要点個人情報保護法 26 条は、重大な漏えい等が生じた場合に個人情報取扱事業者へ委員会報告と本人通知を義務づける。速報は概ね 3〜5 日、確報は 30 日以内が原則である。
Q · 情報漏えいが起きたら、必ず国に報告しないといけないの？
一定の重大な事態なら委員会への報告と本人通知が義務です
重大な漏えい等が生じた場合、個人情報保護法 26 条により、個人情報保護委員会への報告と本人への通知が義務づけられます。対象は要配慮個人情報・財産的被害のおそれ・不正目的によるおそれのいずれかなら 1 件でも、単純ミスでも 1,000 人を超えれば該当します。速報は概ね 3〜5 日以内、確報は 30 日以内（不正の目的によるおそれがある場合は 60 日以内）に提出します。委託を受けた側は委託元へ通知すれば委員会報告義務を免れます。
顧客名簿の入った USB を電車に置き忘れた。委託先のクラウド設定ミスで会員データが半年間インターネットに露出していた。この瞬間から、あなたの会社には二本の時計が同時に走り始める。個人情報保護法 26 条は、一定の漏えい事態が起きたとき、個人情報保護委員会への報告と、本人への通知を義務づける。しかも「一定」の中身は条文に書かれておらず、委員会規則に丸投げされている。要配慮個人情報が 1 件でも漏れれば対象、クレジットカード番号が漏れれば 1 件でも対象、不正アクセスの疑いがあれば 1 件でも対象、そして単純ミスでも 1,000 人を超えれば対象。速報は概ね 3 日から 5 日以内、確報は 30 日以内（不正の目的によるおそれがある場合は 60 日以内）。あなたが「まず原因を調べてから報告しよう」と考えた時点で、期限の半分は溶けている。
個人情報の保護に関する法律 26 条は、漏えい等の報告及び本人通知を定める規定である。個人データの漏えい・滅失・毀損その他個人の権利利益を害するおそれが大きい事態が生じた場合、個人情報取扱事業者に対し、個人情報保護委員会規則に従い委員会へ報告し、かつ本人へ通知する義務を課す。委託を受けた事業者が委託元へ通知したときは、委員会報告義務を免れる。
AI 輔助整理，以條文原文為準
重大な漏えい等が生じたとき、個人情報保護委員会への報告と本人への通知を行う義務です。個人情報保護法 26 条が根拠で、対象事態や期限は委員会規則に委任されています。
①要配慮個人情報の漏えい、②財産的被害のおそれがあるもの、③不正の目的によるおそれがあるもの、④1,000 人を超える漏えいの四類型です。①〜③は 1 件でも対象になります。
事態を知った後、概ね 3〜5 日以内です。件数や原因が未確定でも、その時点で把握している範囲で提出すれば足ります（施行規則 8 条）。
原則 30 日以内、不正の目的によるおそれがある漏えい等の場合は 60 日以内です。再発防止策まで含めて提出します（施行規則 8 条）。
個人情報保護委員会の報告フォーム（オンライン）から提出するのが原則です。速報と確報の二段階で、それぞれ様式に沿って報告します。
報告義務違反に直接の刑罰はありませんが、委員会が勧告を行い、従わなければ命令、命令違反には罰則が科されます。民事訴訟でも不利に評価されます。
単純ミスなら 1,000 人を超えると対象ですが、要配慮個人情報・財産的被害・不正目的のおそれがあれば 1 件でも対象です。件数だけで判断するのは危険です。
対象になり得ます。誤送信・誤交付・紛失・置き忘れなどの人為ミスも四類型に該当すれば報告義務が生じます。むしろ報告事案の相当部分が人為ミスです。
高度な暗号化その他の秘匿化措置が講じられ、第三者が内容を復元できない状態であれば、そもそも「漏えい」に該当しないと整理され、報告対象外になりうる（施行規則 7 条、通則編ガイドライン）。業界裏話ヒント：この判断の分かれ目は「鍵の管理」である。暗号化されていても復号鍵が同じ USB に入っていれば秘匿化とは認められない。事故後に暗号化を主張しても遅い。平時に暗号方式と鍵管理を文書化しておく会社だけが、この抜け道を使える
怒られない。速報は「その時点で把握している内容」を報告すれば足り、後の確報で更新すれば足りる（施行規則 8 条 1 項）。むしろ調査完了を待って期限を徒過する方が、監督上の評価は悪くなる。業界裏話ヒント：委員会が重く見るのは数字の正確さではなく、認知から報告までの時間と、その間に何をしたかという記録である。時系列の記録が残っていない会社は、正確な最終報告を出しても「隠していたのでは」と疑われる
26 条 2 項ただし書は、本人への通知が困難な場合に、本人の権利利益を保護するため必要な代替措置をとることを認めている。公表や問い合わせ窓口の設置がこれにあたりうる。ただし「困難」の該当性は厳格で、連絡先を保有している場合は通常認められない。業界裏話ヒント：代替措置に逃げた事案ほど、後の集団訴訟で「通知を怠った」と主張される。連絡先があるなら、コストがかかっても個別通知を選ぶ方が、訴訟リスクとしては安い
原則として委託元である貴社が個人情報取扱事業者として報告義務を負う。ただし受託者側も自ら報告義務を負い、26 条 1 項ただし書により委託元へ通知すれば委員会報告を免れる（同項ただし書）。結果として、委託元が報告主体になるのが通常である。業界裏話ヒント：受託者がクラウド上でデータを取り扱わない（内容を取り扱わない）契約形態であれば、そもそも提供に当たらず委託ですらない場合がある。契約類型の設計次第で、事故時の義務者が変わる
| dimension | thisArticle | alternatives |
|---|---|---|
| 義務の中身 | 26 条：漏えい等が生じた後の委員会報告＋本人通知（事後対応） | — |
| 作動するタイミング | 重大な漏えい等の事態を認知した時点 | — |
| 違反時の効果 | 勧告→命令→命令違反に罰則、民事評価にも直結（148 条） | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。