データ・プライバシー／サイバーセキュリティ

2026年9月26日

情報漏えい時の報告義務と対応手順：初動対応で信用を守る法務戦略

情報漏えいが発覚したとき、企業が最初に判断すべきなのは「公表するか」だけではありません。被害拡大を止め、証拠を保全し、漏えい等の対象・原因・影響範囲を把握しながら、個人情報保護委員会への報告、本人通知、契約上の通知、所管官庁への報告、対外公表を並行して管理する必要があります。

また、個人情報保護法上の「漏えい等」には、外部流出だけでなく、滅失・毀損や、そのおそれがある場合も含まれます。ランサムウェアで個人データが暗号化され利用不能となった場合も、外部持出しが確認できていないという理由だけで報告対象から外れるとは限りません。

本稿では、2026年9月15日時点の現行法・個人情報保護委員会のガイドラインを前提に、企業が漏えい等を把握してから何を、どの順序で進めるべきかを実務フローとして整理します。

1　最初に押さえるべき結論：漏えい対応は「法務判断」と「事故対応」を同時に進める

事故発覚直後に「報告義務があるか」を確定しようとして調査が止まるのは危険です。法的評価に必要な事実は、ログ、端末、メール、クラウド設定、委託先の説明等を調査して初めて判明します。そのため、初動では報告対象性の判定と並行して、封じ込め・証拠保全・影響範囲の特定を進めます。

フェーズ中心課題実務上の注意
発覚直後責任者への報告、被害拡大防止、証拠保全端末隔離やアカウント停止を行いつつ、ログや証拠を不用意に消さない
初期調査何が、いつから、誰に、どこまで影響したかの把握人数が未確定でも最大影響範囲を置いて判断する
法的判定個人情報保護法26条の報告対象か、他法・契約の通知義務があるかPPC報告だけを見ず、業法、GDPR、契約、サイバー報告も確認する
通知・公表本人保護、取引先・市場への説明本人通知とWeb公表は同じものではない
収束原因究明、再発防止、追加報告、記録化最終報告後も新事実が判明すれば追完する

2　個人情報保護法上の「漏えい等」は外部流出だけではない

個人情報保護法26条は、一定の個人データの「漏えい、滅失、毀損その他の個人データの安全の確保に係る事態」で、個人の権利利益を害するおそれが大きいものについて、個人情報保護委員会への報告と本人への通知を求めています。

（1）漏えい

第三者に知られる状態になることです。メールの宛先誤り、CC送信、公開設定ミス、不正アクセス、従業員による持出しなどが典型です。実際に第三者が閲覧した証拠がなくても、閲覧可能な状態になった場合には漏えいに該当し得ます。

（2）滅失

個人データの内容を失うことです。バックアップを含め復元できない削除・媒体の紛失等が問題になります。

（3）毀損

個人データの内容が意図しない形で変更されたり、利用できない状態になったりすることです。個人情報保護委員会は、ランサムウェア等により個人データが暗号化され復元できなくなった場合を、報告対象事態の例として示しています。

実務上の注意 「情報は外に出ていないと思う」「バックアップから復旧できそう」という段階で報告不要と決めないことが重要です。外部送信の有無、利用不能の程度、バックアップの状態、不正アクセスの痕跡等を確認し、漏えい・滅失・毀損・そのおそれの各観点から評価します。

3　PPCへの報告が義務となる4類型

すべての軽微な漏えい等について法26条の報告義務が生じるわけではありません。施行規則7条は、個人の権利利益を害するおそれが大きいものとして、次の4類型を定めています。いずれも「発生した場合」だけでなく「発生したおそれがある場合」を含みます。

類型判断のポイント典型例
① 要配慮個人情報を含む病歴、診療、健診結果、障害、犯罪被害等を含むか患者情報、従業員の健康診断結果を含む媒体の紛失
② 財産的被害のおそれ不正利用により金銭等の被害が生じる情報かクレジットカード情報、決済可能サービスのID・パスワード
③ 不正の目的による行為のおそれ不正アクセス、窃取、内部不正、ランサムウェア等か外部攻撃、盗難、従業員の不正持出し、ランサムウェア
④ 1,000人超対象本人が1,000人を超えるか大規模誤送信、公開設定ミスによる多数閲覧可能状態

なお、漏えい等の対象データに高度な暗号化その他の権利利益保護措置が講じられている場合には、規則上の報告対象から外れることがあります。ただし、「パスワード付き」「暗号化していた」という名称だけで判断せず、第三者が内容を容易に知り得ない水準かを具体的に検討します。

4　「報告義務なし」で終わらない：任意対応が必要な事案もある

4類型に該当しないため法26条の義務報告が不要であっても、何もしなくてよいわけではありません。個人情報保護委員会の通則ガイドラインは、漏えい等事案が発覚した場合、事案の内容に応じ、内部報告・被害拡大防止、事実関係の調査、原因究明、影響範囲の特定、再発防止策等の対応を求めています。

また、金融・医療その他の業法、契約上のセキュリティ通知条項、プラットフォーム規約、サイバー保険、海外法などに別の報告義務や通知期限が定められていることがあります。法26条だけで対応可否を決めないことが重要です。

5　初動0～24時間：まず「止血」と「証拠保全」を行う

以下は法定期限ではなく、企業内部の初動目標として整理したものです。事故類型・被害の深刻度に応じて、より早く動く必要があります。

（1）責任者・法務・情報システム・経営へのエスカレーション

個人情報保護委員会は、漏えい等が発覚した場合に、責任ある立場の者へ直ちに報告できる体制をあらかじめ整備しておくことを求めています。担当者だけで抱え込まず、法務・情報システム・セキュリティ・広報・経営を含む意思決定ラインを早期に起動します。

（2）被害拡大防止

不正アクセスやマルウェア感染が疑われる場合、端末のネットワーク切離し、侵害アカウントの停止、認証情報の変更、公開設定の修正、誤送信先への削除依頼等を行います。ただし、遮断や削除の方法によってはログやメモリ情報を失うため、セキュリティ専門家と証拠保全の優先順位を確認します。

（3）証拠・ログを保全する

原因究明、報告対象性、損害賠償、保険、刑事対応のいずれにも、客観的な証拠が重要です。アクセスログ、認証ログ、メール送受信記録、クラウド監査ログ、端末イメージ、設定変更履歴、委託先からの報告、インシデント対応記録を保全します。

（4）事実と推測を分けたタイムラインを作る

「発生日時」「発覚日時」「誰が何を認識したか」「実施した措置」「判明した事実」「未確認事項」を時系列で管理します。報告期限は事案を知った時点から進むため、後から起算点が曖昧にならないようにします。

5-1　裁判例：漏えい対応では調査・顧客対応費用も損害になり得る

東京地方裁判所平成26年1月23日判決は、ECサイトの受注システムに対するSQLインジェクション攻撃によって顧客のクレジットカード情報等が流出した事案で、システム開発業者について、当時の技術水準に沿ったセキュリティ対策を施したプログラムを提供すべき債務の違反を認めました。裁判所は、漏えい後に企業が支出した顧客への謝罪関係費用、問い合わせ対応のためのコールセンター費用、原因・被害範囲を確認するための調査費用等について、相当因果関係のある損害として認めています。

この判決は、個人情報保護法26条の報告期限を直接判断したものではありませんが、事故後の調査、本人・顧客対応、問い合わせ窓口の設置などが、単なる「広報対応」ではなく、企業に現実の費用として発生し得ることを示しています。初動では、必要な調査や顧客対応を進めるとともに、誰が、何の目的で、どの費用を支出したかを記録しておくことが重要です。なお、発注者側にも、カード情報の保有リスクを認識しながら対策を講じなかった点について3割の過失相殺がされています。

6　速報：発覚後、概ね3～5日以内を目安に速やかに

報告対象事態を知った場合、まず「速報」を行います。法令は固定の「3日以内」と定めているわけではなく、規則上は知った後「速やかに」とされています。個人情報保護委員会の案内は、速報の実務目安として発覚から概ね3～5日以内を示しています。

この段階で原因や人数が確定していなくても、分かっている範囲で報告します。「全て確定してから報告しよう」と調査完了を待つことは、速報制度の趣旨と合いません。

速報・確報で扱う主な9項目

項目内容
① 概要発生又は発生のおそれがある事態の概要
② 対象データの項目顧客情報・従業員情報、氏名、連絡先、決済情報等
③ 本人の数確定していなければ把握できる最大範囲を含めて整理
④ 原因自社・委託先の別、不正アクセス・誤送信等
⑤ 二次被害詐欺、なりすまし、金銭被害、差別等の有無・おそれ
⑥ 本人対応本人通知、問い合わせ対応等の実施状況
⑦ 公表公表の有無・予定
⑧ 再発防止実施済み・予定の措置
⑨ その他本人が取るべき防御措置その他参考事項

7　確報：原則30日以内、不正目的事案は60日以内

速報後は、報告対象事態を知った日から30日以内に確報を行います。規則7条3号の「不正の目的をもって行われたおそれがある」事態については60日以内です。土日・祝日も含めて算定します。

30日・60日は「そこまで待ってよい日」ではなく報告期限です。合理的な努力を尽くしても一部事項が未判明である場合には、期限時点で把握している内容を報告し、その後判明した事項を追完します。速報時点で全項目が判明している場合は、一回の報告で速報と確報を兼ねることも可能です。

ランサムウェアでは60日枠になることが多い ランサムウェアは、規則7条3号の「不正の目的」による事態に該当することが通常想定されるため、確報期限は60日となるケースが多いです。ただし、速報は別であり、60日まで何も報告しなくてよいという意味ではありません。

8　本人への通知：PPC報告とは別に、状況に応じて速やかに行う

報告対象事態では、原則として本人への通知も必要です。通知時期は、事案の状況に応じて「速やかに」とされており、PPCへの速報と同じ3～5日という固定期限ではありません。本人が自ら被害防止措置を取れるよう、必要な情報が得られた段階で迅速に通知します。

本人へ伝える主な事項

・事案の概要

・漏えい等した個人データの項目

・原因

・二次被害又はそのおそれの有無・内容

・本人が取るべき措置など、権利利益保護に必要な参考事項

通知は、郵便、電子メール等、本人に直接知らせる合理的・適切な方法で行います。対象本人ごとに漏えい項目が異なる場合は、その本人に関係する内容に絞ることが適切です。

「全容が分かるまで通知しない」は原則ではない

全ての事実が判明するまで通知を待つ制度ではありません。一方で、漏えい情報が掲示板等に公開されており、削除前に通知するとかえって閲覧者が増える場合や、事案がほとんど不明で本人が防御行動を取れず混乱だけが生じる場合には、必要な初期対応を先行させることが考えられます。

9　Web公表は本人通知の代わりになるとは限らない

本人への通知が困難で、本人の権利利益を保護するために必要な代替措置を取る場合には、事案の公表や問い合わせ窓口の設置が認められます。しかし、連絡先があり直接通知できるのに、「ホームページに掲載したから本人通知は不要」と一律に処理することはできません。

また、事案の公表自体は、本人通知の代替措置として行う場合を除き、個人情報保護法上の一律の義務ではありません。ただし、二次被害防止や類似事案防止の観点から公表が望ましい場合があります。公表によって攻撃者を利する、漏えい情報へのアクセスを誘発するなど被害拡大のおそれがある場合には、タイミングと内容を慎重に決めます。

10　委託先・クラウド事業者で漏えいした場合

委託先で事故が発生しても、委託元は「自社では起きていない」と考えて対応を止めることはできません。委託元が取り扱う個人データに関する事故であれば、委託元として報告対象性を判断し、必要な対応を行います。

原則として委託元・委託先の双方が報告義務を負い得ますが、委託先が、報告義務を負う委託元へ規則所定の事項を通知した場合、委託先側のPPC報告義務・本人通知義務が免除される仕組みがあります。委託元・委託先の連名報告も可能です。

契約で定めておきたい事項

  • 事故又は事故のおそれを認識した時点で、何時間以内に一次連絡するか
  • 速報に必要な情報を、判明した範囲で段階的に提供する義務
  • ログ、端末、クラウド監査記録等の保全・提出
  • フォレンジック調査への協力、再委託先への調査権限
  • PPC・業法・GDPR等の報告主体と文案承認プロセス
  • 本人通知・公表・問い合わせ対応の役割分担
  • 費用負担、損害賠償、保険、再発防止措置

契約上の「24時間以内に委託元へ通知」といった内部期限は、法定のPPC報告期限とは別物です。委託元が法定期限に間に合うよう、委託先からさらに早く情報を得られる設計にします。

11　ランサムウェア対応：外部流出の有無だけで判断しない

ランサムウェアでは、①個人データの外部送信・窃取、②暗号化による利用不能、③認証情報の窃取、④バックアップ破壊、⑤二重脅迫などを切り分けます。PPCは、ランサムウェア等により個人データが暗号化され、復元できなくなった場合を、不正目的による報告対象事態の例として示しています。

また、2025年10月1日から、関係省庁申合せに基づく「ランサムウェア事案共通様式」を用いて関係官公署への報告を行える仕組みが運用されています。個人情報保護法上の報告と、業法・サイバー関係の報告が重なる場合には、重複作業を減らすため共通様式・一括報告が使えるか確認します。

身代金支払いより前に確認すべきこと 支払いの可否だけを先に決めるのではなく、事業継続、バックアップ、制裁・反社会的勢力リスク、保険条件、警察等への相談、証拠保全、個人データの漏えい等報告を並行して検討します。攻撃者の主張だけで「窃取された」「窃取されていない」と断定しないことも重要です。

12　GDPRが適用される場合：72時間ルールは日本法と別に走る

EUのGDPRが適用される個人データについてpersonal data breachが発生した場合、controllerは、その侵害が自然人の権利・自由にリスクを生じさせる可能性が低い場合を除き、認識後、不当な遅滞なく、可能であれば72時間以内に監督当局へ通知します。72時間を超えた場合には遅延理由も必要です。

processorは、自ら監督当局へ72時間以内に報告するという一般ルールではなく、侵害を認識した後、不当な遅滞なくcontrollerへ通知します。controllerが72時間ルールを守れるよう、DPAにはprocessorからcontrollerへの初動通知時間、段階的情報提供、証拠保全、当局対応への協力を具体的に定めます。

本人への連絡は、当該侵害が自然人の権利・自由に「高いリスク」を生じさせる可能性がある場合に、不当な遅滞なく行います。日本法の4類型・速報3～5日目安と、GDPRのrisk/high risk・72時間という構造は別です。グローバル事故では同じ事実関係について複数の時計が同時に動きます。

論点日本・個人情報保護法GDPR
当局報告のトリガー規則7条の4類型権利・自由へのリスクが生じる可能性が低い場合を除く
初動報告速やかに。PPC案内は概ね3～5日以内を目安認識後、可能であれば72時間以内
確報原則30日、不正目的事案は60日不足情報は段階的に追加可能
本人通知報告対象事態で原則必要。状況に応じて速やかに高いリスクがある場合、不当な遅滞なく
委託先等所定の委託元通知で委託先の報告義務免除の仕組みprocessorはcontrollerへ不当な遅滞なく通知

13　対外公表・顧客説明で失敗しやすいポイント

（1）「漏えいは確認されていない」と早すぎる断定をしない

調査初期に「外部流出の事実はありません」と断定し、その後ログ解析で持出しが判明すると、事故そのもの以上に説明姿勢が問題になります。初期発表では、「現時点で確認できている事実」「調査中の事項」「次回更新予定」を分けます。

（2）人数を過小に固定しない

調査中は、確定人数と「影響を受けた可能性のある最大人数」を区別します。後から対象人数が増えた場合に備え、推計根拠を残します。

（3）技術情報を出しすぎない

脆弱性や未封鎖経路を詳細に公表すると追加攻撃を招くおそれがあります。本人の防御に必要な情報と、攻撃者を利する情報を分けます。

（4）責任論を先行させない

委託先・従業員・外部攻撃者の責任が疑われても、原因確定前の断定は避けます。まず本人保護と事実確認を優先し、法的責任や求償は証拠に基づいて整理します。

13-1　裁判例：事故対応費用は「必要かつ相当」な範囲で検討される

東京地方裁判所平成31年1月30日判決は、発送業務の委託先が送り状の処理を誤り、581件について他人の氏名・住所・電話番号を知り得る状態を生じさせた事案です。裁判所は、委託先の指示不足による個人情報漏えいを認めた上で、お詫びの品、謝罪文の郵送費、事故対応に関する弁護士相談費用、社内の時間外労働賃金等を損害として認めました。

一方、24時間対応の外部コールセンターについては、個人情報漏えいへの対応として一部は行き過ぎであるとして、必要な期間・時間帯の費用に限定しました。また、将来の営業利益についても、事故との因果関係が十分に立証されていないとして認めませんでした。事故対応は迅速であることが重要ですが、過剰対応にならないよう事案の危険性と問い合わせ状況に応じて体制を見直し、各対応の必要性・期間・費用の根拠を記録することが重要です。

14　社内で用意しておくべきインシデント対応票

事故時に初めて項目を考えると、事実確認が抜け落ちます。最低限、次の項目を一枚で更新できるインシデント対応票を準備しておくと実務が安定します。

  • 発覚日時／最初に知った部署・担当者／責任者への報告日時
  • 事故類型：誤送信、紛失、公開設定、不正アクセス、内部不正、ランサムウェア等
  • 対象システム・端末・アカウント・委託先
  • 対象情報の項目、要配慮個人情報・決済情報・認証情報の有無
  • 対象本人の確定人数／最大可能人数
  • 外部流出、閲覧、暗号化、改ざん、削除等の事実と未確認事項
  • 被害拡大防止措置、ログ・証拠保全の内容
  • PPC報告対象4類型の該当性
  • 業法、GDPR、契約、保険等の別ルートの期限
  • 本人通知、公表、問い合わせ窓口の要否・実施日
  • 再発防止策、経営報告、取締役会報告等の状況

15　企業向け実務フロー

段階実施事項
STEP 1　発覚責任者へ即時報告。時刻・発見経緯を記録する
STEP 2　封じ込め侵害アカウント停止、端末隔離、公開停止等。証拠を壊さない
STEP 3　証拠保全ログ、メール、端末、クラウド設定、委託先報告を確保する
STEP 4　影響評価対象情報、人数、要配慮情報、財産被害、不正目的、1,000人超を確認する
STEP 5　法的分岐PPC、所管官庁、GDPR、契約、保険、警察等のルートと期限を一覧化する
STEP 6　速報報告対象ならPPCへ速やかに速報。未確定事項は未確定と明示する
STEP 7　本人保護必要な通知、パスワード変更・カード停止等の具体策を案内する
STEP 8　調査・公表フォレンジック等で原因・影響を精査し、公表内容を更新する
STEP 9　確報30日／60日の期限を管理し、不明事項は追完する
STEP 10　再発防止技術・組織・契約・教育を見直し、経営レベルでフォローする

16　よくある誤解と修正

誤解正しい整理
外部に出ていなければ報告不要滅失・毀損も対象。ランサムウェア暗号化も検討対象になる
1,000人未満なら報告不要要配慮情報、財産被害、不正目的の類型は人数に関係なく対象になり得る
原因が確定してから速報する速報は分かる範囲で速やかに。未確定情報は後から追完できる
Web公表すれば本人通知は不要直接通知が原則。公表が代替措置になるのは本人通知が困難な場合等
委託先事故は委託先が報告する委託元も対応主体。報告分担は法と契約に基づき整理する
GDPRも日本と同じ期限でよいGDPRは原則72時間ルールが別に動く

17　2026年改正個人情報保護法との関係

2026年7月17日に公布された改正個人情報保護法は、一部を除き、公布日から2年以内で政令が定める日に施行される予定で、2026年9月15日時点では政令・規則・ガイドライン等の整備が進められています。

したがって、現時点の漏えい等報告・本人通知は、現行法26条、現行施行規則及び通則ガイドラインに従って対応します。改正法の施行準備が進む中で、報告様式・関連ガイドライン等が更新される可能性があるため、インシデントマニュアルは施行前に再確認できるよう版管理しておくことが適切です。

18　FAQ

Q1．メールを1名に誤送信したら必ずPPC報告ですか。

必ずではありません。対象情報・不正利用リスク・不正目的の有無・人数等から4類型に該当するか判断します。ただし、報告義務がなくても、削除依頼、本人対応、原因分析、再発防止等が必要なことがあります。

Q2．対象人数がまだ分かりません。速報できますか。

できます。速報は調査完了後に行うものではありません。把握している範囲と、最大影響人数の考え方を整理して報告し、後から追完します。

Q3．速報の「3～5日」は法定期限ですか。

固定の法定期限ではありません。法令は「速やかに」とし、PPCが実務目安として発覚から概ね3～5日以内を示しています。事案によってはより早い対応が必要です。

Q4．確報まで60日あるなら、ランサムウェアは急がなくてよいですか。

いいえ。60日は不正目的事案の確報期限です。速報、被害拡大防止、本人保護、他当局・契約上の報告は先に進めます。

Q5．本人通知と会社ホームページでの公表は同じですか。

異なります。本人通知は本人に直接知らせるのが原則です。公表は本人通知が困難な場合の代替措置となり得るほか、二次被害防止等の観点から別途行うことがあります。

Q6．暗号化していたUSBを紛失しました。報告不要ですか。

暗号化の強度等によります。高度な暗号化その他必要な措置が講じられ、第三者が内容を知り得ないと評価できる場合には報告対象から外れることがありますが、単にパスワードが付いているだけで当然に除外されるものではありません。

Q7．クラウドベンダーから「侵害の可能性がある」とだけ連絡が来ました。何を求めるべきですか。

発生日時・発覚日時、対象環境、侵入経路、アクセス可能だったデータ、外部送信の痕跡、ログの保全状況、影響顧客、封じ込め状況、今後の更新時刻等を求めます。契約上の報告義務も確認します。

Q8．ランサムウェアで外部流出の証拠がありません。

外部流出だけでなく、暗号化による毀損や不正目的による事態として報告対象となる可能性があります。「流出証拠なし」だけで終了せず、ログ・攻撃手法・復元可能性等を確認します。

Q9．取引先への連絡はいつ行いますか。

契約上の通知期限、取引先データへの影響、共同対応の必要性を確認し、必要なら法定報告と並行して早期に行います。全容判明を待つ契約設計になっていないか事前に確認しておくことが重要です。

Q10．公表文で原因を断定してよいですか。

原因調査が完了していない段階では避けるべきです。「現時点で確認している事実」と「調査中」を分け、更新予定を示す方が適切です。

Q11．PPCへの報告と業法上の報告が重複します。

双方の義務がある場合は双方への報告が必要ですが、一つの報告書で一括できる場合があります。ランサムウェアでは共通様式を利用できることもあるため、所管官庁の最新案内を確認します。

Q12．弁護士へ相談するタイミングはいつですか。

発覚直後が適切です。報告対象性、本人通知、公表、契約通知、GDPR等の複数ルートを並行管理し、フォレンジック調査の論点も法的観点から整理する必要があるためです。

19　弊所が情報漏えい対応を支援する際の進め方

弊所では、漏えい等事案の初動において、技術調査と法的判断を分断しないことを重視しています。まず、事故発覚からのタイムライン、対象情報、影響人数、侵害経路、委託関係を整理し、PPC報告対象4類型、本人通知、業法、契約、海外法の各ルートを一覧化します。

その上で、速報文案、本人通知文案、取引先説明、公表文、委託先への照会事項を整え、調査で新しい事実が判明するたびに内容を更新します。事故後は、再発防止策を技術対策だけで終わらせず、委託契約、権限管理、ログ保持、教育、インシデント体制まで見直すことが重要です。

20　まとめ

情報漏えい対応で最も危険なのは、報告対象かどうかが確定するまで動かないことです。発覚直後から被害拡大防止と証拠保全を行い、4類型の該当性を判断しながら、PPC速報、本人通知、所管官庁・契約・GDPR等の期限を並行管理します。

特に、ランサムウェア、クラウド・委託先事故、グローバルサービスでは、一つの事故に複数の法令・契約が重なるため、事前の体制整備が対応速度を大きく左右します。インシデント発生前に連絡網、報告様式、委託先条項、ログ保存、本人通知テンプレートを用意しておくことが、最も実効的な危機管理です。

21　主要な裁判例・一次資料・公式情報