--- title: "個人データの漏えい等の対応と報告｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/personal-data-breach-response/ description: "個人データの漏えい等が起きたら、被害の拡大を止め、事実と影響の範囲を調べたうえで、法令の4つの場合に当たるかを確かめ、個人情報保護委員会への速報・確報と本人への通知を行います。AIを使った仕組みでの漏えいも同じ手順です。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 広げる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/)[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 個人データの漏えい等の対応と報告 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12制度の最終確認 2026-11-12出典 6件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 個人データの漏えい等が起きたら、被害の拡大を止め、事実と影響の範囲を調べたうえで、法令の4つの場合に当たるかを確かめます。当たる場合は、個人情報保護委員会への速報（概ね3〜5日以内）と確報（30日以内、不正の目的のおそれがある場合は60日以内）、本人への通知を行います。 自社の「ガバナンスと法令」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 名簿の誤送信、端末の紛失、不正アクセスなど、個人データの漏えいはどの会社でも起こり得ます。AIを業務に組み込むと、AIの仕組みを通じて情報が意図しない相手に表示されるといった経路も加わります。この記事では、個人情報保護法と個人情報保護委員会のガイドラインにそって、対応と報告の流れを整理します。 この記事でわかること - 「漏えい等」に当たる事態と、発覚したときに取る措置 - 委員会への報告と本人への通知が必要になる4つの場合と、期限 - AIの仕組みに関わる漏えいへの備えと、法改正の動き ## 「漏えい等」とは、どんな事態ですか？ 個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、「漏えい等」を次の3つに分けて説明しています。 | 種類 | 内容 | 例 | |---|---|---| | 漏えい | 個人データが外部に流出すること | 誤送信、不正アクセスによる流出 | | 滅失 | 個人データの内容が失われること | 誤って消去し、復元できない | | 毀損 | 内容が意図しない形で変更されること、または内容を保ちつつ使えなくなること | 改ざん、ランサムウェアによる暗号化 | AIを使った仕組みでも、考え方は同じです。たとえば、社内の資料を探すAIの権限の設定を誤り、閲覧の権限がない社員や社外の利用者に顧客の情報が表示された場合は、漏えいに当たるかを確かめる対象になります。 ## 漏えい等が発覚したら、まず何をしますか？ 通則編は、漏えい等が発覚した場合に講ずべき措置として、次の5つを挙げています。 ① **事業者の内部で報告し、被害の拡大を防ぎます。** 責任ある立場の人に直ちに報告し、被害が発覚したときよりも広がらないよう、必要な措置をとります。 ② **事実関係を調べ、原因を究明します。** いつ、何が、どのように起きたかを調べます。AIの仕組みが関わる場合は、入力と出力の記録（ログ）や、権限の設定の変更の記録も確かめます。 ③ **影響の範囲を特定します。** 漏えい等した個人データの項目と本人の数、二次被害のおそれを確かめます。 ④ **再発防止策を検討し、実施します。** ⑤ **個人情報保護委員会への報告と、本人への通知を行います**（次の節）。 通則編は、事案の内容などに応じて、二次被害や類似の事案を防ぐ観点から、事実関係や再発防止策などを速やかに公表することが望ましいとしています。 漏えい等が発覚してからの流れ **社内に報告し、拡大を防ぐ**：責任ある立場の人に直ちに報告する **事実を調べ、原因を究明する**：AIの仕組みなら入力・出力や権限の変更の記録も **影響の範囲を特定する**：項目、本人の数、二次被害のおそれ **再発防止策を検討し、実施する** **委員会への報告と本人への通知**：4つの場合に当たるときに行う 事案の内容などに応じて、事実関係や再発防止策などを速やかに公表することが望ましいとされています（通則編）。報告の要否は、専門家にもご確認ください。 セキュリティの事故全般の初動は「[セキュリティ事故が起きたときの対応の手順](https://www.ai-ready.jp/guide/security-incident-response/)」、AIの不具合を含む事故への備えは「[AIの不具合・事故への備えと対応](https://www.ai-ready.jp/guide/ai-incident-management/)」もご覧ください。 ## 委員会への報告が必要なのは、どんな場合ですか？ 個人情報保護法第26条第1項は、個人データの漏えい、滅失、毀損などのうち、個人の権利利益を害するおそれが大きいものとして委員会の規則で定める事態が生じたときに、個人情報保護委員会への報告を求めています。施行規則第7条は、その事態を次の4つとしています（発生したおそれがある事態を含みます）。 - 要配慮個人情報が含まれる個人データの漏えい等 - 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 - 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（取得しようとしている個人情報で、個人データとして扱う予定のものを含みます） - 本人の数が1,000人を超える漏えい等 委員会への報告と本人への通知が必要になる4つの場合 - **要配慮個人情報**：要配慮個人情報が含まれる個人データの漏えい等 - **財産的被害のおそれ**：不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 - **不正の目的のおそれ**：不正の目的をもって行われたおそれがある行為による漏えい等（確報は**60日以内**） - **1,000人超**：本人の数が1,000人を超える漏えい等 いずれも発生したおそれがある事態を含みます。速報は事態を知った後速やかに（目安は概ね3〜5日以内）、確報は30日以内です。高度な暗号化などの措置を講じた個人データは対象から除かれます。詳しくは専門家にご確認ください。 規則第7条は、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データを対象から除いています。持ち出す端末や保存するデータを日ごろから暗号化しておくことが、備えになります。 ### 速報と確報の期限 報告は、速報と確報の2段階です。 | 報告 | 期限 | 内容 | |---|---|---| | 速報 | 事態を知った後、速やかに（通則編の目安は概ね3〜5日以内） | 報告の時点で把握している事項 | | 確報 | 事態を知った日から30日以内（不正の目的のおそれがある事態は60日以内） | 規則で定める事項のすべて | 規則第8条の報告事項は、概要、個人データの項目、本人の数、原因、二次被害やそのおそれの有無と内容、本人への対応と公表の実施状況、再発防止のための措置、その他参考となる事項です。 ### 報告の方法 委員会のページによると、民間の事業者は委員会の漏えい等報告フォーム（オンライン）から報告します。委員会の権限が委任されている業種の事業者は委任先の省庁に報告しますが、自社の雇用管理の情報や株主の情報に関わる場合は委員会への報告が必要とされています。マイナンバーを含む場合は専用のフォームがあります。委任先は毎年更新されるため、報告の前に委員会のページで確かめます。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「ガバナンスと法令」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 本人への通知は、いつ、何を伝えますか？ 第26条第2項は、委員会への報告が必要な場合に、本人への通知を求めています。通則編は、通知の時期を「当該事態の状況に応じて速やかに」としています。 通知する事項は、概要、漏えい等した個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項で、本人の権利利益の保護に必要な範囲で伝えます。 連絡先が分からないなど通知が困難な場合は、代わりの措置をとることができます。通則編は、事案の公表や、問い合わせの窓口を設けて連絡先を公表することを例に挙げています。 ### 委託先で起きた場合 第26条第1項のただし書きにより、委託を受けた事業者が委託元に事態を通知したときは、委託を受けた事業者の報告の義務は免除されます（同条第2項により本人への通知の義務も同様です）。その場合は委託元が報告と通知を行い、委託を受けた事業者は委託元の対応に協力します。AIのサービスなどに個人データの取扱いを委託している場合は、契約で通知の方法と期限を決めておくと動きやすくなります。 ## AIの仕組みでは、何に備えておきますか？ AIの仕組みに関わる漏えい等を防ぎ、起きたときに早く動けるよう、次の点を確かめておきます。 - **参照できるデータの範囲**：社内の資料を探すAIなどでは、利用者の権限に応じて参照できる範囲を設定します。 - **記録の保存**：入力と出力、権限の変更の記録を残し、何が表示されたかを後から確かめられるようにします。 - **入力の線引き**：個人データの入力の扱いを利用ルールで決めます（「[生成AIと個人情報の扱い](https://www.ai-ready.jp/guide/personal-data-and-generative-ai/)」参照）。 - **報告の担当と手順**：4つの場合に当たるかを誰が判断し、誰が報告するかを決めます。ひな形「[個人データの漏えい等の確認表](https://www.ai-ready.jp/templates/personal-data-breach-checklist/)」も使えます。 ## 法律の改正で、何が変わりますか？ 個人情報保護委員会によると、改正個人情報保護法は令和8年7月10日に成立し、7月17日に公布されました。委員会事務局の資料では、施行は原則として公布の日から2年を超えない範囲内とされています。 同じ資料では、漏えい等に関わる見直しとして、本人の権利利益の保護に欠けるおそれが少ない場合の本人への通知の緩和や、委託を受けた事業者の義務の見直しなどが示されています。いずれも、具体的な範囲や手続きは今後の政令・規則・ガイドラインで定められる予定で、施行日もこの記事を確かめた時点では示されていません。**施行までは現在の決まりで対応し、委員会のページで規則などの公表を確かめていく**と安心です。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [個人データの漏えい等の確認表](https://www.ai-ready.jp/templates/personal-data-breach-checklist/) - [セキュリティ事故の初動チェックリスト](https://www.ai-ready.jp/templates/incident-response-checklist/) - [セキュリティ事故の報告書（社内用）](https://www.ai-ready.jp/templates/incident-report-form/) ガイド - [セキュリティ事故が起きたときの対応の手順](https://www.ai-ready.jp/guide/security-incident-response/) - [AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ](https://www.ai-ready.jp/guide/ai-incident-management/) - [生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること](https://www.ai-ready.jp/guide/personal-data-and-generative-ai/) - [顧客データをAIで活用するときの進め方と注意](https://www.ai-ready.jp/guide/customer-data-and-ai/) 用語 - [漏えい等の報告](https://www.ai-ready.jp/glossary/breach-notification/) - [個人情報保護委員会](https://www.ai-ready.jp/glossary/personal-information-protection-commission/) - [個人データ](https://www.ai-ready.jp/glossary/personal-data/) - [要配慮個人情報](https://www.ai-ready.jp/glossary/sensitive-personal-information/) - [暗号化](https://www.ai-ready.jp/glossary/encryption/) ## よくあるご質問 Q漏えいしたかどうか、はっきりしない段階でも報告が必要ですか？ A報告が必要な事態には、漏えい等が発生したおそれがある事態も含まれます。速報は、事態を知った後速やかに（目安は概ね3〜5日以内）、その時点で把握している内容を報告し、確定していないことは確報で補います。 Q暗号化したノートパソコンを紛失した場合も報告が必要ですか？ A高度な暗号化その他の必要な措置を講じた個人データは、報告の対象から除かれています。どの程度の暗号化であればよいかは委員会のガイドラインとQ&Aで確かめ、迷う場合は専門家に相談すると安心です。 Q業務を委託している会社で漏えいが起きた場合は、誰が報告しますか？ A委託を受けた会社が委託元に事態を通知した場合は、その会社の報告と本人への通知の義務は免除され、委託元が報告と通知を行います。委託を受けた会社は委託元の対応に協力します。契約で通知の方法と期限を決めておくと動きやすくなります。 Q法律の改正で、報告のしかたは変わりますか？ A令和8年7月17日に公布された改正法では、本人への通知の緩和などの見直しが示されています。施行は原則として公布から2年を超えない範囲内とされ、具体的な内容は今後の規則などで定められる予定です。施行までは現在の決まりで対応します。 ## この記事に出てくる用語 - [個人データ](https://www.ai-ready.jp/glossary/personal-data/) - [個人情報保護委員会](https://www.ai-ready.jp/glossary/personal-information-protection-commission/) - [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/) - [ランサムウェア](https://www.ai-ready.jp/glossary/ransomware/) - [暗号化](https://www.ai-ready.jp/glossary/encryption/) - [ログ](https://www.ai-ready.jp/glossary/log/) - [要配慮個人情報](https://www.ai-ready.jp/glossary/sensitive-personal-information/) - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [漏えい等の報告](https://www.ai-ready.jp/glossary/breach-notification/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [広げる／ガバナンスと法令AIで作った名前・ロゴと商標の確認石田誠2026-11-12](https://www.ai-ready.jp/guide/trademark-and-ai-creations/)[広げる／ガバナンスと法令AIで作る広告と景品表示法の注意嵐保憲2026-11-12](https://www.ai-ready.jp/guide/advertising-law-and-ai/)[定着させる／ガバナンスと法令AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）石田誠2026-11-12](https://www.ai-ready.jp/guide/ai-risk-management-framework/) ## 出典 1. [e-Gov法令検索「個人情報の保護に関する法律」](https://laws.e-gov.go.jp/law/415AC0000000057) 2. [e-Gov法令検索「個人情報の保護に関する法律施行規則」](https://laws.e-gov.go.jp/law/428M60020000003) 3. [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/) 4. [個人情報保護委員会「漏えい等の対応とお役立ち資料」](https://www.ppc.go.jp/personalinfo/legal/leakAction/) 5. [個人情報保護委員会「令和8年改正個人情報保護法について」](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/) 6. [個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和8年7月）](https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. 「漏えい等」とは、どんな事態ですか？ 2. 漏えい等が発覚したら、まず何をしますか？ 3. 委員会への報告が必要なのは、どんな場合ですか？ 4. 本人への通知は、いつ、何を伝えますか？ 5. AIの仕組みでは、何に備えておきますか？ 6. 法律の改正で、何が変わりますか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」、あわせて「基盤とセキュリティ」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/)[基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「個人データの漏えい等の対応と報告｜AI-Ready.jp」 https://www.ai-ready.jp/guide/personal-data-breach-response/