この記事のポイント（結論を先に）
- 報告は二段階です。速報を「知った後、速やかに」、確報を「知った日から30日以内」。不正アクセスなど不正の目的による行為が疑われる場合だけ、確報は60日以内に延びます（個人情報の保護に関する法律施行規則第8条）。
- 「速やか」の目安は概ね3〜5日以内。しかも起算点は、法人の場合「いずれかの部署が知った時点」です。経営層に上がった日ではありません。
- 「たぶん漏れた」の段階で義務は生じます。報告対象の4類型はいずれも「発生し、又は発生したおそれがある事態」で終わっており、確証は要件ではありません。
取引先の情報が入ったパソコンがランサムウェアに感染した。従業員が顧客名簿を持ち出した疑いがある。こうした事態が起きたとき、多くの経営者が最初に調べるのが「何日以内に報告すればいいのか」です。
本記事では、個人情報保護委員会のガイドライン（通則編）の原文にあたって、期限とその数え方を整理します。あわせて、よく見かける「第一報は24時間以内」「報告を怠ると1億円の罰金」という説明が法律の構造と合っているかも確かめます。
報告は二段階。速報と確報で期限が違う
まず全体像です。個人データの漏えい等が起きたとき、個人情報保護委員会への報告は速報と確報の二段階で行います。速報は分かっている範囲で早く、確報は調査結果を添えて期限内に、という組み立てです。
「速やか」は概ね3〜5日以内
速報の根拠は施行規則第8条第1項です。条文に日数は書かれていませんが、ガイドラインが目安を示しています。
「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3〜5日以内である。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」平成28年11月（令和8年6月一部改正）（個人情報保護委員会）
見落とされやすいのが起算点です。同じガイドラインは、法人の場合「いずれかの部署が当該事態を知った時点」を基準とすると定めています。現場の担当者が気づいた時点で時計は動き出します。社内の報告経路が一段挟まるだけで、3〜5日はあっという間に過ぎます。
なお速報は、その時点で分かっていることだけを書けば足ります。規則第8条第1項は報告事項を「報告をしようとする時点において把握しているものに限る」と括弧書きしています。調査の完了を待つ必要はありません。
確報は30日以内、不正行為が疑われるときは60日以内
前項の場合において、個人情報取扱事業者は、当該事態を知った日から30日以内（当該事態が前条第3号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
個人情報の保護に関する法律施行規則第8条第2項（出典同上）
期限の数え方も明文化されています。ガイドラインは、算定に当たって土日・祝日も含めるとした上で、30日目または60日目が土日・祝日・年末年始閉庁日（12月29日〜1月3日）に当たる場合はその翌日が報告期限になるとしています（行政機関の休日に関する法律 第2条）。
また60日は「猶予」ではありません。ガイドラインは「30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい」と明記しています。
報告が必要になるのは4つの類型
どんな漏えいでも報告が要るわけではありません。施行規則第7条が4つの類型を定めています。
- 第1号 要配慮個人情報（健康診断の結果や病歴など）が含まれる個人データの漏えい等
- 第2号 不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等
- 第3号 不正の目的をもって行われたおそれがある行為による漏えい等。不正アクセス、ランサムウェアによる暗号化、書類や媒体の盗難、従業者による不正な持ち出しがガイドラインの事例に並びます
- 第4号 本人の数が千人を超える漏えい等
中小企業の実務でまず効いてくるのは第3号です。ガイドラインは、不正行為の主体に「第三者のみならず、従業者も含まれる」と書いています。外部からの攻撃だけの話ではありません。
なお第1号には「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く」という括弧書きがあり、条文の定めによりこの除外は第7条の4号すべてに及びます。ただし「高度な暗号化」の技術的な水準まではガイドラインに書かれていないため、暗号化していれば必ず報告不要、と読むことはできません。
「たぶん漏れた」の段階で義務は生じる
4類型はいずれも「漏えい等が発生し、又は発生したおそれがある事態」で終わります。確証は要件ではありません。ガイドラインは、漏えい等が発生したおそれについて「漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する」と説明しています。
調べ切ってから報告しよう、という判断が最も危険です。調査の完了を待つ間に、速報の3〜5日は過ぎていきます。
本人への通知は、委員会への報告とは別のもの
法第26条第2項により、本人への通知も必要です。ただし中身が違います。時期は施行規則第10条で「当該事態の状況に応じて速やかに」とされ、日数の目安は示されていません。通知する事項も、確報で報告する項目すべてではなく、一部に限られます。
本人への通知が困難な場合は、代替措置で足ります（法第26条第2項ただし書）。ガイドラインが挙げる例は、事案の公表と、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているかを確認できるようにすること、の2つです。
「報告を怠ると1億円の罰金」は正確ではない
ここは誤って書かれていることが多い部分です。法律の構造は段階を踏みます。
- 第26条違反があると、委員会は勧告できます（法第148条第1項）
- 正当な理由なく勧告に従わない場合、委員会は命令を出せます（同条第2項）。重大な権利利益を害する事実があり緊急を要する場合は、勧告を経ずに緊急命令も可能です（同条第3項）
- 命令に違反した場合に初めて罰則が働きます。法第178条は「1年以下の拘禁刑又は100万円以下の罰金」と定めています
- 法人については法第184条第1項第1号により、行為者を罰するほか法人に対して1億円以下の罰金刑が科されます
1億円という数字は実在します。ただし報告漏れから直結するものではありません。勧告と命令を経て、その命令に違反した場合の話です。正確に理解しておかないと、必要以上に恐れるか、逆に軽く見るかのどちらかに振れます。
「第一報は24時間以内」という規律は見当たらない
もう一点。「漏えいの第一報は24時間以内」という説明が流通していますが、個人情報保護法・施行規則・ガイドラインのいずれにも、この規律は見当たりません。個人情報保護法における目安は、繰り返しになりますが概ね3〜5日です。
24時間という数字は、他の法令の事故報告制度や、契約上の取り決めと混同されている可能性があります。取引先との契約書に独自の報告期限が定められていることはありますので、自社に適用される期限は法令と契約の両方で確認してください。
起きる前に決めておくこと
期限が短いということは、事故が起きてから手順を考える時間がない、ということです。最低限、次の3つは先に決めておくと動けます。
- 誰が「知った」に該当するか。現場が気づいた時点で起算されるので、現場から誰へ、どの経路で上げるかを決めておく
- 誰が報告主体になるか。委託を受けている業務であれば、委託元へ通知することで委員会への報告義務を免れる場合があります（法第26条第1項ただし書）
- 何が要配慮個人情報にあたるか。健康診断の結果や病歴を扱っているなら、1件でも第1号に該当します
外から見える範囲のセキュリティは、無料で確認できます。自社サイトのなりすましメール対策やWordPressの公開状態が気になる方は、無料セキュリティ診断をお試しください。登録不要で、URLを入れるだけです。
関連する脅威の全体像は情報セキュリティ10大脅威2026を中小企業向けに解説、対策の進め方は中小企業のセキュリティ診断とはにまとめています。
参考・出典
参考・出典:
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」平成28年11月（令和8年6月一部改正）：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/（本体PDF：PDF）
・個人情報の保護に関する法律（平成十五年法律第五十七号）第26条・第148条・第178条・第184条：e-Gov法令検索
・個人情報の保護に関する法律施行規則（平成二十八年個人情報保護委員会規則第三号）第7条・第8条・第10条：e-Gov法令検索
・個人情報保護委員会「漏えい等報告・本人通知の義務化」：個人情報保護委員会
・（いずれも2026年8月14日閲覧）
この記事に関連するよくある質問
個人情報が漏えいしたとき、報告は何日以内にすればよいですか？
報告は二段階です。速報を「知った後、速やかに」、確報を「知った日から30日以内」に出します。不正アクセスなど不正の目的による行為が疑われる場合だけ、確報は60日以内に延びます。「速やか」の目安は、個人情報保護委員会のガイドライン（通則編）で概ね3〜5日以内とされています。出典は個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3（平成28年11月・令和8年6月一部改正）です。
漏えいしたかどうか確証がない段階でも、報告は必要ですか？
必要になる場合があります。報告対象の4類型はいずれも「発生し、又は発生したおそれがある事態」と定められており、確証は要件ではありません。調べ切ってから報告しようとすると、速報の3〜5日が過ぎてしまいます。
報告を怠ると1億円の罰金になると聞きましたが、本当ですか？
正確ではありません。法律は段階を踏みます。違反があると委員会が勧告し、従わない場合に命令が出され、その命令に違反したときに初めて罰則が働きます。法人に対する1億円以下の罰金は、命令違反の場合の定めです。報告漏れから直結するものではありません。