個人情報保護法の安全管理措置と漏えい報告義務を解説

個人情報を扱うすべての事業者にとって、押さえておくべき義務の中核は「安全管理措置」と「漏えい等の報告・通知」の二つです。前者は個人データの漏えい等を未然に防ぐ予防的措置、後者は万一の事態が発生した際の事後対応で、いずれも個人情報保護法第23条および同法第26条に定められています。

先日、令和8年改正個人情報保護法の概要を弁護士が解説する報道が公表され、事業者に求められる対応の見直しが改めて話題になっています。改正議論が動くタイミングだからこそ、現行制度で事業者に課されている義務を体系的に整理しておくことが重要です。本記事では、AI法令調査ツール「ことのり」で実際に検索した結果をもとに、安全管理措置の4類型と、漏えい等が起きた際の報告・通知の枠組みを整理します。

安全管理措置とは何か

個人情報保護法第23条は、個人情報取扱事業者に対し、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために「必要かつ適切な措置」を講じることを義務付けています。

この「必要かつ適切な措置」は、個人情報保護委員会のガイドライン（通則編）において、次の4つの類型で整理されています。

組織的安全管理措置

個人データの安全管理に関する組織体制の整備、取扱規程の策定と運用、責任者の設置、緊急時対応体制の整備、監査体制の整備などが該当します。

人的安全管理措置

従業員に対する個人データ取扱いの教育、秘密保持に関する契約の締結、従業員の監督などが含まれます。

物理的安全管理措置

個人データを取り扱う区域の管理、機器・電子媒体等の盗難防止、電子媒体持ち運び時の漏えい防止、個人データの削除および機器・電子媒体の廃棄などです。

技術的安全管理措置

アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止などが該当します。

これらは事業者の規模や取り扱う個人データの性質・量に応じて、実効性のある形で実施される必要があります。なお、行政機関の長等にも同様の安全管理措置義務が課されており（個人情報保護法第66条）、行政機関等から個人情報の取扱いの委託を受けた者にもこの規定が準用されます。

漏えい等が発生したときの報告義務

個人情報保護法第26条第1項は、個人データの漏えい、滅失、毀損等の事態のうち「個人の権利利益を害するおそれが大きいもの」が生じたときに、個人情報保護委員会への報告を義務付けています。

報告対象となる4つの事態

個人情報保護法施行規則第7条は、報告対象となる事態を次の4つに区分しています。

• 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（高度な暗号化等の措置を講じたものを除く）
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等が発生し、又は発生したおそれがある事態
• 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

速報と確報の2段階

個人情報保護法施行規則第8条は、報告を速報と確報の2段階で行うことを定めています。

速報は、事態を知った後速やかに、その時点で把握している範囲で行います。確報は、当該事態を知った日から30日以内（不正の目的をもって行われたおそれがある事態の場合は60日以内）に行い、次の事項を報告する必要があります。

• 概要
• 漏えい等が発生し、又は発生したおそれがある個人データの項目
• 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
• 原因
• 二次被害又はそのおそれの有無及びその内容
• 本人への対応の実施状況
• 公表の実施状況
• 再発防止のための措置
• その他参考となる事項

本人への通知義務と委託関係の取扱い

個人情報保護法第26条第2項は、報告義務が生じる事態が発生した場合、原則として本人に対し、当該事態が生じた旨を通知しなければならないと定めています。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要な代替措置をとるときは、この限りではありません。

また、個人情報取扱事業者が他の事業者から個人データの取扱いの全部又は一部の委託を受けている場合において、漏えい等が発生したときは、当該事態を委託元に通知したときには個人情報保護委員会への報告義務が免除されます（同条第1項ただし書）。委託関係にある場合の責任分担を確認しておくことが重要です。

行政機関等における報告義務

行政機関の長等も、保有個人情報の漏えい等が発生し、個人の権利利益を害するおそれが大きいと認められる場合には、個人情報保護委員会への報告義務と本人への通知義務を負います（個人情報保護法第68条）。報告対象事態の基準は同法施行規則第43条、報告内容・期限は同施行規則第44条に定められており、個人情報取扱事業者と類似の枠組みですが、本人の数の基準が「百人を超える」となっている点など、一部異なります。

委員会の監督権限

個人情報保護委員会は、漏えい等事案の報告を受け、必要に応じて事業者への指導・助言、勧告、命令、さらには関係者に対する報告徴収や立入検査を行う権限を有しています（個人情報保護法第146条）。事業者は、日常的な安全管理体制の整備と、有事の対応フローの整備を並行して行っておく必要があります。

なお、匿名加工情報を取り扱う事業者にも、安全管理のために必要かつ適切な措置を講じることや、取扱いに関する苦情処理その他適正な取扱いを確保するための措置を自ら講じ、その内容を公表するよう努める義務が課されています（個人情報保護法第46条）。

実務で押さえたい観点

「必要かつ適切な措置」は抽象的な概念であり、自社の規模・業種・取り扱う個人データの特性に応じたリスクアセスメントに基づいて具体化する必要があります。個人情報保護委員会のガイドライン（通則編）や、漏えい等の対応とお役立ち資料、漏えい等報告の義務化に関する資料を参照しつつ、自社の状況に合わせた運用と定期的な見直しを行うことが望まれます。

また、漏えい等の事態は、サイバー攻撃だけでなく、誤送信や紛失といったヒューマンエラーによっても発生します。事態を早期に発見し被害の拡大を防止するための体制、いわゆるインシデントレスポンス計画を整備しておくことが重要です。委託先で発生した漏えい等についても委託元である事業者の責任が問われる可能性があるため、契約内容の明確化と定期的な監督も欠かせません。

よくある質問

安全管理措置には具体的にどのような区分がありますか

個人情報保護委員会のガイドライン（通則編）では、組織的・人的・物理的・技術的の4類型に整理されています。組織体制の整備や取扱規程の策定、従業員教育、区域管理や機器の盗難防止、アクセス制御や不正アクセス防止など、多層的に対応することが想定されています。

本人の数が千人を超えなければ報告は不要ですか

いいえ、必ずしもそうではありません。個人情報保護法施行規則第7条は、本人の数のほかに、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合も報告対象事態として定めています。これらのいずれかに該当すれば、本人の数にかかわらず報告義務が生じます。

確報はいつまでに行う必要がありますか

個人情報保護法施行規則第8条により、当該事態を知った日から30日以内に確報を行う必要があります。ただし、不正の目的をもって行われたおそれがある事態については、60日以内とされています。確報では、概要・データ項目・本人の数・原因・二次被害・本人対応・公表状況・再発防止措置などを報告します。

※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。