漏えい等報告はいつまで、個情委への速報3〜5日・確報30日と、1,000人超など義務になる4類型

報告が義務になる4つの場合

まず、どんな漏えいが報告の対象になるのかを、個人情報保護委員会のページの順に確かめます。

4つの類型と、委員会が挙げる例

個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページは、次の4つのどれかに当たる場合に、漏えい等の報告が義務付けられていると案内しています。もとになっているのは、個人情報保護法第26条と、同法施行規則第7条です。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月16日に確認）。地方公共団体の機関などは、条例で定める要配慮個人情報が含まれる場合も対象です。

4つのうち1つに当たれば対象です。たとえば不正アクセスによる漏えいは3番目に当たるため、人数が1,000人以下でも報告が必要になります。一方、カード番号の下4桁と有効期限だけの組み合わせであれば、直ちには2番目に当たらないと委員会は説明しています。

「漏れたと確定する前」でも対象になる

4つの類型には、どれも「又はそのおそれ」と書かれています。実際に漏れたと確定していなくても、漏れたおそれがある段階で報告の対象になります。

会社の発表に「流出した可能性があります」「漏えいのおそれ」と書かれていることがあるのは、この段階で報告と公表をしているためと考えられます（当社の見方）。不正アクセスの「主体」には、従業者だけでなく、盗難などをした第三者も含まれます。

いつまでに、どこへ報告するか

報告は2段階で、期限が決まっています。どの窓口を使うかは、会社の業種や漏れた情報によって変わります。

速報は3〜5日以内、確報は30日以内

委員会のページは「発覚したら、まずは速やかに報告してください」としたうえで、速報は発覚日から3〜5日以内、確報は30日以内、不正な目的で行われたおそれがある場合は60日以内と示しています。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5（規則第8条）。日数の数え方は、いずれかの部署が知った時点を基準にし、その日を1日目とします。

会社が法人の場合、期限は「いずれかの部署が知った日」から数えます。30日・60日は期限で、できる場合はもっと早く報告することが望ましいとガイドラインは書いています。

報告の窓口と、10月1日から広がった共通様式

報告は、原則として委員会のホームページの報告フォームに入力して行います。業種によっては、報告を受ける権限が事業所管の省庁に委任されていて、その省庁に報告します。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」。権限の委任先は毎年更新されるため、報告の前に最新の報告先を確かめるよう委員会は案内しています。

サイバー攻撃の被害報告を一元化する政府の方針により、ランサムウェア事案は2025年10月1日から、その他のサイバー攻撃等事案は2026年10月1日から、関係省庁の申合せにもとづく共通様式（Excel）で報告することもできるようになりました。国家サイバー統括室によると、関係省庁は2025年5月28日に被害報告の一元化を申し合わせ、2026年9月15日にその他のサイバー攻撃等事案の共通様式を新たに定めました。共通様式は、委員会の専用メールアドレスに、件名を「【組織名：報告日】ランサムウェア事案（又はその他サイバー攻撃等事案）の報告について」として送ります。

報告者の欄には、担当者の名前ではなく会社などの名称を入れます。なお、このフォームは事業者や行政機関等が報告に使うもので、個人が事業者の違反を知らせる場合は、個人情報保護法相談ダイヤル（03-6457-9849）が窓口です。

本人への通知、「お知らせ」が届く理由

報告が必要な場合、会社は国に報告するだけでなく、漏れた本人にも知らせなければなりません。利用者に届く「お詫びとお知らせ」は、この決まりにもとづいています。

本人への通知は「状況に応じて速やかに」

個人情報保護法第26条第2項は、報告が必要な場合に、事業者は本人にも通知しなければならないと定めています。通知の時期や内容について、ガイドラインは次のように説明しています。

出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5（3-5-4 本人への通知）。

通知に書くことは、概要、漏れた項目、原因、二次被害などに限られていて、すべてが分かるまで待つ必要はないとされています。「調査中」と書かれたお知らせが先に届き、あとから続報が出ることがあるのはこのためです（当社の見方）。

委託先で起きた漏えいと、公表で代える場合

会社がほかの会社に個人データの取扱いを任せている場合、委託先で漏えいが起きると、原則として委託元と委託先の両方に報告と通知の義務があります。委託先が委託元に必要なことを知らせたときは、委託先の報告と通知の義務はなくなり、委託元が報告と通知をします。

利用者から見ると、直接は知らない委託先ではなく、契約している会社の名前でお知らせが届くことがあります（当社の見方）。また、連絡先が分からない人がいる場合は、事案の公表や問い合わせ窓口の公表で通知に代えることができます。

会社と利用者が、それぞれ確かめる3つのこと

個人情報保護委員会のページとガイドラインをもとにまとめました。1と2は漏えいが起きた会社、3は「お知らせ」を受け取った利用者が確かめることです。

よくある質問

漏えい等報告は、いつまでにしなければなりませんか

個人情報保護委員会の案内では、発覚した日から3〜5日以内を目安に速報を出し、30日以内に確報を出します。不正アクセスなど不正の目的で行われたおそれがある場合、確報は60日以内です。

どんな漏えいが報告の対象になりますか

要配慮個人情報が含まれる場合、不正に使われると財産的被害が生じるおそれがある場合、不正の目的で行われたおそれがある場合、本人の数が1,000人を超える場合（行政機関等は100人超）の4つです。漏えいの「おそれ」の段階でも対象になります。

1,000人以下なら報告しなくてよいですか

ほかの3つの類型に当たらなければ、報告の義務はありません。ただし、不正アクセスやランサムウェアによる漏えい、クレジットカード番号や、送金・決済機能のあるサービスのIDとパスワードの漏えい、健康診断の結果などの漏えいは、1人でも対象になります。

どこに報告すればよいですか

原則として、個人情報保護委員会のホームページの報告フォームです。報告の権限が事業所管の省庁に委任されている業種は、その省庁に報告します。漏れた情報にマイナンバーが含まれる場合は、マイナンバー用のフォームを使います。

サイバー攻撃の共通様式とは何ですか

サイバー攻撃の被害報告を一元化する政府の方針にもとづく、関係省庁共通の報告様式（Excel）です。ランサムウェア事案は2025年10月1日から、その他のサイバー攻撃等事案は2026年10月1日から、この様式をメールで送る方法でも報告できます。

会社から漏えいのお知らせが届くのはなぜですか

報告が必要な漏えいでは、個人情報保護法第26条第2項により、会社は本人にも通知しなければならないためです。通知は郵便や電子メールなどで届き、連絡先が分からない場合は公表で代えられます。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、情報漏えいについて公表資料で確かめられることを整理する記事を公開しています。個人情報保護委員会のページとガイドラインをもとにまとめました。