登記ソロイ

個人データ漏えい等の報告・本人通知書の読み方

漏えい報告書、本人通知書、個人情報漏えい通知、漏えい等報告、速報・確報 とも呼ばれます。

個人データの漏えい、滅失、毀損などが起きたときに、個人情報保護委員会への報告と本人への通知の要否、期限、記載事項を整理するための書類です。個人情報保護法26条1項が委員会への報告義務を、26条2項が本人への通知義務を定め、対象となる事態は同法施行規則7条各号が定める四つの類型、報告の期限と記載事項は同法施行規則8条、本人通知の記載事項は同法施行規則10条に置かれています。委員会への報告書と本人通知書では書くべき事項が同じではない点が、実務上の要点です。

最終確認日:

どんなときに必要か

個人情報保護法26条1項の報告義務が生じる事態は、同法施行規則7条各号が定める四つの類型です。要配慮個人情報が含まれる個人データ、不正に利用されることにより財産的被害が生じるおそれがある個人データ、不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による漏えい等、本人の数が千人を超える漏えい等のいずれかが発生し、又は発生したおそれがある場合に使います。委託を受けて取り扱っていたデータかどうかで報告と通知の主体が変わるため、委託関係も最初に確認します。

書面にする必要はあるか

法定の書面要件はない（証拠目的）。個人情報保護法26条は報告義務と本人への通知義務を定めるだけで、書面で作成しなければ効力が生じないという定めは置かれていません。むしろ同法施行規則8条3項1号は、委員会への報告を電子情報処理組織を使用する方法によるものとし、回線の故障や災害その他の理由で困難と認められる場合に「別記様式第一による報告書を提出する方法」を置く順序です。本人への通知も方法の限定はなく、同法施行規則10条が定めるのは通知すべき事項です。書面化の意味は、事態を知った日と判断過程を後から示せる証拠を残す点にあります。

必ず入れる事項

  • 事態を知った日

    個人情報保護法26条1項の報告について、同法施行規則8条2項は「当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）」と定めます。起点の日が曖昧だと、期限計算そのものができません。

  • 該当する報告対象の類型

    個人情報保護法26条1項の対象は、同法施行規則7条各号のいずれかに該当する事態に限られます。要配慮個人情報、不正に利用されることにより財産的被害が生じるおそれ、不正の目的、本人の数が千人超のどれに当たるかを書かないと、報告義務のある事態かを説明できず、確報の期限が三十日か六十日かも決まりません。

  • 発生とおそれの別

    個人情報保護法26条1項を受けた同法施行規則7条は、各号とも漏えい等が発生した場合だけでなく「発生したおそれがある事態」を対象にします。確定した被害だけを書く様式にすると、調査中の段階で速報すべき場面を落とします。

  • 対象となる個人データの項目と本人の数

    個人情報保護法26条1項の報告事項は同法施行規則8条1項各号に定められ、2号が個人データの項目、3号が本人の数です。同規則7条4号の千人超の類型に当たるかは「個人データに係る本人の数が千人を超える」かだけで決まり、項目が効くのは同条1号の要配慮個人情報が含まれるかどうかの判定で、この号の括弧書きによる高度な暗号化その他の措置を講じたものの除外は同条各号に及びます。概数か確定値かを分けずに書くと、確報で数字だけが動いて経緯を追えなくなります。

  • 委託関係と委託元への通知の有無

    個人情報保護法26条1項ただし書は、他の個人情報取扱事業者又は行政機関等から委託を受けた場合で、委員会規則の定めにより委託元へ通知したときは、委員会への報告についてこの限りでないとします。同法施行規則9条は、この通知も事態を知った後速やかに行うものとします。

  • 本人への通知又は代替措置

    個人情報保護法26条2項本文は本人への通知義務を定めますが、ただし書は「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない」とします。通知一択の様式にすると、困難性と代替措置の記録が残りません。

  • 本人通知の記載事項

    個人情報保護法26条2項の本人への通知は、同法施行規則10条により、8条1項1号、2号、4号、5号及び9号の事項を、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で伝えるものです。本人の数や再発防止のための措置は、この通知事項に入っていません。

  • 原因と再発防止のための措置

    個人情報保護法26条1項の報告事項には、同法施行規則8条1項4号の原因と8号の再発防止のための措置が含まれます。個人情報保護法23条の安全管理措置、24条の従業者の監督、25条の委託先の監督のどこに原因があったかを整理しないと、この二欄は書けません。

無効・効力が否定されやすい条項

古い雛形をそのまま使うと、次の点でつまずくことがあります。

  • 速報の期限を条文上の日数として「3〜5日以内」と書くこと。個人情報保護法26条1項を受けた同法施行規則8条1項の文言は「前条各号に定める事態を知った後、速やかに」であり、日数は書かれていません。3〜5日は個人情報保護委員会のガイドラインに由来する運用上の目安なので、条文の期限として示すと根拠の説明を誤ります。

  • 確報の期限を類型に関係なく六十日以内と書くこと。個人情報保護法26条1項を受けた同法施行規則8条2項は、原則を当該事態を知った日から三十日以内とし、六十日以内になるのは同法施行規則7条3号の不正の目的の類型に当たる場合だけです。一律に六十日で運用すると、残る三類型で三十日の期限を超過します。

  • 本人への通知を例外なく必要と書き、代替措置の欄を置かないこと。個人情報保護法26条2項ただし書は、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときの例外を置いています。連絡先を保有しない本人が含まれる事案で、通知だけを前提にした様式は行き詰まります。

  • 委託を受けた側が委託元へ通知したのに、本人への通知まで自社で行う前提にすること。個人情報保護法26条2項本文は「前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）」と定め、26条1項ただし書により委託元へ通知した者を、本人への通知義務を負う者から除いています。委託元と委託先が別々に本人へ通知すると、本人には重複した通知が届き、記載内容も食い違います。

  • 漏えいが確定した事案だけを対象にし、調査中の事態を様式から外すこと。個人情報保護法26条1項を受けた同法施行規則7条は、各号とも漏えい等が発生した場合と発生したおそれがある事態の双方を対象にします。原因調査の完了を待って作り始める運用は、同法施行規則8条1項の速報を落とします。

  • 要配慮個人情報が含まれるという理由だけで直ちに報告対象と判断し、講じていた保護措置を記録しないこと。個人情報保護法26条1項を受けた同法施行規則7条1号は「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。」という括弧書きを置いており、この除外は同条各号と同法施行規則8条1項の「個人データ」に及びます。財産的被害のおそれ、不正の目的、本人の数が千人超の類型でも、講じていた暗号化その他の措置の内容を記録していないと、除外に当たるかを事後に説明できません。

  • 報告を怠っても罰則はないと説明すること。個人情報保護法26条の違反そのものに直罰はありませんが、同法148条1項は23条から26条までの違反を勧告の対象に含め、2項と3項は命令を定めます。同法178条は命令違反に一年以下の拘禁刑又は百万円以下の罰金を科し、同法184条1項1号は法人に一億円以下の罰金刑を科します。

作成の流れ

  1. 1

    初動の事実を固定する

    発見日時、事態を知った日、発生か発生したおそれかの別、対象システム、対象となる個人データの項目、本人の概数を記録します。個人情報保護法26条1項を受けた同法施行規則8条2項の確報の期限は事態を知った日を起点にするため、誰がいつ何を知ったかを最初に時系列で固めます。

  2. 2

    報告対象の類型を判定する

    個人情報保護法26条1項を受けた同法施行規則7条各号が定める四つの類型を、要配慮個人情報、不正に利用されることにより財産的被害が生じるおそれ、不正の目的、本人の数が千人超に分けて確認します。3号の類型は、不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為によるものに限られます。対象の個人データには、当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものも含みます。複数に該当する場合はすべて残します。あわせて、同法施行規則7条1号の括弧書きによる除外は同条各号に及ぶため、どの類型に当たる場合でも、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じていたかを確認します。

  3. 3

    速報を出す

    個人情報保護法26条1項を受けた同法施行規則8条1項は、事態を知った後速やかに、報告をしようとする時点において把握している事項に限って報告する枠組みです。同項各号の概要、個人データの項目、本人の数、原因、二次被害又はそのおそれの有無及びその内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置その他参考となる事項のうち、未確定のものは未確定と書いて出します。

  4. 4

    本人への通知と代替措置を決める

    個人情報保護法26条2項本文の本人への通知は、同法施行規則10条により、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で、概要、個人データの項目、原因、二次被害又はそのおそれの有無及びその内容、その他参考となる事項を伝えるものです。通知が困難な場合は、個人情報保護法26条2項ただし書の代替措置を別に記録します。

  5. 5

    確報と再発防止を固める

    個人情報保護法26条1項を受けた同法施行規則8条2項に合わせ、知った日から三十日以内か、不正の目的の類型として六十日以内かを明記します。個人情報保護法23条の安全管理措置、24条の従業者の監督、25条の委託先の監督のどこに原因があったかを整理し、再発防止のための措置として報告事項に落とします。

専門家に相談したほうがよい場面

報告対象の類型に当たるか、本人への通知が困難といえるか、委託元への通知で足りるか、不正の目的の類型として六十日以内の確報になるかは、いずれも事案ごとの事実認定を伴います。個人情報保護法の解釈や報告の要否は個人情報保護委員会の窓口へ、公表方針や損害賠償を含む対応は弁護士へ相談してください。当社は士業資格者を擁しておらず、書類作成の受託や代理、個別の適法性の判断は行いません。本ガイドは、利用者自身が編集し、自ら提出することを前提とした支援情報です。

よくある質問

報告書は紙で作って郵送するのですか。
法定の書面要件はない（証拠目的）と整理します。個人情報保護法26条1項を受けた同法施行規則8条3項1号は、委員会への報告を電子情報処理組織を使用する方法によるものとし、回線の故障や災害その他の理由で困難と認められる場合に「別記様式第一による報告書を提出する方法」を置いています。紙は原則ではなく例外側の手段です。社内で作る報告案や通知案は、事態を知った日と判断過程を残す証拠として意味があります。
速報は3〜5日以内と書いてよいですか。
条文上の期限としては書けません。個人情報保護法26条1項を受けた同法施行規則8条1項の文言は「前条各号に定める事態を知った後、速やかに」で、日数の定めはありません。3〜5日という説明は個人情報保護委員会のガイドラインに由来する運用上の目安なので、条文の期限とは区別して書く必要があります。日数が条文に置かれているのは、同法施行規則8条2項の確報の側だけです。
本人には必ず通知しなければなりませんか。
個人情報保護法26条2項本文は本人への通知義務を定めますが、同項ただし書は、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとします。さらに26条2項本文は、通知義務を負う者から、26条1項ただし書により委託元へ通知した者を除いています。委託先として委託元へ通知した場合、本人への通知を検討する主体は委託元の側になります。
委託先で起きた事故は、委託元と委託先のどちらが報告しますか。
個人情報保護法26条1項ただし書により、委託を受けた事業者は、委員会規則の定めにより委託元へ通知したときは、委員会への報告についてこの限りでないとされます。同法施行規則9条は、この通知を事態を知った後速やかに、8条1項各号の事項について行うものとします。委託元は自らの事態として、個人情報保護法26条1項の報告と26条2項の本人への通知を検討します。契約で連絡経路と社内期限を決めておかないと、この受け渡しが遅れます。
調査中で漏えいが確定していない段階でも報告が要りますか。
対象になり得ます。個人情報保護法26条1項を受けた同法施行規則7条は、各号とも漏えい等が発生した場合と「発生したおそれがある事態」の双方を含みます。同法施行規則8条1項の速報は、報告をしようとする時点において把握している事項に限る枠組みなので、調査の完了を待つ前提ではありません。個別の事案が類型に当たるかの判断は事実認定を伴うため、迷う場合は個人情報保護委員会の窓口や弁護士に確認してください。

出典

最終確認日: 2026-08-27

同じ分類のガイド（取引・契約）

本ページは一般的な情報提供であり、個別の事案についての法律判断ではありません。本ガイドが扱う書類は、利用者自身による編集・提出・締結を前提とした支援のための情報です。ソロイは書類作成の受託を行うものではなく、記載内容の正確性について 保証するものでもありません。実際の作成・運用にあたっては、出典の原文をご確認いただくか、 弁護士など有資格の専門家にご相談ください。