漏えい等報告の件数と報告事由別の内訳（令和7年度の公表データ）

令和7年度（2025年4月から2026年3月まで）に、民間の事業者から報告された個人データの漏えい等は17,139件でした。この件数を、報告が必要な4つの場合と四半期に分けて並べ、令和8年改正で見直しが検討されている点とどう関わるかを整理します。

1. 令和7年度の漏えい等報告の件数（民間の事業者）

年次報告によると、令和7年度に委員会が処理した漏えい等の報告は17,139件です。委員会へ直接報告されたものが13,345件、委員会の権限を委任された事業所管の省庁を経由したものが3,794件でした。

右端は、令和6年度の年間件数を4で割った値です。第1四半期はこれを上回り、第2から第4四半期は下回りました。第1四半期が多いのは、主に省庁経由の件数が他の四半期の約1.5倍から2倍以上あったためです。

件数の数え方には注意が必要です。個人データの取扱いを委託している場合、原則として委託元と委託先の両方に報告の義務があるため、同じ事故が両者から報告されて2件と数えられることがあります。省庁経由の件数も、同じ事故について複数の省庁へ報告された場合は、それぞれ数えられます。

2. 報告事由別（報告が必要な4つの場合）の件数

現行の規則は、次の4つのうち1つでも当てはまる漏えい等（漏えいのおそれを含む）を、委員会への報告が必要な事態としています。委員会の資料は、この4つ（規則では第1号から第4号）ごとに件数を示しています。

1つの事故が複数の場合に当たることがあるため、割合を足すと100%を超えます。4行の件数を足しても、第1節の報告件数とは一致しません。

年次報告の付表は、年間の件数を次のように示しています（17,139件に対する割合）。1号が10,603件（61.9%）、3号が3,822件（22.3%）、2号が3,525件（20.6%）、4号が883件（5.2%）です。四半期の件数を足した値と一致します。

4号の「本人の数」の数え方（現行ガイドラインの定め）

4号の1,000人は、報告した事業者が取り扱う個人データのうち、漏えいやそのおそれがある個人データに係る本人の数で数えます。個人情報保護委員会のガイドライン（通則編）が、次の3つの場面を示しています。

同じ人のデータが複数あるときの数え方は、この箇所には書かれていません。令和8年改正に合わせたガイドラインの見直しは、まだ決まっていません。

3. 年次報告が示す人数・情報の種類・原因別の件数

年次報告の付表には、漏えい等をした人数、情報の種類、情報の形態、原因が載っています。人数は17,139件が対象です。情報の種類、形態、原因は、委員会に直接報告された13,345件が対象で、省庁経由の分は含みません。

• 人数は、1,000人以下が16,043件（93.6%）で最も多く、1,001人から10,000人が561件（3.3%）、10,001人から50,000人が181件（1.0%）、50,001人以上が121件（0.7%）、不明が233件（1.4%）です。
• 情報の種類は、顧客情報が11,197件（83.9%）、従業員情報が985件（7.4%）、その他の情報が1,777件（13.3%）です。1つの事案で複数の種類が漏えいした場合は、すべて数えられています。
• 情報の形態は、紙媒体のみが10,263件（76.9%）、電子媒体のみが1,995件（15.0%）、電子と紙の両方が70件（0.5%）、その他が1,017件（7.6%）です。

原因は、漏えい等が起きた場所（報告した事業者自身、その委託先、不明）ごとに、次のとおり示されています。

「その他の原因」は、誤廃棄、盗難、内部不正、その他の原因を足した値です。誤交付は13,345件の48.3%、誤送付は26.0%で（いずれも本サイトの計算）、2つを合わせると約4分の3を占めます。第4四半期の資料も、1号に当たる報告の大半は病院や薬局での誤交付だと述べています。人数の多い事故よりも、少人数の誤交付・誤送付が件数の中心にある、というのが公表データから読み取れる傾向です。

2026-10-07の委員会の注意喚起（大規模な漏えい等事案）

委員会は2026年10月7日、国民に広く普及したサービスなど大量の個人情報を扱う事業者が外部からの不正アクセスを受け、大量の個人データが漏えいした（またはそのおそれが生じた）事案を踏まえ、個人情報取扱事業者あてに注意喚起を公表しました。上の件数表の「不正アクセス」に当たる事案への対応を示すものです。公表資料の要点は次のとおりです。

• 安全管理措置（法第23条）のうち、通則編ガイドライン別添で「講じなければならない措置」に従わないと法違反と判断される可能性があります。「手法の例示」は例であり、すべてを講じなければ直ちに違反という位置づけではありません。
• 別添の「手法の例示」は現代化を含む見直しを予定していて、確定は2027年4月の予定です。今回は、外部からの不正アクセスに関わる技術的安全管理措置について、見直し後の内容を先取りして示しています（確定した改正ではありません）。
• 先取りして示された例には、組織外からのアクセス・管理者権限でのアクセス・重要な個人データへのアクセスでの多要素認証（フィッシングに耐性のあるものを含む）、組織が許可したデバイスからのみのアクセス許可、常時監視による早期検知（IDS/IPS、EDRなど）、被害が出た場合のシステムの停止・隔離やアカウントの無効化があります。
• 法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。消去が徹底されず被害が深刻化した事例があるとして、保管している個人データの必要性を法令上の根拠とともに確認するよう求めています（法令で保存期間が定められている場合は除く）。
• 委員会は、漏えい等報告の分析にもとづく「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」を2026年10月7日に改訂しています。

メールシステムから利用者のIDとパスワードが漏えいした事案に対して委員会が指摘した点と求めた対応は、メール漏えいの指導事例（令和8年8月19日公表）で公表資料の範囲で整理しています。

これは個別の事案への判断ではなく、委員会が示した注意喚起の整理です。自社の措置が足りているかどうかは、公表資料の原文と顧問弁護士・委員会への確認で判断してください。

4. 令和8年改正の見直し案と、この数字の関係

現行の制度では、報告は2段階です。事態を知った後すぐに、その時点で分かっている内容を報告します（速報）。その後、事態を知った日から30日以内（3号は60日以内）に、残りの事項を報告します（確報）。

令和8年改正では、漏えい等報告と本人への通知の範囲や方法を、委員会規則で見直すことになっています。委員会事務局は2026年10月1日に、規則の案として6つの論点を示しました。上の数字との関係は、次のとおりです。

案の詳しい内容は漏えい等報告・本人通知の規則整備の6論点で整理しています。いずれも検討のたたき台で、委員会の決定でも、公布された規則でもありません。

改正法の本体部分の施行日は、原則として、公布の日（2026年7月17日）から2年を超えない範囲で政令が定める日です。それまでの実際の対応は、現行の規則に従います。

5. 自社の記録と照らすときの観点

個別の判断はできませんが、公表データを見るときに使える観点は示せます。

1. 自社で過去に起きた誤送付・誤交付などを、本人の数と上の4つの場合で並べ直す。案が本人の数で区別しているためです。
2. 速報と確報の期限を、社内の手順で確認する。期限は第4節に書いたとおりです。
3. 個人データの取扱いを委託しているなら、委託先との連絡の流れを確認する。委託元と委託先の両方に報告の義務があるのが原則です。契約の論点は委託契約に定める事項の3論点にあります。
4. 最終的な判断は、顧問弁護士や個人情報保護委員会に確認する。

たとえばこういう場面（仮想の事業者を仮定した確認の例）

以下は、実在しない事業者を仮定した例です。報告が必要かどうかの結論は示しません。

仮定: 通販会社が、顧客約300人分の注文履歴（クレジットカード番号は含まない）を、メールの誤送付で別の顧客に見せてしまった。後日の調査で、同じ設定ミスにより他の約900人分の氏名・住所も画面で見られる状態だったと分かった。

仮想の通販会社に報告が必要な4つの場合を当てはめる手順（結論は出しません）

確認する点	この例で見ること	現行の規則・ガイドラインの定め
1号 要配慮個人情報	見られた情報に、病歴などの要配慮個人情報が含まれていないか	含まれていれば1号に当たりうる
2号 財産的な被害のおそれ	不正に利用されると財産的な被害が生じるおそれのある情報が含まれていないか	この例では注文履歴が中心。含まれる情報の種類で変わる
3号 不正の目的のおそれ	誤送付と設定ミスの原因に、外部からの不正な行為が関わっていないか	不正アクセスなど、不正の目的をもって行われたおそれがある場合が対象
4号 本人の数が1,000人を超える	当初は約300人だったが、調査で約900人が加わった。合計は約1,200人になるか、重なる人はいないか	当初は1,000人以下でも、調べるうちに増えて1,000人を超えた時点で4号に当たる。同じ人のデータが複数あるときの数え方は、この箇所には書かれていない

この例から言えるのは、事故の発覚後に人数が増えたときは、増えた時点で4号を見直す必要があるということです。報告の要否と期限は、顧問弁護士または個人情報保護委員会にご確認ください（確認日 2026-10-09。根拠は上の第2節と、ガイドライン通則編の定め）。

漏えい等が起きたときの流れと、各段階を読むページ

手順の順番は、このサイトの各ページに書いてある内容を並べ替えたものです。新しい解釈は加えていません。令和8年改正で規則が見直される案は出ていますが決定ではなく、それまでは現行の規則に従います（確認日 2026-10-09）。

漏えい等が起きたときの4段階

段階	内容	読むページ
1. 気づく	漏えい等の事態を把握し、委員会への報告が必要な4つの場合に当たるかを確かめる	報告が必要な4つの場合ごとの件数
2. 委員会へ報告する	事態を知った後すぐに速報、事態を知った日から30日以内（3号は60日以内）に確報を報告する	報告の規則整備の6論点（速報免除・確報の取りまとめの案）
3. 本人へ通知する	本人への通知。令和8年改正で通知が不要になる場合の要件が規則で定められる予定（未確定）	本人通知が不要になる場合の要件
4. 再発を防ぐ	再発防止策を講じる。事務局案は、速報免除の前提となる体制・手順の例に、再発防止策を講じる手順を挙げている	6つの論点と事務局の案（論点2）

6. よくある質問

Q1. 令和7年度の漏えい等報告は何件でしたか。

民間の事業者（個人情報取扱事業者）からの報告として、委員会が処理したのは17,139件です。委員会へ直接報告されたものが13,345件、事業所管の省庁を経由したものが3,794件でした。同じ事故が委託元と委託先の両方から報告されると2件と数えられることがあります（出典 S-48・確認日 2026-10-04）。

Q2. 委員会への報告が必要なのは、どんな場合ですか。

現行の規則は、4つのうち1つでも当てはまる漏えい等（漏えいのおそれを含む）を報告が必要としています。1号は要配慮個人情報を含む場合、2号は不正に利用されると財産的な被害が生じるおそれがある場合、3号は不正の目的をもって行われたおそれがある場合、4号は本人の数が1,000人を超える場合です（出典 S-50・確認日 2026-10-04）。

Q3. 報告の期限はいつまでですか。

報告は2段階です。事態を知った後すぐに、その時点で分かっている内容を速報として報告します。その後、事態を知った日から30日以内（3号は60日以内）に、残りの事項を確報として報告します。令和8年改正で規則が見直される案は出ていますが、決定ではなく、それまでは現行の規則に従います（出典 S-50・S-42）。個別の事案の対応は、顧問弁護士や個人情報保護委員会にご確認ください。

出典

• S-48個人情報保護委員会「令和7年度年次報告」（PDF版の付表2を含む。確認日 2026-10-04）
• S-49個人情報保護委員会「令和7年度第4四半期における漏えい等報告の処理状況」（第359回会合資料、2026-06-10。確認日 2026-10-04）
• S-50e-Gov法令検索「個人情報の保護に関する法律施行規則」（報告が必要な事態と報告の期限。確認日 2026-10-04）
• S-56個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（3-5-3-1 報告対象事態。4号の本人の数の数え方。確認日 2026-10-06）
• S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026-10-01公表・確認日 2026-10-02）
• S-11個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の概要」（施行期日。確認日 2026-09-04）
• S-64個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日公表。本文と別紙の技術的安全管理措置を確認）