個人データ漏えい時の初動対応——報告・通知義務
2026-09-18
5秒でわかる結論
個人データ漏えい時の初動対応を解説。個人情報保護委員会への報告・本人通知義務（個人情報保護法26条）、報告対象4類型（要配慮・財産的被害・不正目的＝2024年4月からおそれ段階含む・1,000人超）、速報（概ね3〜5日）と確報（30日・不正目的60日）、証拠保全・委託元への報告義務の波及、命令違反の刑事罰と公表、平時の手順書・保険・演習まで。
一定の漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が法的義務です（個人情報保護法26条）。報告対象は、①要配慮個人情報、②財産的被害のおそれ、③不正の目的によるおそれ（2024年4月からウェブスキミング型等の「おそれ」段階を含む）、④1,000人超の4類型で、速報は把握後速やかに（概ね3〜5日以内）、確報は30日以内（不正目的型は60日以内）です。
初動と委託関係
- 遮断等の拡大防止、ログ等の証拠保全、対象データ・本人の特定を進めます。委託先で発生した漏えいは委託元にも報告義務が及ぶため、発覚当日の相互連絡が必要です。本人通知は、個別通知が困難な場合に公表＋問合せ窓口で代替する途があります。
懈怠の制裁と平時の備え
- 指導・勧告を経た命令への違反には刑事罰（1年以下の拘禁刑・100万円以下の罰金、法人は最高1億円の両罰）と公表があり、隠蔽は漏えい自体より致命的です。対応手順書、委託契約の通知条項、サイバー保険、机上演習を平時に整備します。
※ 本記事は一般的な法律情報であり、個別の案件に対する法的助言ではありません。実際の案件については必ず弁護士にご相談ください。本記事の内容は記事作成日（2026-09-18）時点の法令・判例に基づくものであり、その後の法改正等により変わることがあります。