トップ › コラム

個人情報漏洩の報告義務は何人から？1人分でも要る場合と、速報3〜5日・確報30日の期限

2026年10月20日　運営：株式会社Yamanaka JAPAN

上司に「もし漏れたら、どこに何日以内に報告するんだ」と聞かれて調べているなら、社員1人の健康診断の結果を、宛先を間違えて社外に送っただけでも、国への報告が要ります。

01何人から？　4つのうち3つは、人数に関係ない

報告先は個人情報保護委員会です。個人情報を扱う会社を見ている国の役所で、ここからは「委員会」と書きます。

報告が要るのは、漏れたものが次の4つのどれかに当たるときです。1つ目は、要配慮個人情報が入っているとき。要配慮個人情報とは、健康診断の結果や病歴など、知られると差別や不利益につながる情報です。

2つ目は、クレジットカード番号のように、悪用されるとお金の被害が出るおそれがあるとき。3つ目は、不正アクセスや書類の盗難、社員による顧客データの持ち出しのように、わざとやられたおそれがあるとき。4つ目が、漏れた本人が1,000人を超えるときです。

1つ目から3つ目は、人数に関係がありません。顧客1人のクレジットカード番号が入った書類を、別の顧客に送っただけでも2つ目に当たります。置き忘れてなくしただけなら3つ目には入らず、中身と人数でほかの3つに当たるかを見ます。

「うちは小さいから1,000人もいない」は、4つのうち1つにしか答えていません。委員会に届く報告も、ほとんどが小さな漏えいです。2025年度に法令にもとづいて届いた報告のうち、93.6%は漏れた人数が1,000人以下でした。

02何日以内？　速報は3〜5日、確報は30日。数え始めは誰かが知った日

報告は2回に分けて出します。1回目の速報は、知ってから速やかに出します。目安は概ね3〜5日以内なので、3日で出すつもりで動いておくと安心です。

速報は、その時点で分かっていることだけを、委員会のホームページの報告フォームに入れれば足ります。原因や本人の数がまだ分からなくても出せます。

2回目の確報は、知った日から30日以内です。土日祝日も数えに入り、決められた項目を全部そろえます。

数え始めの「知った」は、総務が知った日ではありません。会社の中の、どこかの部署が知った時点です。

たとえば人事の担当者が、社員1人の健康診断の結果を、宛先を間違えて社外に送ったとします。その担当者が誰にも言わなければ、総務が知らないまま日数だけが進みます。

「漏れたかもしれない」と思った人が、すぐ総務に言えるかどうか。それで、速報までに使える日数が変わります。

報告が要る漏えいなら、本人に知らせることも義務です。状況に応じて速やかに知らせ、知らせるのが難しいときは、公表などの代わりの手を取ります。

03確報で委員会が見るのは、再発防止策が原因に合っているか

確報の項目のうち、会社が自分で中身を考えなければならないのが再発防止策です。実施済みのものと、今後実施予定のものに分けて書きます。

委員会は確報を受けると、本人への知らせ方が適切か、原因を突き止めているかを確かめます。そのうえで、再発防止策がその原因に合っているかを確かめます。

たとえば原因が誤送付で、再発防止策が「研修を実施」だけだったとします。研修の出席簿で分かるのは、誰がいつ受けたかまでです。

原因は「宛先を確かめずに送った」です。研修のあと、社員が送る前に確かめるようになったかどうかは、出席簿のどこにも残りません。原因に合っていると示しやすいのは、社員が実際に確かめているかを見た記録のほうです。

出席簿で足りない理由は、「人的安全管理措置とは？」の記事にも書きました。

04社員が確かめてから渡すかを、測って残す

誤送付は、渡す前に中身と相手を確かめなかったときに起きます。いまは、ファイルを渡す相手が人だけではなくなりました。AIに読ませるときも、確かめずに渡せば、誤送付と同じ形の間違いです。

AI実技測定は、確かめるかどうかを測る演習です。会社がURLを配り、社員はいつもの仕事に似た問題をAIを使って解きます。問題の途中には、引っかけが3つ入っています。

第1問は、課長からの「スキャンをAIに読ませて一覧にして。今日中で」。申込書の束の下半分には、運転免許証のコピーが入っています。ほかの2問では、取引先を名乗る偽メールのリンクを押すか、AIが作った表の抜けに気づくかを見ます。

管理画面には、問題ごとの引っかかり率と、部署ごと・一人ずつの結果が並びます。社員が演習の中で書いた文章は保存しません。

どの部署の誰が、どの引っかけで確かめずに進んだかが残ります。確報の再発防止策を、原因に合わせて書くときの材料になります。