この記事のポイント（結論を先に）
- 報告は二段階です。速報を「知った後、速やかに」、確報を「知った日から30日以内」。不正アクセスなど不正の目的による行為が疑われる場合だけ、確報は60日以内に延びます（個人情報の保護に関する法律施行規則第8条）。
- 「速やか」の目安は概ね3〜5日以内。しかも起算点は、法人の場合「いずれかの部署が知った時点」です。経営層に上がった日ではありません。
- 報告対象の4類型に当たる場合は、漏えいの確証が得られる前でも報告が必要になります。調査中なら、その時点で把握している内容を速報で伝えます。
取引先の情報が入ったパソコンがランサムウェアに感染した。従業員が顧客名簿を持ち出した疑いがある。こうした事態が起きたとき、多くの経営者が最初に調べるのが「何日以内に報告すればいいのか」です。
本記事では、個人情報保護委員会のガイドライン（通則編）の原文にあたって、期限とその数え方を整理します。あわせて、よく見かける「第一報は24時間以内」「報告を怠ると1億円の罰金」という説明が法律の構造と合っているかも確かめます。
すでに漏えいが疑われる場合は、社内の責任者・保守会社・契約している事故対応窓口と連携し、報告の要否と期限を確認してください。当社の通常相談への返信を待つ間にも期限は進みます。報告手続きは個人情報保護委員会の案内・報告フォームから確認できます。
個人情報保護委員会への報告期限：速報と確報の違い
| 手続き | 期限・時期 | 伝える内容 |
|---|---|---|
| 速報 | 知った後、速やかに。目安は概ね3〜5日以内 | その時点で把握していること。調査完了を待たずに報告 |
| 確報 | 知った日から30日以内。不正目的の行為が疑われる類型は60日以内 | 調査で判明した内容、原因、対応など |
| 本人への通知 | 事態の状況に応じて速やかに | 本人の権利利益を守るために必要な内容。委員会への報告とは別の手続き |
報告対象の4類型に該当する個人データの漏えい等を前提とした整理です。本人通知が困難な場合の代替措置や、委託先から委託元への通知による例外は、個別の条件を確認します。
まず全体像です。個人データの漏えい等が起きたとき、個人情報保護委員会への報告は速報と確報の二段階で行います。速報は分かっている範囲で早く、確報は調査結果を添えて期限内に、という組み立てです。
速報は何日以内？「速やか」の目安は概ね3〜5日
速報の根拠は施行規則第8条第1項です。条文に日数は書かれていませんが、ガイドラインが目安を示しています。
「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3〜5日以内である。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」平成28年11月（令和8年6月一部改正）（個人情報保護委員会）
見落とされやすいのが起算点です。同じガイドラインは、法人の場合「いずれかの部署が当該事態を知った時点」を基準とすると定めています。現場の担当者が気づいた時点で時計は動き出します。社内の報告経路が一段挟まるだけで、3〜5日はあっという間に過ぎます。
なお速報は、その時点で分かっていることだけを書けば足ります。規則第8条第1項は報告事項を「報告をしようとする時点において把握しているものに限る」と括弧書きしています。調査の完了を待つ必要はありません。
調査が終わっていないとき、速報に何を書く？
「原因も人数もまだ分からない」。その状態でも、分かっている事実から整理します。ガイドラインでは、概要、データの項目、対象人数、原因、二次被害のおそれ、本人への対応、公表、再発防止策、その他参考事項が報告事項として挙げられています。速報は、その時点で把握しているものが対象です。
次は社内で事実関係をまとめるための架空の記載例です。公式フォームの代わりではありません。
| 整理すること | 記載例 |
|---|---|
| 把握した時点と概要 | 10月12日9時、顧客管理サービスの提供元から不正アクセスの可能性について連絡を受領 |
| 対象となる情報 | 氏名・メールアドレスを保存している。今回の対象項目は提供元へ確認中 |
| 人数・原因・二次被害 | 対象人数と侵入原因は調査中。二次被害の有無も確認中 |
| 実施した対応 | 社内責任者へ共有。提供元に対象範囲と調査予定の回答を依頼 |
「確認できたこと」と「確認中のこと」を分けると、途中経過でも説明しやすくなります。推測を確定した事実として書かず、提出先のフォームと案内に沿って報告内容をそろえてください。
確報は30日以内、不正行為が疑われるときは60日以内
前項の場合において、個人情報取扱事業者は、当該事態を知った日から30日以内（当該事態が前条第3号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
個人情報の保護に関する法律施行規則第8条第2項（出典同上）
期限の数え方も明文化されています。ガイドラインは、算定に当たって土日・祝日も含めるとした上で、30日目または60日目が土日・祝日・年末年始閉庁日（12月29日〜1月3日）に当たる場合はその翌日が報告期限になるとしています（行政機関の休日に関する法律 第2条）。
また60日は「猶予」ではありません。ガイドラインは「30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい」と明記しています。
報告が必要になるのは4つの類型
どんな漏えいでも報告が要るわけではありません。施行規則第7条が4つの類型を定めています。
- 第1号 要配慮個人情報（健康診断の結果や病歴など）が含まれる個人データの漏えい等
- 第2号 不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等
- 第3号 不正の目的をもって行われたおそれがある行為による漏えい等。不正アクセス、ランサムウェアによる暗号化、書類や媒体の盗難、従業者による不正な持ち出しがガイドラインの事例に並びます
- 第4号 本人の数が千人を超える漏えい等
中小企業の実務でまず効いてくるのは第3号です。ガイドラインは、不正行為の主体に「第三者のみならず、従業者も含まれる」と書いています。外部からの攻撃だけの話ではありません。
なお第1号には「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く」という括弧書きがあり、条文の定めによりこの除外は第7条の4号すべてに及びます。ただし「高度な暗号化」の技術的な水準まではガイドラインに書かれていないため、暗号化していれば必ず報告不要、と読むことはできません。
調査中でも速報が必要になる場合がある
4類型はいずれも「漏えい等が発生し、又は発生したおそれがある事態」で終わります。確証は要件ではありません。ガイドラインは、漏えい等が発生したおそれについて「漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する」と説明しています。
報告対象に当たるかを確認しつつ、調査と速報の準備を並行して進めることが大切です。調査の完了を待つ間にも、期限は進みます。
本人への通知は、委員会への報告とは別のもの
法第26条第2項により、本人への通知も必要です。ただし中身が違います。時期は施行規則第10条で「当該事態の状況に応じて速やかに」とされ、日数の目安は示されていません。通知する事項も、確報で報告する項目すべてではなく、一部に限られます。
本人への通知が困難な場合は、代替措置で足ります（法第26条第2項ただし書）。ガイドラインが挙げる例は、事案の公表と、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているかを確認できるようにすること、の2つです。
「報告を怠ると1億円の罰金」は正確ではない
ここは誤って書かれていることが多い部分です。法律の構造は段階を踏みます。
- 第26条違反があると、委員会は勧告できます（法第148条第1項）
- 正当な理由なく勧告に従わない場合、委員会は命令を出せます（同条第2項）。重大な権利利益を害する事実があり緊急を要する場合は、勧告を経ずに緊急命令も可能です（同条第3項）
- 命令に違反した場合に初めて罰則が働きます。法第178条は「1年以下の拘禁刑又は100万円以下の罰金」と定めています
- 法人については法第184条第1項第1号により、行為者を罰するほか法人に対して1億円以下の罰金刑が科されます
1億円という数字は実在します。ただし報告漏れから直結するものではありません。勧告と命令を経て、その命令に違反した場合の話です。正確に理解しておかないと、必要以上に恐れるか、逆に軽く見るかのどちらかに振れます。
「第一報は24時間以内」という規律は見当たらない
もう一点。「漏えいの第一報は24時間以内」という説明が流通していますが、個人情報保護法・施行規則・ガイドラインのいずれにも、この規律は見当たりません。個人情報保護法における目安は、繰り返しになりますが概ね3〜5日です。
24時間という数字は、他の法令の事故報告制度や、契約上の取り決めと混同されている可能性があります。取引先との契約書に独自の報告期限が定められていることはありますので、自社に適用される期限は法令と契約の両方で確認してください。
起きる前に決めておくこと
期限が短いということは、事故が起きてから手順を考える時間がない、ということです。最低限、次の3つは先に決めておくと動けます。
- 誰が「知った」に該当するか。現場が気づいた時点で起算されるので、現場から誰へ、どの経路で上げるかを決めておく
- 誰が報告主体になるか。委託を受けている業務であれば、委託元へ通知することで委員会への報告義務を免れる場合があります（法第26条第1項ただし書）
- 何が要配慮個人情報にあたるか。健康診断の結果や病歴を扱っているなら、1件でも第1号に該当します
担当者が休みの日でも、最初の連絡はつながりますか
取引先への連絡は営業、システムの確認は保守会社。それぞれの担当は決まっていても、全体をまとめる人が曖昧だと、確認のやり取りが続いてしまいます。
初回30分では、顧客情報を扱う仕事と、現在の社内・委託先の役割を伺います。現場から責任者への報告、委託先への確認、担当者が不在の場合の引き継ぎを、自社の体制に当てはめて見ていきます。
「営業担当が誤送信に気づいたら、誰につなぐか」。まず一つの場面を考えるだけでも、決めておきたいことが見えてきます。平時の備えとして、今の連絡体制を一緒に確かめてみませんか。
初回30分無料・オンライン。お申し込み後、2営業日以内にご連絡し、メールで日程を調整します。
関連する脅威の全体像は情報セキュリティ10大脅威2026を中小企業向けに解説、対策の進め方は中小企業のセキュリティ診断とはにまとめています。
結論：速報と確報を分け、分かっている事実から準備する
速報は、その時点で把握している内容を伝えます。報告対象と期限を確かめ、確報に向けた調査や本人への通知の準備も進めることが要点です。
最近の不正アクセスを踏まえた日常の点検は、IPAの注意喚起を中小企業向けに整理した記事にまとめました。
参考・出典
参考・出典:
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」平成28年11月（令和8年6月一部改正）：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/（本体PDF：PDF）
・個人情報の保護に関する法律（平成十五年法律第五十七号）第26条・第148条・第178条・第184条：e-Gov法令検索
・個人情報の保護に関する法律施行規則（平成二十八年個人情報保護委員会規則第三号）第7条・第8条・第10条：e-Gov法令検索
・個人情報保護委員会「漏えい等報告・本人通知の義務化」：個人情報保護委員会
・追加確認：個人情報保護委員会「漏えい等の対応とお役立ち資料」／通則編3-5-3（2026年10月12日確認）
この記事に関連するよくある質問
個人情報が漏えいしたとき、報告は何日以内にすればよいですか？
報告は二段階です。速報を「知った後、速やかに」、確報を「知った日から30日以内」に出します。不正アクセスなど不正の目的による行為が疑われる場合だけ、確報は60日以内に延びます。「速やか」の目安は、個人情報保護委員会のガイドライン（通則編）で概ね3〜5日以内とされています。出典は個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3（平成28年11月・令和8年6月一部改正）です。
漏えいしたかどうか確証がない段階でも、報告は必要ですか？
必要になる場合があります。報告対象の4類型はいずれも「発生し、又は発生したおそれがある事態」と定められており、確証は要件ではありません。調べ切ってから報告しようとすると、速報の3〜5日が過ぎてしまいます。
報告を怠ると1億円の罰金になると聞きましたが、本当ですか？
正確ではありません。法律は段階を踏みます。違反があると委員会が勧告し、従わない場合に命令が出され、その命令に違反したときに初めて罰則が働きます。法人に対する1億円以下の罰金は、命令違反の場合の定めです。報告漏れから直結するものではありません。