個人データの漏えいが起きたときの、委員会への報告（速報・確報）と本人への通知について、どの場合に負担を軽くするかは委員会規則で決まります。事務局が2026年10月1日に示した6つの論点と、それぞれの案を、決まったこと・案の段階・未確定に分けて整理します。
1. 現行の規則と、今回見直す点
漏えい等の報告そのものは、現行法にも規定があります。現行の規則は、次の4つのいずれかに当たる事態を、報告が必要な事態としています。
- 要配慮個人情報が含まれる個人データの漏えい等（高度な暗号化などの措置を講じたものを除く）
- 不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等
- 不正の目的をもって行われたおそれがある、自社に対する行為による個人データの漏えい等
- 本人の数が1,000人を超える漏えい等
報告は2段階です。事態を知った後すぐに、その時点で分かっている内容を報告し（速報）、事態を知った日から30日以内に、残りの事項を報告します（確報）。3つ目の、不正の目的による場合だけは確報の期限が60日以内です。
本人への通知は、現行法では、通知が困難な場合を除き、一律に必要です。今回の改正は、このうち本人通知の義務を緩めるものです。報告の対象や方法は、既に現行の規則にあるため、改正にあわせて規則を見直すと事務局は説明しています。
制度の全体像と施行時期は本人通知が不要になる場合の要件にまとめています。
現行の規則が定める報告事項（速報と確報で同じ9項目）
委員会へ報告する事項は、現行の施行規則に次の9項目が並んでいます（2026年10月15日にe-Govの条文で確認）。速報と確報で項目が分かれているわけではなく、同じ9項目を、速報では「報告しようとする時点で把握しているもの」だけ、確報では30日以内（不正の目的による場合は60日以内）に改めて報告します。
| 報告事項 | 委員会への報告 | 本人への通知 | 委託元などへの通知 |
|---|---|---|---|
| 概要 | 対象 | 対象 | 対象 |
| 漏えい等が発生し、又は発生したおそれがある個人データの項目 | 対象 | 対象 | 対象 |
| 本人の数 | 対象 | 規則上の通知項目に無い | 対象 |
| 原因 | 対象 | 対象 | 対象 |
| 二次被害又はそのおそれの有無及びその内容 | 対象 | 対象 | 対象 |
| 本人への対応の実施状況 | 対象 | 規則上の通知項目に無い | 対象 |
| 公表の実施状況 | 対象 | 規則上の通知項目に無い | 対象 |
| 再発防止のための措置 | 対象 | 規則上の通知項目に無い | 対象 |
| その他参考となる事項 | 対象 | 対象 | 対象 |
報告の方法は、原則として委員会のインターネット上の仕組みを使う方法で、障害や災害などで使えない場合に限り規則の別記様式第一の報告書を出します。この節は現行の規則の内容で、今回の改正で変わる点は次の2節以降にある案の段階のものです。委員会の報告画面の入力欄の並びや記入例は今回確認していないため、実際の入力は委員会の案内で確かめてください。個別の事案がどれに当たるかは、顧問弁護士または委員会にご確認ください。
2. 6つの論点と事務局の案
| 論点 | 問い | 事務局が示した方向 |
|---|---|---|
| 1 本人通知の代替 | 本人に通知しなくても権利利益の保護に欠けるおそれが少ない場合を、どう規定するか | 外部の事業者・団体等と共用していないサービス利用者の社内識別子（ID）など、それ単体ではおよそ意味を持たない情報だけが漏えいした場合が考えられるのではないか。そのほかに規定すべき場合があるかも問う |
| 2 速報免除の前提 | どのような体制・手順について第三者の確認を受けた場合を、合理化の対象とするか | 漏えい等の拡大や再発の防止に必要な措置を講じる体制・手順が整っている事業者は、確認を受けた場合を対象としてはどうか。例として、責任者が置かれていること、漏えい等の発生や兆候を把握したときに速やかに事実関係を把握し、再発防止策を講じ、必要な本人通知を行う手順が整っていることを挙げる |
| 3 合理化する事案 | どのような事案を合理化の対象とするか | どのような事案でも常に速報を免除したり確報を取りまとめたりするのは相当ではない。本人通知が的確になされている限り、委員会が早急に事実関係を把握する必要性が比較的小さい事案として、誤交付・誤送付をはじめ、漏えいした個人データの本人が1名である事案を対象としてはどうか |
| 4 確認する第三者 | 体制・手順を確認する第三者の範囲をどう規定するか | 認定個人情報保護団体が確認する主体でよいか。そのほかに確認できる第三者として何が考えられるかも問う |
| 5 サイバー攻撃の報告基準 | サイバー対処能力強化法に基づくインシデント報告の基準との整合性をどう確保するか | 漏えい等の報告対象のうち、サイバー攻撃に起因するものについて、同法の報告基準との関係を整理したうえで、整合をとる整備をしてはどうか |
| 6 違法な第三者提供 | 違法な個人データの第三者提供を、報告対象事態とすべきか | 現行の規則には含まれていない。故意に提供した場合と意図せず漏えいした場合で、本人への影響に大きな差はなく、故意のものはむしろ二次被害のおそれが大きいため、報告対象としてはどうか。故意の違法行為であることを踏まえ、個人データの内容や件数を問わず報告対象としてはどうか |
論点2から4は、体制・手順について第三者の確認を受けることを前提に、速報を一定の範囲で免除し、本人が1名の誤交付・誤送付のようなケースでは、確報を一定期間ごとに取りまとめて行うことを認める、という一連の案の中身です。免除や取りまとめの具体的な範囲は、委員会規則で定める想定とされています。
論点5に関連して、ランサムウェア等で共通様式により報告を行う場合の窓口を一元化する方向で、国家サイバー統括室（NCO）の下で調整を進めると資料に書かれています。調整の結果はまだ示されていません。
3. 決まっていること・案の段階・未確定のこと
| 区分 | 内容 |
|---|---|
| 改正法で決まっている | 本人への通知が困難な場合、または通知されなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合に、本人の権利利益を保護するために必要な代わりの措置をとるなら、本人通知をしなくてよいこと。報告の対象事態と報告の方法は規則で定めること |
| 事務局の案（問いかけ） | 上の論点1〜6に書いた内容 |
| 未確定 | 委員会規則の条文。代替措置が許される場合の具体的な範囲。速報免除や確報取りまとめの対象と、確認する第三者の範囲。サイバー攻撃に関する報告基準の整合の中身。施行日（公布から2年以内に政令で定める日） |
国会の附帯決議には、本人通知の代替措置が許される場合について、事業者の恣意的な判断や拡大解釈で本人の権利利益が侵害されないよう、委員会規則で具体的な範囲と判断基準を明記すること、という項目があります（衆議院は2026年5月21日、参議院は2026年7月8日）。規則の範囲が広がりすぎないかは、この点を見て追えます。
4. 準備として確認できること
漏えい等が起きてから報告・通知・再発防止までの順番は、漏えい等が起きたときの流れ（4段階）にまとめています。実際に起きた漏えい事案で委員会が何を指摘したかは、メールシステムの認証情報漏えいに対する指導事例で読めます。
個別の判断はできませんが、規則が確定する前に点検できる観点は示せます。
- 漏えい等が起きたときの責任者、報告の担当、本人通知の手順が、文書で決まっているかを確認する。論点2の例に挙がった項目と重なります。
- これまでに起きた誤送付・誤交付のような、本人が1名の事案の件数と対応の流れを把握しておく。論点3の対象になる可能性があります。
- 認定個人情報保護団体に加盟しているか、加盟先がある場合は、体制の確認を行っているかを確認する。確認する第三者の範囲は未確定です。
- 第三者に個人データを提供している根拠（本人の同意、委託、共同利用、オプトアウトなど）が整理されているかを確認する。違法な提供が報告の対象に入る案が示されているためです。
- 最終的な判断は、規則が公布されてから、顧問弁護士や個人情報保護委員会に確認する。
よくある質問
現行の規則では、どんな漏えい等を委員会に報告しますか。
現行の規則は、要配慮個人情報が含まれる個人データの漏えい等（高度な暗号化などの措置を講じたものを除く）、不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある自社に対する行為による漏えい等、本人の数が1,000人を超える漏えい等のいずれかを、報告が必要な事態としています。報告は、事態を知った後すぐの速報と、30日以内の確報（不正の目的による場合は60日以内）の2段階です。
改正後は、本人への通知が不要になる場合がありますか。
改正法は、本人への通知が困難な場合、または通知されなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合に、本人の権利利益を保護するために必要な代わりの措置をとるなら、本人通知をしなくてよいと定めています。具体的な範囲は規則で定められ、まだ決まっていません。事務局は、それ単体ではおよそ意味を持たない社内識別子（ID）だけが漏えいした場合などを例に挙げて、規定の仕方を問いかけている段階です。
速報が免除されるのは、どんな場合ですか。
決まっていません。事務局の案は、体制・手順について第三者の確認を受けることを前提に、速報を一定の範囲で免除し、本人が1名の誤交付・誤送付のようなケースでは確報を一定期間ごとに取りまとめて行えるようにする、というものです。免除や取りまとめの具体的な範囲は、委員会規則で定める想定とされています。
違法な第三者提供は、報告の対象になりますか。
現行の規則には含まれていません。事務局は、故意に提供した場合と意図せず漏えいした場合で本人への影響に大きな差はなく、故意のものはむしろ二次被害のおそれが大きいため、報告対象としてはどうか、と問いかけています。案の段階で、確定していません。
出典
- S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026-10-01公表・確認日 2026-10-02）
- S-19個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の概要」（確認日 2026-09-05）
- S-50e-Gov法令検索「個人情報の保護に関する法律施行規則」第8条〜第10条（2026-10-15 確認）