顧客情報が漏れたら報告義務？個人情報保護法26条を条文で解説

顧客名簿の入ったパソコンが見当たらない。メールの宛先を間違えて一斉送信してしまった。こうした事態が起きたとき、真っ先に頭に浮かぶのは「これは届け出が必要なのか」という問いだと思います。

結論から言うと、すべての漏えいに報告義務があるわけではありません。個人情報保護法第26条は、報告が必要な事態を「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」に限っており、その中身は同法施行規則第7条が4つの類型として具体的に列挙しています。この記事では、ことのりで実際に検索した結果と条文をもとに、どの漏えいが対象か・いつまでに・どこへ・何を報告するのかを順に整理します。

報告が必要になるのは4つの類型（施行規則第7条）

個人情報保護法第26条第1項は、次のように定めています。

第二十六条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

ここで言う「個人情報保護委員会規則で定めるもの」の中身が、個人情報の保護に関する法律施行規則第7条です。今回の調査では、条文本体が次の4類型を挙げていることを確認できました。

第七条　法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一　要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二　不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三　不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四　個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

実務で押さえておきたいのは、4つの類型のいずれか1つに当たれば対象になるということです。「千人を超える」という第4号の数字が知られているためか、規模が小さければ報告不要と考えられがちですが、そうではありません。第1号から第3号には人数の要件がなく、1件でも該当し得ます。

もう1つ重要なのが、4類型のすべてに共通する「発生し、又は発生したおそれがある事態」という書きぶりです。漏えいの事実が確定していなくても、おそれの段階で報告の対象になります。「調査中だから、はっきりしてから報告しよう」という進め方は、条文の想定とずれている可能性があります。

それぞれの類型が想定している場面

今回の調査結果では、各号について次のように整理されています。

• 第1号（要配慮個人情報）…人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害に関する情報など、不当な差別や偏見が生じ得る情報が含まれる場合です。ただし括弧書きにあるとおり、高度な暗号化その他の必要な措置を講じたものは除かれます
• 第2号（財産的被害のおそれ）…不正に利用されると財産的被害が生じるおそれがある個人データの場合です
• 第3号（不正の目的）…事業者に対する不正の目的をもって行われたおそれがある行為による場合です。条文の括弧書きにあるとおり、まだ個人データになっていない取得中の個人情報も含まれる点が特徴です
• 第4号（千人超）…本人の数が千人を超える場合です

期限は二段階：速報と確報（施行規則第8条）

報告は一度で終わりではありません。施行規則第8条が、速報と確報の二段階を定めています。

第八条　個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

条文上、速報の期限は「速やかに」であり、日数は書かれていません。ただし今回の調査結果では、個人情報保護委員会が公表資料のなかで実務上の目安としておおむね3〜5日以内としていることが確認できました。条文の文言と、委員会が示す運用上の目安は分けて理解しておくのが安全です。

確報の期限は、当該事態を知った日から30日以内です。ただし施行規則第7条第3号の不正の目的をもって行われたおそれがある行為による場合は60日以内とされています。外部からの攻撃が疑われるケースは調査に時間がかかるため、期間が長く設定されているという整理になります。

起算点は「当該事態を知った日」です。今回の調査結果では、個人情報保護委員会のQ&Aにおいて、事業者のいずれかの部署がその事態を知った時点が基準になると示されています。現場が気づいた日と、経営層に報告が上がった日がずれる場合、前者から数え始めるという理解になります。

報告する内容（施行規則第8条第1項各号）

速報・確報のいずれも、施行規則第8条第1項が定める次の事項を報告します。速報の段階では、条文の括弧書きにあるとおり「報告をしようとする時点において把握しているものに限る」ため、分からない項目があっても報告を遅らせる必要はありません。

1. 概要
2. 漏えい等が発生し、又は発生したおそれがある個人データの項目
3. 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
4. 原因
5. 二次被害又はそのおそれの有無及びその内容
6. 本人への対応の実施状況
7. 公表の実施状況
8. 再発防止のための措置
9. その他参考となる事項

報告の方法は、原則として個人情報保護委員会の電子情報処理組織（オンラインシステム）を使用する方法です。今回の調査結果では、電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合などには、別記様式第一による報告書を提出する方法も認められると整理されています。

本人への通知も並行して必要（法第26条2項・施行規則第10条）

委員会への報告と並行して、本人への通知義務も生じます。法第26条第2項がこれを定めており、通知すべき事項は施行規則第10条にあります。

第十条　個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

ここで引用されている号を第8条第1項に当てはめると、本人に伝えるのは概要（第1号）、漏えい等が発生した個人データの項目（第2号）、原因（第4号）、二次被害又はそのおそれの有無及びその内容（第5号）、その他参考となる事項（第9号）の5つです。委員会への報告事項に含まれる「本人の数」「公表の実施状況」などは、本人向けの通知事項からは外れている、という関係になります。

連絡先が分からないなどの理由で通知が難しい場合については、法第26条第2項にただし書があります。本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとされています。今回の調査結果では、代替措置の例として事案の公表や問い合わせ窓口の設置が挙げられています。「連絡できないので何もしない」ではなく、代わりの手当てが求められる点が要点です。

委託先で起きた場合はどうなるか

外注先のシステムから顧客データが漏れた、というケースもあります。法第26条第1項には、この場合のただし書が置かれています。今回の調査結果によれば、個人データの取扱いの全部または一部の委託を受けた事業者が、委員会規則で定めるところにより当該事態が生じた旨を委託元の個人情報取扱事業者または行政機関等に通知したときは、その事業者（委託先）自身の委員会への報告は要しないとされています。

ただしこれは、報告義務が消えるのではなく、委託元に集約される仕組みだと理解するのが実務的です。委託元の側は報告義務を負う可能性があるため、委託先からの連絡が遅れると、委託元の30日／60日の期限に影響します。業務委託契約を結ぶ段階で、事故発生時の連絡ルートと社内期限を決めておくことをおすすめします。

事前に決めておきたい4つのこと

1. 「知った」を誰の認識で数えるかを決める。起算点はいずれかの部署が事態を知った時点とされています。現場が気づいたときに即座に上がる連絡ルートがないと、期限のカウントだけが進みます
2. 自社データが第1号・第2号に当たるかを棚卸ししておく。健康情報を扱っていれば第1号、決済情報を扱っていれば第2号に触れる可能性があります。人数にかかわらず対象になり得るため、事前の把握が効きます
3. 速報のドラフトを用意しておく。速報は「把握しているものに限る」記載でよいので、9項目の枠だけ作っておけば、当日に埋めるだけで出せます
4. 本人への通知文と、通知できない場合の代替措置を先に決めておく。通知事項は施行規則第10条で5項目に絞られています。公表文と問い合わせ窓口の体制まで含めて用意しておくと、判断に迷う時間を減らせます

なお、自社の事案がどの類型に当たるか、暗号化の水準が第1号の括弧書きの「高度な暗号化その他の個人の権利利益を保護するために必要な措置」に該当するかといった具体的な当てはめは、個別性が高い部分です。判断に迷う場合は、個人情報保護委員会または弁護士などの専門家にご確認ください。

よくある質問

Q. 顧客情報が漏れたら、必ず個人情報保護委員会に報告しなければなりませんか？

すべての漏えいが報告対象になるわけではありません。個人情報保護法第26条第1項は「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」が生じたときに報告義務を課しており、その中身は同法施行規則第7条が4つの類型として定めています。要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合、本人の数が千人を超える場合のいずれかに当たるときが対象です。条文はいずれも「発生し、又は発生したおそれがある事態」と書いており、漏えいが確定していなくても、おそれの段階で対象になる点に注意が必要です。

Q. 報告の期限は何日以内ですか？

個人情報の保護に関する法律施行規則第8条により、報告は速報と確報の二段階です。速報は施行規則第7条各号の事態を知った後「速やかに」行うもので、条文には日数が書かれていません。個人情報保護委員会は公表資料のなかで、実務上の目安としておおむね3〜5日以内としています。確報は事態を知った日から30日以内、施行規則第7条第3号の不正の目的をもって行われたおそれがある行為による場合は60日以内です。

Q. 本人への連絡も必要ですか。連絡先が分からない場合はどうなりますか？

個人情報保護法第26条第2項が本人への通知義務を定めており、委員会への報告義務が生じる事態では本人通知も並行して必要になります。通知すべき事項は施行規則第10条が定めており、施行規則第8条第1項の第1号（概要）、第2号（漏えい等が発生した個人データの項目）、第4号（原因）、第5号（二次被害またはそのおそれの有無および内容）、第9号（その他参考となる事項）です。第26条第2項にはただし書があり、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは通知を要しないとされています。今回の調査結果では、代替措置の例として事案の公表や問い合わせ窓口の設置が挙げられています。

Q. 委託先で漏えいが起きた場合、報告するのは委託元と委託先のどちらですか？

個人情報保護法第26条第1項にはただし書があり、個人データの取扱いの委託を受けた事業者が、委員会規則で定めるところにより当該事態が生じた旨を委託元の個人情報取扱事業者または行政機関等に通知したときは、委託先自身の委員会への報告は要しないとされています。ただしこれは委託先の報告義務が委託元へ移る仕組みであり、漏えいの事実がなくなるわけではありません。委託元の側は報告義務を負う可能性があるため、契約段階で事故発生時の連絡ルートと期限を決めておくことが実務上重要になります。

本記事はAIによる調査支援を活用して作成した参考情報です。最終的な判断は一次情報および専門家にご確認ください。