わせフォームから情報が漏れたかもしれないが、すべての場合で国への報告が必要なのだろうか」と判断に迷う場面があります。民間事業者が報告しなければならないのは、次の4つです。
- 要配慮個人情報（病歴、健康診断の結果、診療や調剤の情報など）を含む漏えい
- 不正に使われるとお金の被害が出るおそれがある漏えい（クレジットカード番号、送金や決済ができるサービスのログインIDとパスワードの組み合わせなど）
- 不正な目的の行為による漏えい（外部からの不正アクセス、ランサムウェアで暗号化されて元に戻せなくなった場合など）
- 本人の数が1,000人を超える漏えい
どの類型も、漏えいが起きた場合だけでなく、起きたおそれがある段階で対象になります。
Studioの件で気をつけたいのが3つ目です。この類型には対象人数の下限がなく、影響を受ける本人が1人であっても報告の対象になり得ます。Studioの不正アクセスに関するお知らせでも、対象者が1人でも本人への通知が必要になる場合があると書かれています。ただ、委員会への報告と本人への通知は別の手続きなので、分けて考えてください。
#漏えいの報告先は個人情報保護委員会ですか、所管の省庁ですか？
個人情報の漏えい事態が起きた際、報告書は個人情報保護委員会に届ければよいのでしょうか。それとも、自社の事業を監督している各省庁に提出するのでしょうか。
原則は個人情報保護委員会（PPC）です。ただ、事業を所管する大臣に報告を受ける権限が任されている分野では、PPCではなく、その委任先の府省庁へ報告します。委任先は変わることがあります。報告の前に権限委任先の一覧で最新の報告先を確かめ、提出の方法は報告先のホームページで確認する流れです。
一方で、権限委任の対象となっている事業分野であっても、漏えいしたデータが自社の従業員の雇用管理情報や株主情報である場合は、所管省庁ではなく個人情報保護委員会へ直接報告する決まりです。社内データと顧客データでは提出先が分かれる点に気をつけておきたいですね。
もうひとつ、マイナンバーを含む情報の場合は、事業者も行政機関もPPCのマイナンバー用の報告フォームを使います。マイナンバーが入っているかわからないときも、同じフォームから報告します。
#漏えいを報告しなかった場合の罰則はありますか？
たとえば、報告が必要な漏えいを放っておき、委員会から勧告を受けても対応しなかったとします。その先で命令が出され、命令にも従わなかった段階で、初めて刑事罰の話になります。つまり、漏えいを知りながら報告しなかった行為そのものに対して、直ちに懲役や罰金などの刑罰が下される仕組みではありません。
命令に違反した人には、1年以下の拘禁刑または100万円以下の罰金が科される可能性があります。罰則の考え方は委員会のQ&A（罰則）にまとまっています。
もっとも、命令は勧告に従わなかっただけで出るものではありません。正当な理由なく勧告どおりの対応をとらず、個人の重大な権利利益の侵害が差し迫っていると委員会が認めたときに出されます。
これとは別に、委員会からの報告の求めや立入検査に応じなかった場合や、求めに対してうその報告をした場合は、50万円以下の罰金が科される可能性があります。こちらは委員会から求められて出す報告の話で、漏えい等の報告とは別物です。
さらに、代表者や従業者が会社の業務として命令に違反すると、両罰規定により、本人に加えて会社にも1億円以下の罰金が科される可能性があります。
ところで、Studioの件では、まず自分が対象に入っているかを確かめます。メールやログイン時の個別の案内と、公式ポータルの共通の案内をあわせて見てください。
#個人事業主や小さな店にも漏えいの報告義務はありますか？
「うちは個人事業主で少人数の予約や問い合わせを受けているだけだから、大企業のような報告義務はないのでは」と考える人がいるかもしれません。しかし、法人格のない個人事業主や小さな店舗、任意団体であっても、個人情報のデータベース等を事業に使っていればすべて「個人情報取扱事業者」に該当します。事業規模の大小や保有している人数の少なさだけで、報告の義務が免除されることはありません。この定義は個人情報保護法のガイドライン（通則編）に書かれています。
では、Studioのフォームはどうでしょうか。ウェブサイトの問い合わせフォームから送信された氏名・電話番号・メールアドレスなどの情報は、Studioのダッシュボードに一覧として保管されている時点で、通常は個人データとして扱われます。自分でエクセルなどに転記して名簿を整えていなくても、検索可能な状態でサービス内に保存されていれば対象になります。名前の欄がなくても、自由記述欄に名前や電話番号が書き込まれていることもあるので、回答の欄はひととおり見ておきたいですね。
小さな店で特に注意したいのが、不正アクセスの類型には人数の下限がないことです。回答が1人分でも、報告や本人への通知が必要になり得ます。一方で、高度な暗号化がされていたなど、報告の対象から外れる条件もあります。小さな店でも、漏えいしたら必ず報告が必要というわけではありません。
Studio側からも、事業活動でのフォーム利用の有無、個人データが含まれているか、影響を受ける可能性があるかの確認項目が提示されました。2026年10月20日のStudioの案内では、委員会へ自分で報告するか、Studioとの連名で報告するかを選べるようになりました。
こんな聞き方も
- 個人情報 漏洩 報告期限
- 個人情報漏洩 報告義務
- 個人情報保護法 漏洩報告義務
- 要配慮個人情報漏洩 報告
- 個人情報漏洩 報告先
- 個人情報漏洩 どこに報告
- 個人情報 漏洩 報告書
- 個人情報 漏洩 報告 書 書き方
- 個人情報 漏洩 報告 義務 罰則
- 個人情報 漏洩 報告義務 件数
- 個人情報 漏洩 報告 基準
- 委託先 個人情報漏洩 報告
- 経済産業省 個人情報漏洩 報告
- 個人情報漏洩報告 金融庁
- 病院 個人情報 漏洩 報告
- 個人情報 漏洩 報告 しない
- 個人情報漏洩で報告義務がある4つの類型とは何ですか？
- 個人事業主にも漏洩の報告義務はありますか？
あわせて知りたい（関連する疑問）
Q速報の「3〜5日以内」はいつから数えますか？
速報の期限となる「概ね3～5日以内」は、事業者が漏えい等の事態を知った時点から数えます。5日間の猶予が必ず与えられているという意味ではなく、事態を知った以上は速やかに動くための目安期間です。日数の目安は個別の事案によって変わります。
法人の場合、起算点となるのは「いずれかの部署が事態を知った時点」です。現場の担当者がStudioのメールを読んだ時点で、会社として知ったことになり得ます。社長や総務への報告が済むまで、数え始めを遅らせることはできません。具体的にいつ知ったことになるかは、事案ごとに判断されます。
委託の関係があるときは、委託元は通常、遅くとも委託先から通知を受けた時点で知ったことになり、速やかに報告しなければなりません。Studioが2026年10月16日に送った個別のメールに対象のプロジェクトが書かれていて、メールが見当たらない時や対象かどうか分からない時は、不正アクセスについてのStudioのお問い合わせ窓口に連絡するよう求めています。メールを受け取った日やログイン時の案内に気づいた日など、自分がいつ事態を知ったかで考えます。
QStudioの件で速報の期限を過ぎたら報告遅延になりますか？
案内メールに気づくのが遅れたり、学園祭や出張で確認が後回しになったりして、速報の目安である数日を過ぎてしまった場合は報告遅延とみなされてしまうのでしょうか。
今回のStudioの件には、特別な取り扱いがあります。Studioの2026年10月20日の案内によると、Studioが委員会と協議して決めた方法でStudioとの連名報告をした場合は、本件に限り、速報の目安の期間を超えても報告遅延として扱わないことになりました。
この扱いは連名報告が前提です。Studioの10月28日時点の案内では、連名報告の申込みはまだ受け付けていない段階で、受付は11月上旬に始まる予定とされ、日程は決まり次第改めて案内されます。受付期間内に申し込まなければ連名の対象外になるので、何もしなくても自動で対象になるわけではありません。
10月20日の続報によると、自分で個別に報告したい人は、10月17日の個別報告保留のお願いにかかわらず、委員会へ直接報告できます。ただ、個別報告にも同じ遅延の例外が当てはまるとは書かれていません。自分で出すなら、通常の目安を意識して早めに動いたほうがよいでしょう。実際に、Schooは2026年10月20日の発表で、個人情報保護委員会へ速報を出し、確報へ対応中としています。操電は、Studioの取りまとめ報告に加わるとお知らせしています。
Q個人情報漏えいの報告書はどう書けばよいですか？
たとえば、報告フォームを開いて最初に入力を求められる「報告者の氏名又は名称」の欄には、フォームを操作している担当者個人の名前ではなく、自社の会社名や店舗の屋号を入力します。担当者本人の氏名や連絡先は、後段にある事務連絡用の入力枠へ記載する仕組みです。
個人情報保護委員会への報告書は、公式サイトに設置された専用の入力フォームから直接送信するのが原則です。ウェブ上で配布されているWord形式の報告様式は、社内での情報整理や検討に使うための参考資料であり、実際の届け出に添付して送るものではありません。ランサムウェアなどのサイバー攻撃による漏えいで共通様式を使えるか、使えるならいつからかは、提出前に、最初に挙げた委員会の漏えい等報告の案内で確認してください。
報告する項目は次の9つです。
- 概要
- 漏えい等した個人データの項目
- 対象の人数
- 原因
- 二次被害やそのおそれ
- 本人への対応
- 公表の状況
- 再発防止の措置
- その他参考になること
概要の欄には、問題が発生した日、発覚した日、発見者、委託元や委託先の関係、発覚から現在までの事実経過を整理して記入します。Studioの件なら、Studioのメールやお知らせで知った日と、自分のフォームで集めていた項目をそのまま書けばよいでしょう。再発防止策を実施済みのものと今後予定しているものに分けて書く必要があるかは、入力フォームの記載の案内で確かめてください。
確報の期限までにすべての項目を埋められない場合でも、その時点で判明している内容だけで一度送信を完了させます。合理的努力を重ねても不明な点は、後から追加で報告する追完が認められています。
Q採用の応募者の情報が漏えいしたかもしれない場合、本人へ通知が必要ですか？
Studioで作成した採用応募フォームから応募者の履歴書や連絡先が外部に流出した可能性があるとき、応募者本人への通知は必須となるのでしょうか。
報告の対象になる事態なら、原則として本人への通知が必要です。採用の応募フォームだからといって特別扱いはなく、4つの類型のどれかに当たるか、またはそのおそれがあるかで考えます。
本人への通知は、事態の詳細がすべて解明されるのを待ってから行うのではなく、状況に応じて速やかに行う必要があります。委員会への確報の期限とは別の話なので、30日や60日まで通知を先に延ばす根拠にはなりませんね。
連絡先がすでに使われていないなど、個別の通知が極めて困難な事情がある場合に限り、事案の公表や問い合わせ窓口の案内といった代替措置を講じることが認められています。代わりの対応として公表する場合を除けば、公表は一律の義務ではありません。内容に応じて公表が望ましいとされている一方、公表すると被害が広がりかねない場合は公表しないこともあり得ます。
注意したいのは、Studioの連名報告に申し込んだ場合でも、応募者本人への通知までは代行されない点です。連名報告は委員会への手続きに限られるため、応募者への連絡は自社で文面を作成し、誠実に送信する段取りを整えなければなりません。ちなみに、デジタル庁もデジタル庁の発表資料で、2021年5月から2023年3月までに入力された採用に関する問い合わせ（氏名、メールアドレス、問い合わせ内容、電話番号）が対象になり得るとしました。二次被害は、現時点で確認されていないとしています。
Q委託先で起きた漏えいでも委託元に報告義務がありますか？
自社の管理下にあるサーバーではなく、外部のクラウド基盤で不正アクセスが発生した場合、責任はサービス提供者側だけにあり、自社は被害者にすぎないように思えます。しかし法律上、個人データの処理を外部へ委託している場合、漏えい等の報告義務は委託元と委託先の双方が負うのが原則です。
委託先が事態の発生を委託元に通知したときは、委託先側の報告義務が免除される規定が存在します。反対に、委託元が委託先に任せて自分の報告をしなくてよくなる、という決まりはありません。委託元と委託先が連名で報告書を提出する方法も認められていますが、委託元としての当事者性は失われないわけですね。
クラウドサービスを利用しているケースが法的な「委託」に当たるかどうかは、単にデータを預けていることだけで一律に決まるわけではありません。サービスを提供する事業者が個人データを取り扱うことになっているかで判断します。提供する事業者が個人データを取り扱わない例として、契約で取り扱わないと定め、アクセス制御もきちんとしている場合があります。
委託や提供に当たらない場合、委託先を監督する義務は生じません。とはいえ、法的な委託に当たらない場合であっても、クラウドを利用する事業者自身が果たすべき安全管理措置としての責任は免れません。Studioの利用がどちらに当たるかは、利用規約や契約の内容で決まります。
QPPCへの漏えい報告は年間どれくらいありますか？
個人情報保護委員会（PPC）には、日本全国から実際に年間どれくらいの漏えい報告が寄せられているのでしょうか。
個人情報保護委員会が取りまとめた令和7年度年次報告の概要によると、同年度における個人データの漏えい等事案に関する報告の処理件数は17,139件でした。このうち、委員会への直接報告が13,345件、事業を所管する委任先省庁を経由した報告が3,794件となっています。前年度にあたる令和6年度の処理件数は19,056件であったため、令和7年度の件数は前年を下回る結果となりました。
この件数は、情報が外に出たと確定したものだけではありません。漏えいのほか、データがなくなる滅失や壊れる毀損の事案、それらのおそれがある段階の報告も含まれます。年次報告は年度ごとに公表され、最新の年度の数字は委員会の年次報告の一覧から確認できます。
この内容をChatGPTで相談
