委員会への報告は速報と確報の2段階で、本人通知で伝える項目は5つです。報告が必要になる4類型と、速報・確報の期限、本人通知の項目を、現行の施行規則から並べます。令和8年改正で変わる範囲（速報免除・確報の取りまとめ・本人通知の代替措置）は本人通知の緩和と代替措置に、報告を要しない場合の3区分は場面別の入口にあります。
現行の報告の手順と期限（速報・確報）
漏えい等が起きたときの委員会への報告は、施行規則第8条で次の2段階です（2026年10月23日にe-Govの条文で確認）。
| 段階 | 期限 | 報告する事項 |
|---|---|---|
| 速報（第1項） | 報告対象事態を知った後、速やかに。委員会のガイドラインは、日数の目安を事態を知った時点から概ね3〜5日以内としています | その時点で把握している事項。概要、個人データの項目、本人の数、原因、二次被害のおそれ、本人への対応、公表の状況、再発防止策、その他の9項目 |
| 確報（第2項） | 事態を知った日から30日以内。不正の目的によるおそれがある事態（下の3類型目）は60日以内 | 同じ9項目を、確定した内容で報告 |
報告が必要になる事態（報告対象事態）は、施行規則第7条の次の4類型です。
- 要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）。高度な暗号化など、権利利益を保護するために必要な措置を講じたものは除きます。
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）
- 不正の目的をもって行われたおそれがある、その事業者に対する行為による個人データの漏えい等（又はそのおそれ）
- 個人データに係る本人の数が千人を超える漏えい等（又はそのおそれ）
委員会への報告義務を負うときは、本人への通知も原則として必要です。通知は事態の状況に応じて速やかに行い、項目はこのページ下の「現行の規則が定める本人通知の項目」のとおりです。改正で変わるのは、速報を免除できる範囲、確報の取りまとめ、本人通知を代替措置で足りるとする範囲で、いずれも本人通知の緩和と代替措置で扱います。期限そのものの変更は、確認できた資料に書かれていません。出典: 施行規則第7条・第8条（e-Gov）、個人情報保護委員会「漏えい等報告について」「通則ガイドライン」。
現行の規則が定める本人通知の項目
本人への通知で伝える項目は、現行の施行規則第10条に定められています（2026年10月15日にe-Govの条文で確認）。事態を知った後、状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で、次の5項目を通知します。
- 概要
- 漏えい等が発生し、又は発生したおそれがある個人データの項目
- 原因
- 二次被害又はそのおそれの有無及びその内容
- その他参考となる事項
委員会への報告事項（9項目）のうち、本人の数、本人への対応の実施状況、公表の実施状況、再発防止のための措置は、本人通知の項目には入っていません。報告事項の全体は報告事項9項目の表にまとめています。法第26条第2項ただし書の代替措置（新旧対照）は、この通知が困難な場合に代わる措置をとるときの例外で、措置の中身は条文には書かれていません。個別の事案への当てはめは、顧問弁護士または委員会にご確認ください。
続きと関連ページ
- 本人通知の緩和と代替措置（規則は未確定）: 早見表、改正で変わる範囲、よくある質問
- 報告を要しない場合の3区分と場面別の入口: 誤送信・不正アクセス・委託先の入口
- 報告・通知の6つの論点: 報告事項9項目の表と事務局資料の論点
- 委託先の個人データ取扱い: 委託先の規律の全体