中小企業の個人情報漏えい報告・通知義務ガイド｜改正個人情報保護法の報告期限・手順と社内体制の整え方

中小企業のお客様から「メールの誤送信が発覚した。どこに何を報告すればいい？」「不正アクセスで顧客データが漏れたかもしれない。まず何をすべきか」というご相談が増えています。

情報漏えいが起きたときの初動は時間との勝負です。2022年4月施行の改正個人情報保護法で、一定の漏えい等が発生した場合の個人情報保護委員会（PPC）への報告と本人通知が法的義務となりました。対応が遅れると行政指導・勧告・命令・過料のリスクが生じます。

この記事では、従業員10～100名規模の中小企業の経営者・総務担当者向けに、①報告義務が発生する4つのケース、②PPCへの報告手順と期限、③本人通知の進め方、④事前に整えておくべき社内体制を、実践的に解説します。

改正個人情報保護法で新設された「漏えい等報告義務」とは

2022年4月以前、個人情報漏えいの報告は「努力義務」（やった方が望ましい）にとどまっていました。改正後は、後述の4つの要件のいずれかに該当する漏えい等が発生した場合、個人情報保護委員会（PPC）への報告と本人への通知が法的義務となっています（個人情報保護法第26条）。

「中小企業だから対象外では？」というご質問をよくいただきますが、個人情報保護法は企業規模を問わず適用されます。違反した場合の主なリスクは次のとおりです。

・行政指導・勧告・命令: PPCから是正を求める指導が入り、公表される場合があります
・過料: 委員会の命令に違反した場合、法人に最大1億円の過料が科される可能性があります
・風評被害・取引先への影響: 対応の遅れや不適切な通知は顧客・取引先からの信頼を大きく損ないます

報告義務が発生する4つのケース

すべての情報漏えいが報告対象になるわけではありません。次の4つのケースに該当する場合に、報告・通知の義務が生じます。

件数が少なくても要注意なのがケース①と②です。たとえば健康診断の結果を1名分だけ誤送信してしまった場合でも、要配慮個人情報に当たるため報告義務が生じます。

一方、報告義務が生じないケースの例としては、自社従業員の氏名・メールアドレスのみが含まれる資料を社内の別の従業員に誤送信したケース（要配慮情報や財産情報を含まず、件数が999件以下かつ不正目的でもない場合）があります。ただし「対象外」と自己判断するのはリスクがあります。判断に迷う場合は、PPCや弁護士に相談することを推奨します。

既存のセキュリティインシデント対応ガイドと組み合わせて、自社の対応フローを整備するのが効果的です。

個人情報保護委員会（PPC）への報告手順

報告は「速報」と「確報」の2段階で行います。

1. 速報：発覚後できるだけ早く（目安3～5日以内）

漏えいの事実を把握したら、まず速報を提出します。この時点では調査が完了していなくても構いません。「まだ全容がわかっていないから」と報告を先送りにするのが最も危険なパターンです。

速報の主な記載内容:

・漏えいが疑われる事態の概要（いつ・何が・どのように）
・現時点で把握している被害の範囲（件数・情報の種類）
・現在の対応状況
・今後の調査・対応の予定

報告はPPC公式ウェブサイト上の電子申請フォームから行います。書面（郵送）での報告も受け付けていますが、期限厳守のため電子申請が現実的です。

2. 確報：速報から30日以内（一部60日以内）

全容が判明したら確報を提出します。期限は、漏えいを知った日から30日以内が基本です。ただし、不正アクセスなど外部からの悪意ある行為が疑われる場合（ケース③）は60日以内に延長されます。

確報に必要な主な記載内容:

・漏えいの原因・経緯の詳細
・漏えいした個人データの種類・件数（確定値）
・被害の拡大可能性と二次被害の状況
・本人通知の実施状況
・再発防止策の内容

本人への通知手順

PPCへの報告とあわせて、漏えいした個人データの本人への通知も義務です。「速やかに」行うことが求められます（法的期限は確報と同じ30日または60日以内ですが、できる限り早期の通知が推奨されます）。

通知すべき主な内容:

・発生した事態の概要
・漏えいした個人データの項目
・原因・経緯
・今後の対応（再発防止策）
・問い合わせ先（担当窓口の連絡先）

通知の方法は個別メールまたは書面（郵送）が原則です。ただし、本人の連絡先が不明・多数で個別通知が困難な場合は、自社ウェブサイトでの公表（お知らせ掲載）が代替措置として認められています。

委託先（外部業者）が起こした漏えいでも、委託元（自社）が報告・通知の義務を負います。「委託先のミスだから自社は関係ない」という理解は誤りです。外部委託先との契約書に通報義務条項を盛り込んでおくことが不可欠です。外部委託先の管理については外部委託先セキュリティ管理ガイドで詳しく解説しています。

事前に整えておくべき社内体制（4ステップ）

漏えいが起きてから慌てて動いても、3～5日の速報期限に間に合わないことがほとんどです。以下の4つを事前に整えておきましょう。

1. 漏えい対応担当者と上申ラインの明確化

「誰が最初に受ける？誰に報告する？経営者にはいつ伝わる？」というラインを文書で決めておきます。担当者が休暇・不在のときの代理も含めて明記するのがポイントです。目安として、発覚から経営者への報告まで当日中というルールを設けると、速報の期限に間に合いやすくなります。

2. インシデント対応フローの文書化

「①発見 → ②担当者に連絡 → ③初期確認（対象件数・情報種別の確認）→ ④経営者承認 → ⑤速報提出 → ⑥継続調査 → ⑦確報・本人通知」という流れをA4一枚のフローチャートにまとめておくだけで、有事の動きが大きく変わります。個人情報保護法全体の対応ルール整備については個人情報保護法対応ガイドもあわせてご覧ください。

3. 外部委託先との契約書への通報条項追加

委託先で漏えいが起きた際に「速やかに委託元へ通報する義務」を契約に明記します。委託先からの報告を受けてから速報まで3～5日しかないため、委託先通報 → 自社受理 → 即日アクションという流れを契約で担保しておかないと、速報期限を守れないリスクがあります。

4. 年1回のシミュレーション訓練

「もし今日、顧客のメールアドレス2,000件が入ったファイルを誤送信したら？」という想定で、担当者・経営者が集まって対応フローを実際に歩んでみる訓練を年1回行います。15分～30分でも実施するだけで対応スピードと判断精度が格段に上がります。

よくある3つの失敗と回避策

失敗①：「たぶん大丈夫」で報告を見送る
「件数が少ないから報告しなくていいだろう」と判断して、後から要配慮情報が含まれていたことが発覚するケースがあります。「報告しないと決める前に必ず要件を確認する」を徹底してください。要配慮個人情報が1件でも含まれていれば報告義務が生じます。判断に迷ったらPPCの相談窓口に問い合わせるのが確実です。

失敗②：確報のクオリティにこだわって速報が遅れる
「完璧な報告書を作ってから速報を出したい」と思うあまり、速報の提出が1週間以上遅れるケースがあります。速報は未確定でも「現時点でわかっていること」を出せばよいものです。完璧を求めず、まず速報を出すことを最優先にしてください。

失敗③：委託先まかせで自社は傍観
クラウドサービスや外注先で漏えいが起きたとき、「委託先が対応するから」と自社は何もしないケースがあります。しかしPPCへの報告義務は委託元（自社）にあります。委託先からの通報を受けたら、自社として速やかに対応を開始してください。

本記事のまとめ

改正個人情報保護法による漏えい等報告義務のポイントをまとめます。

・報告義務が発生する4つのケース（要配慮情報・財産情報・不正アクセス・1,000件超）を把握する
・速報は発覚後3～5日を目安に、確報は30日以内（不正アクセス等は60日以内）にPPCへ提出する
・PPCへの報告と並行して、本人への通知も速やかに行う
・委託先の漏えいでも自社が報告義務を負うため、委託先との契約書整備が不可欠
・事前にフロー文書化・担当者設置・年1回の訓練を整えておくことで、有事の対応速度が大きく変わる

情報漏えいは「起きたら終わり」ではなく、「適切に対応できるかどうか」で信頼が守れるかどうかが決まります。今日からできる準備を一つずつ進めていきましょう。

情報漏えいリスクの全体像については、中小企業の情報漏えい防止ガイドもあわせてご一読ください。