個人データの漏えい等の確認表

ガイド「個人データの漏えい等の対応と報告」の手順に合わせて作ったWordのファイルです。個人情報保護法第26条では、個人の権利利益を害するおそれが大きい漏えい等が起きたときは、個人情報保護委員会への報告（第1項）と本人への通知（第2項）が求められます。この確認表では、報告の対象になる4つの事態（施行規則第7条）に当てはまるかを1つずつ確かめ、速報と確報の期限を書き込めるようにしています。セキュリティ事故全体の初動は「セキュリティ事故の初動チェックリスト（セキュリティ事故の初動チェックリスト）」とあわせて使えます。

使い方

① 発覚の記録を書きます。 発覚した日時、発覚の経緯、連絡を受けた人を書きます。漏えい（外に出た）・滅失（なくなった）・毀損（内容が変わったり使えなくなったりした）のどれに当たるか、そのおそれがあるかも書きます。

② 広がりを止めます。 アクセスの停止、パスワードの変更、誤送信の相手への削除の依頼など、取った措置と日時を書きます。

③ 事実を確かめます。 対象の個人データの項目、本人の数、原因、二次被害（悪用など）のおそれを、わかった範囲で書きます。

④ 報告の対象かを確かめます。 4つの事態（要配慮個人情報、財産的被害のおそれ、不正の目的のおそれ、本人の数が1,000人を超える）に当てはまるかを確かめます。おそれがある段階でも対象になります。高度な暗号化などの措置を講じた個人データは、対象から除かれています（施行規則第7条）。

⑤ 報告と通知をします。 対象になる場合は、速報と確報の期限を書き、報告先を確かめて報告します。本人への通知の内容と方法も決めます（施行規則第10条）。委託を受けて扱っていた個人データの場合は、委託元に事態を通知すると、自社の報告と本人への通知の義務は免除され、委託元が報告と通知を行います（法第26条第1項ただし書・第2項、施行規則第9条）。

⑥ 再発防止と記録をまとめます。 原因に応じた再発防止の措置を決め、判断の理由と日時を残します。

中身（見出し）

記入例

架空の会社「株式会社〇〇」で、顧客の一覧の表計算ファイルを、社外の取引先に誤ってメールで送った場合の例です。

• 1. 発覚の記録： ［月日・時刻］、送信した担当者が誤りに気づき、上長に報告。漏えいのおそれ。
• 2. 広がりを止める措置： 送信先に連絡し、ファイルの削除と、ほかに転送していないことの確認を依頼。削除した旨の回答を書面で受け取った。
• 3. 事実の確認： 項目は氏名・会社名・メールアドレス・電話番号。本人の数は［　　］人。原因は宛先の選び間違い。
• 4. 報告の対象かの確認： 要配慮個人情報は含まれない。財産的被害のおそれの項目は含まれない。不正の目的のおそれはない。本人の数が1,000人を超えるかを確かめ、［超える・超えない］と判断。判断の理由と確認者を記録した。
• 8. 再発防止： 社外への個人データの送付は、ファイルにパスワードをかけるか共有のリンクで期限を付け、送信前に別の人が宛先を確かめる手順に改めた。

使うときの注意

• 最新の法令と委員会の案内を確かめてください。 報告の対象・期限・報告の方法は、個人情報保護法第26条と施行規則第7条〜第10条、個人情報保護委員会のガイドラインで定められています。施行規則第8条では、速報は事態を知った後速やかに、確報は事態を知った日から30日以内（不正の目的のおそれがある場合は60日以内）とされています。個人情報保護委員会の漏えい等の報告の案内のページでは、速報の目安は発覚日から3〜5日以内と案内されています（2026年11月時点）。
• 法改正に注意してください。 令和8年7月17日に公布された改正個人情報保護法では、本人への通知の緩和など、漏えい等に関わる規律が見直される予定です。具体的な内容は今後の規則などで定められる予定のため、施行までは現在の決まりで対応し、施行の時期と内容は個人情報保護委員会の案内で確かめてください。
• 業種によっては報告先が異なります。 権限の委任を受けた省庁に報告する業種があります。報告先（権限の委任先）は毎年更新されるため、報告の前に委員会の案内を確かめてください。マイナンバーを含む場合（含むかわからない場合を含む）は、専用の報告のフォームが案内されています。
• 自社の規程に合わせて直してください。 社内の報告の手順、責任者、連絡先を書き込んで使います。判断に迷うときは、弁護士などの専門家にご確認ください。
• このひな形は参考のための資料で、法律上の助言や、監査・評価・認証に代わるものではありません。特定の製品・サービス・会社をお勧めするものでもありません。