報告を要しない場合の3区分と場面別の入口

現行法で委員会への報告を要しない場合は3つに分けて読めます。あわせて、メールの誤送信・不正アクセス・委託先のシステムの3場面で、報告と本人通知の入口がどこにあるかを並べます。令和8年改正の本人通知の緩和・速報免除の範囲は本人通知の緩和と代替措置に、よくある質問も同ページにあります。

報告を要しない場合の整理（現行法で決まっていることと改正で未確定のこと）

「個人情報保護委員会への報告を要しない場合」は、現行の条文では次の3つに分けて読めます。個別の事案がどれに当たるかは、条文と委員会の資料に照らした最終的な判断が必要です。

• 規則第7条の事態に当たらない場合: 法第26条第1項本文の報告は、個人の権利利益を害するおそれが大きいものとして規則で定める事態に限られます。規則第7条は、要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が千人を超える場合の4つを挙げています。
• 「高度な暗号化その他の措置を講じたもの」の漏えい: 規則第7条第1号は、要配慮個人情報が含まれる個人データから、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除いています。除かれる措置の程度は、条文だけでは決まらず、委員会のガイドライン等で確認する必要があります。
• 委託先から委託元へ通知した場合: 法第26条第1項ただし書は、他の個人情報取扱事業者から個人データの取扱いの委託を受けた事業者が、規則で定めるところにより委託元へ事態を通知したときは、委員会への報告を要しないとしています。この場合は本人への通知義務（同条第2項）も、通知をした委託先には課されません。

令和8年改正で変わるのは、報告そのものを要しなくなる範囲ではなく、本人通知を代替措置で足りるとする範囲と、速報の免除・確報の取りまとめです（上の2の(1)と(2)）。これらの具体的な範囲は規則で定められるため未確定で、「報告を要しない場合」が広がると決まったわけではありません。違法な第三者提供は、報告対象に加える方向が示されていますが、対象範囲は未確定です。

場面別に見る、報告と本人通知が問題になる入口（現行法）

相談の多い3つの場面について、現行の規則第7条とガイドラインで、委員会への報告の入口がどこにあるかを並べました。ここでの整理は一般的な読み方で、個別の事案が報告対象事態に当たるかの結論ではありません。

出典: 施行規則第7条・第9条、法第26条（2026年10月25日にe-Govの条文で確認）、個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月25日確認）、通則ガイドライン3-5-3-2。自社の事案が当たるかの最終的な判断は、顧問弁護士または個人情報保護委員会にご確認ください。

続きと関連ページ

• 本人通知の緩和と代替措置（規則は未確定）: 早見表、速報・確報の期限、本人通知の項目、よくある質問
• 報告・通知の6つの論点: 事務局資料の論点と案
• 漏えい等報告の件数と内訳: 令和7年度の報告事由別の件数
• 委託先の個人データ取扱い: 委託先の規律の全体