個人情報保護委員会への漏えい等報告｜対象・期限・報告の流れ

民間企業の個人データについて、報告対象となる4つの条件に当たるかを確認しましょう。速報は速やかに概ね3〜5日以内、確報は発覚日から30日以内が案内されています。不正な目的で行われたおそれがある場合の確報は60日以内です。本人への通知も別に確認してください。

報告が必要になる4つの場合

個人情報保護委員会は、令和4年4月1日から、個人データの漏洩等が発生し、個人の権利利益を害するおそれがあるときに、報告と本人への通知が必要となることを案内しています。このページでは民間企業向けに、対象の確認と手続きを整理します。個人情報保護委員会『漏えい等報告・本人への通知の義務化について｜個人情報保護委員会』

委員会が示す報告対象の条件は、次の4つです。それぞれの条件に当たる個人データの漏洩等、またはそのおそれについて確認してください。

対象人数の条件だけを見て、ほかの条件の確認を終えないようにしましょう。整理用のメモでは、情報の種類、不正利用による被害のおそれ、不正な目的で行われたおそれ、人数を別々の項目にして確認する方法があります。不明な項目は不明として残し、何を確かめる必要があるかを書き添えてください。

このページの確認表に当てはめただけで、自社の判断をすべて終えようとする必要はありません。判断を迷う点は、出来事の概要と、どの条件について迷っているかを整理して、委員会の案内や相談窓口で確認しましょう。

委員会は、発覚したらまず速やかに報告するよう案内しています。速報については概ね3〜5日以内、確報については発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と示しています。個人情報保護委員会『漏えい等報告・本人への通知の義務化について｜個人情報保護委員会』個人情報保護委員会『漏えい等の対応とお役立ち資料』

作業の管理では発覚日と、速報・確報それぞれの準備状況を分けて記録しましょう。速報の提出について確認したことと、確報に向けて調査することを、一つの欄で「済み」としないようにします。期限の確認、内容の準備、提出状況の確認を別の項目にすると整理しやすくなります。

また30日と60日を任意に選ぶ形にはしないでください。不正な目的で行われたおそれがある場合という条件を、期限の確認と一緒に扱いましょう。社内で日時をメモする場合も、何を発覚日として把握しているのかが分かる説明を残す方法を検討してください。

調査中の項目と分かった項目を分け、誰が次に確認するかを決めておくと、準備状況を見直しやすくなります。記事に示した日数を読むことと、自社の報告対象・期限を確認することを別の作業として管理しましょう。

個人情報保護委員会の案内ページには、漏えい等報告フォームが用意されています。報告の準備をするときは同ページにあるフォームの選択案内を確認してください。自社の事案に使う報告先や入力内容が分からない場合は、案内を読み、質問したい項目を整理しましょう。個人情報保護委員会『漏えい等の対応とお役立ち資料』

漏洩等した情報にマイナンバーが含まれる場合、または含まれているか不明な場合については、特定個人情報の漏洩等の案内を確認してください。「不明」を、含まれていないことが確認できた状態として扱わず、案内に従ってフォームを選ぶようにしましょう。個人情報保護委員会『特定個人情報の漏えい等事案が発生した場合の対応について｜個人情報保護委員会』

準備のメモにはフォーム選択で確認したこと、内容について分からない項目、提出までに確認する担当を分けて残してください。報告方法の案内を見つけたことと、報告そのものを提出したことは別です。提出状況が分かる記録も、社内の管理項目として整理しましょう。

このページからは、個別の企業や業種について報告先を決めません。選択案内で判断がつかない場合は、自己判断で別の窓口に置き換えず、どの点について確認が必要かをまとめてください。フォームの入口を案内する記事として利用し、自社の状況を案内ページに照らして確認しましょう。

報告対象事態については、本人への通知も必要です。委員会は、事案の状況に応じて速やかに、概要、個人データの項目、原因などを、本人に分かりやすい方法で伝えるよう案内しています。個人情報保護委員会『漏えい等報告・本人への通知の義務化について｜個人情報保護委員会』

社内で使う略語や調査の言葉をそのまま並べるより、本人が何の情報についての連絡かを理解できる文章を検討しましょう。確認できていない原因を断定せず、事実を確認する担当と、案内文を確認する担当の作業を分けて整理してください。

本人への通知が困難な場合の代替措置も示されています。適用の要件は委員会の通則編で確認し、自社での公表を用意したことだけで、本人通知についての検討を終えないようにしましょう。個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会』

委員会の案内では、個人情報保護法相談ダイヤルが示されています。問い合わせの準備として、対象となる情報、事案の概要、発覚日、報告対象や通知について迷っている点を整理しておきましょう。個人情報保護委員会『漏えい等の対応とお役立ち資料』

最後に、対象の確認、速報、確報、フォームの選択、本人通知の五つを見直します。未確認の点は次の担当と確認事項を残し、企業としての初動全体は企業向けの対応ガイドで確認してください。