個人データの漏えい等の対応と報告

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

名簿の誤送信、端末の紛失、不正アクセスなど、個人データの漏えいはどの会社でも起こり得ます。AIを業務に組み込むと、AIの仕組みを通じて情報が意図しない相手に表示されるといった経路も加わります。この記事では、個人情報保護法と個人情報保護委員会のガイドラインにそって、対応と報告の流れを整理します。

「漏えい等」とは、どんな事態ですか？

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、「漏えい等」を次の3つに分けて説明しています。

AIを使った仕組みでも、考え方は同じです。たとえば、社内の資料を探すAIの権限の設定を誤り、閲覧の権限がない社員や社外の利用者に顧客の情報が表示された場合は、漏えいに当たるかを確かめる対象になります。

漏えい等が発覚したら、まず何をしますか？

通則編は、漏えい等が発覚した場合に講ずべき措置として、次の5つを挙げています。

① 事業者の内部で報告し、被害の拡大を防ぎます。 責任ある立場の人に直ちに報告し、被害が発覚したときよりも広がらないよう、必要な措置をとります。

② 事実関係を調べ、原因を究明します。 いつ、何が、どのように起きたかを調べます。AIの仕組みが関わる場合は、入力と出力の記録（ログ）や、権限の設定の変更の記録も確かめます。

③ 影響の範囲を特定します。 漏えい等した個人データの項目と本人の数、二次被害のおそれを確かめます。

④ 再発防止策を検討し、実施します。

⑤ 個人情報保護委員会への報告と、本人への通知を行います（次の節）。

通則編は、事案の内容などに応じて、二次被害や類似の事案を防ぐ観点から、事実関係や再発防止策などを速やかに公表することが望ましいとしています。

セキュリティの事故全般の初動は「セキュリティ事故が起きたときの対応の手順」、AIの不具合を含む事故への備えは「AIの不具合・事故への備えと対応」もご覧ください。

委員会への報告が必要なのは、どんな場合ですか？

個人情報保護法第26条第1項は、個人データの漏えい、滅失、毀損などのうち、個人の権利利益を害するおそれが大きいものとして委員会の規則で定める事態が生じたときに、個人情報保護委員会への報告を求めています。施行規則第7条は、その事態を次の4つとしています（発生したおそれがある事態を含みます）。

• 要配慮個人情報が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（取得しようとしている個人情報で、個人データとして扱う予定のものを含みます）
• 本人の数が1,000人を超える漏えい等

規則第7条は、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データを対象から除いています。持ち出す端末や保存するデータを日ごろから暗号化しておくことが、備えになります。

速報と確報の期限

報告は、速報と確報の2段階です。

規則第8条の報告事項は、概要、個人データの項目、本人の数、原因、二次被害やそのおそれの有無と内容、本人への対応と公表の実施状況、再発防止のための措置、その他参考となる事項です。

報告の方法

委員会のページによると、民間の事業者は委員会の漏えい等報告フォーム（オンライン）から報告します。委員会の権限が委任されている業種の事業者は委任先の省庁に報告しますが、自社の雇用管理の情報や株主の情報に関わる場合は委員会への報告が必要とされています。マイナンバーを含む場合は専用のフォームがあります。委任先は毎年更新されるため、報告の前に委員会のページで確かめます。

本人への通知は、いつ、何を伝えますか？

第26条第2項は、委員会への報告が必要な場合に、本人への通知を求めています。通則編は、通知の時期を「当該事態の状況に応じて速やかに」としています。

通知する事項は、概要、漏えい等した個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項で、本人の権利利益の保護に必要な範囲で伝えます。

連絡先が分からないなど通知が困難な場合は、代わりの措置をとることができます。通則編は、事案の公表や、問い合わせの窓口を設けて連絡先を公表することを例に挙げています。

委託先で起きた場合

第26条第1項のただし書きにより、委託を受けた事業者が委託元に事態を通知したときは、委託を受けた事業者の報告の義務は免除されます（同条第2項により本人への通知の義務も同様です）。その場合は委託元が報告と通知を行い、委託を受けた事業者は委託元の対応に協力します。AIのサービスなどに個人データの取扱いを委託している場合は、契約で通知の方法と期限を決めておくと動きやすくなります。

AIの仕組みでは、何に備えておきますか？

AIの仕組みに関わる漏えい等を防ぎ、起きたときに早く動けるよう、次の点を確かめておきます。

• 参照できるデータの範囲：社内の資料を探すAIなどでは、利用者の権限に応じて参照できる範囲を設定します。
• 記録の保存：入力と出力、権限の変更の記録を残し、何が表示されたかを後から確かめられるようにします。
• 入力の線引き：個人データの入力の扱いを利用ルールで決めます（「生成AIと個人情報の扱い」参照）。
• 報告の担当と手順：4つの場合に当たるかを誰が判断し、誰が報告するかを決めます。ひな形「個人データの漏えい等の確認表」も使えます。

法律の改正で、何が変わりますか？

個人情報保護委員会によると、改正個人情報保護法は令和8年7月10日に成立し、7月17日に公布されました。委員会事務局の資料では、施行は原則として公布の日から2年を超えない範囲内とされています。

同じ資料では、漏えい等に関わる見直しとして、本人の権利利益の保護に欠けるおそれが少ない場合の本人への通知の緩和や、委託を受けた事業者の義務の見直しなどが示されています。いずれも、具体的な範囲や手続きは今後の政令・規則・ガイドラインで定められる予定で、施行日もこの記事を確かめた時点では示されていません。施行までは現在の決まりで対応し、委員会のページで規則などの公表を確かめていくと安心です。

チェックリスト

• 漏えい等に気づいたときの社内の報告先と、拡大を止める手順・調査の担当を決めている
• 報告が必要な4つの場合に当たるかを判断する人を決めている
• 速報（概ね3〜5日以内）と確報（30日以内、不正の目的のおそれは60日以内）の期限を共有している
• 自社の業種で、報告先が委員会か委任先の省庁かを確かめている
• 本人への通知の文面と、通知が困難な場合の公表・問い合わせ窓口の準備をしている
• 委託先との契約で、漏えい等の通知の方法と期限を決めている
• AIの仕組みが参照できるデータの範囲と、入力・出力の記録を確かめている
• 改正個人情報保護法の規則などの公表を確かめる担当を決めている