漏えい件数の「最大」「おそれ」はどう読むか、タイムズカー・ニフティで変わった数字

「漏えい」「滅失」「毀損」はちがう出来事で、報告は「おそれ」の段階から始まります

外に出たのは「漏えい」だけです。法令は、まだ確かでない「おそれ」の段階も報告の対象にしています。

会社のお知らせには「漏えい」「滅失」「毀損」という言葉が出てきます。どれも法令の言葉で、意味がちがいます。

3つの言葉の意味（個人情報保護委員会のQ&A）

出典：個人情報保護委員会 Q&A（漏えい等報告 Q4-5）。2026年10月26日に確認。

3つをまとめて「漏えい等」とよびます。たとえば、データを暗号化して使えなくする攻撃は「毀損」にあたることがあります。

大事なのは、外に出たのは「漏えい」だけだという点です。お知らせの見出しが「漏えい等」でも、本文でどれにあたるかを見てください。

報告が必要な4つの場合にも「おそれ」が入っています

個人情報保護法の施行規則第7条は、会社が個人情報保護委員会へ報告する場合を4つ決めています。

4つとも、条文の終わりは「発生し、又は発生したおそれがある事態」です。つまり、まだ確かでない段階でも報告の対象になります。

個人情報保護委員会によると、報告はおおむね3〜5日以内の「速報」から始まります。早い段階の数字には、まだ確かでない分がふくまれやすい、ということです。

「おそれ」は確証がない段階、「最大」は多くてもこの数という上限です

「おそれ」「可能性」「最大」は、実際に外に出た数を言い切った言葉ではありません。

「おそれ」と「可能性」は、どちらも「外に出たとは言い切れないが、出たかもしれない」という段階を表す言葉です。

個人情報保護委員会のQ&Aも、ウイルスを見つけただけで、ただちに「おそれ」とするわけではないとしています。防御のしくみが働いたか、外への通信を止めたかも考えるとしています。

「最大」は上限です

「最大○件」は、「多くてもこの数まで」という上限です。実際に外に出た数が、その数だとは限りません。

調べる範囲を広めに取ると、上限は大きくなります。調べが進んで範囲がしぼられると、上限は下がります。

「暗号化」と書いてあるときの読み方

個人情報保護委員会のQ&Aでは、高度な暗号化を、その時点の技術で第三者が読めない状態にするものとしています。あわせて、もとに戻す鍵を分けて守ることなども求めています。

お知らせに「暗号化されていた」とあっても、それだけで安心とは言えません。会社が「読まれるおそれ」をどう書いているかを見てください。

件数は第1報のあと、へることも、ふえることも、項目が変わることもあります

数字が変わるのは、調べが進んで範囲が分かってきたためです。どの報告の数字かを日付で確かめてください。

第1報の数字は、その時点で分かっている範囲の数です。調べが進むと、数がへることも、ふえることも、項目が変わることもあります。

2026年10月に公表された4つの例を並べます。どれも会社の発表や報道にもとづく数字です。

出典：パーク24 第3報（9月29日）・第5報ほか（10月23日）。INTERNET Watch（10月21日）。ローソン（10月24日更新）。ユミルリンク 第一報（10月19日）・第二報（10月26日）。

タイムズカーでは、同じ第5報で連携サービスIDの数も9件から4件に直しています。数がへる直しと、項目がふえる直しが、同じ時期に起きることがあります。

タイムズカーの10月23日の数字（投資家向けのお知らせ）

パーク24は、暗号化されたデータはすぐには読めないものの、将来もとに戻されるおそれを完全には否定できないとしています。

当社の見方では、数字が変わること自体は、調べが進んだしるしです。読む側は、どの報告の数字かを日付と「第○報」で確かめると、取りちがえにくくなります。

件・人・アカウント・延べは数えるものがちがうので、足せません

同じ「件」でも、人の数とはかぎりません。会社をまたいだ合計や、単位のちがう数の引き算はできません。

件数の単位は、会社によってちがいます。同じ「件」でも、何を1つと数えたかがちがうことがあります。

件数の単位と、数えているもの

出典：施行規則第7条、パーク24、ユミルリンク（10月19日・26日 適時開示）、ローソンの各発表。2026年10月29日に確認。

タイムズカーの例では、第3報は「アカウント数」、第5報は「画像データ」の数です。数える単位が変わっているので、そのまま引き算はできません。パーク24は、この差の理由を説明していません。

「延べ」は、同じ人が何度も数えられているかもしれない数です。ユミルリンクは、第一報の延べ約900万件から、第二報で延べ5,162万8,280件になりました。第一報には、重なりをどう扱ったかの記載はありません。

別の会社の数字は足せません

A社の「件」とB社の「人」を足すと、意味のない数になります。同じ人が両方に入っていることもあります。

当社の一覧記事も、件数は発表の表記のままで、合計はしていません。

一覧情報漏えいはどこで起きたのか、2026年9〜10月の83件一覧

自分に関係するかは、件数ではなく連絡と漏れた項目で決まります

大きな数字よりも、本人への連絡があったか、どの項目が漏れたかが手がかりになります。

何万件という大きな数字を見ても、自分が入っているかは分かりません。見るところは、本人への連絡と、漏れた項目です。

個人情報保護委員会によると、会社は本人に、概要や漏れた項目、原因などを知らせます。一人ずつ知らせるのがむずかしいときは、ウェブでの公表や問い合わせ窓口で代えることがあります。

発表の言葉と、読む人が確かめること

当社が各社の発表と個人情報保護委員会の資料をもとに整理したもの。2026年10月29日時点。

お知らせを読んだ方へ

自分が対象かの確かめ方は、別の記事にまとめています。

確かめ方情報漏洩で自分が対象かどう確かめるか、本人通知と調べ方の限界

よくある質問