個人データを取り扱うすべての事業者に関係します。漏えい等が発生した際の報告・本人通知の負担が一部緩和される一方、違法な第三者提供という新しい報告対象事態も追加されます。何が決まっていて、何がこれから政令・規則で決まるのかを分けて書きます。
1. 現行制度との違い
現行法上、個人情報取扱事業者は、報告対象事態（規則第7条）が発生した場合には、個人情報保護委員会への報告義務（法第26条第1項）を負います。報告は速報・確報に分けて行うこととされています。また、漏えい等報告の義務を負うときは、本人への通知が困難な場合を除き、一律に本人への通知義務を負います。
今回の改正では、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容を合理化する方向で、3つの見直しが行われます。
2. 課される3つの見直し
(1) 本人通知義務の緩和
本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務を緩和し、代替措置による対応を認めることとされます。行政機関等についても同様の改正が行われます。
(2) 速報・確報の負担軽減
体制・手順に係る認定個人情報保護団体などの第三者の確認を受けることを前提として、次の2点が認められる予定です。
- 一定の範囲で速報を免除することを可能とする。
- 漏えいした個人データに係る本人の数が1名である誤交付・誤送付のようなケースについては、委員会への報告のうち確報を、一定期間ごとに取りまとめた上で行うことを許容する。
また、サイバー攻撃対処能力強化法に基づく報告義務の施行にあわせて、共通様式（ランサムウェア等）により報告が行われる場合の窓口を、国家サイバー統括室（NCO）の下で一元化する方向で調整が進められています。
(3) 違法な第三者提供の報告対象化
違法な個人データの第三者提供についても、新たに報告対象事態とされます。行政機関等についても同様の改正が行われます。これは負担の軽減ではなく、報告義務の対象が広がる変更です。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 現在、漏えい等発生時の報告・本人通知の社内フロー（誰が、いつまでに、何を判断するか）が整理されているかを確認する。緩和規定が使えるかどうかは、この土台が整っていて初めて判断できる。
- 取り扱っている個人データのうち、「それ単体ではおよそ意味を持たない情報」（社内識別子等）に該当しうるものがあるかを洗い出しておく。委員会規則で対象範囲が示された時点で、差分がすぐ分かる。
- 認定個人情報保護団体に加盟しているか、体制・手順の第三者確認を受ける予定があるかを確認する。速報免除・確報取りまとめの前提になる可能性がある。
- 第三者への個人データ提供が、委託・共同利用・オプトアウト等の適法な根拠に基づいているかを再点検する。違法な第三者提供は今回新たに報告対象になるため、根拠の整理は緊急度が上がる。
出典
- S-19個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の4「漏えい等報告・本人通知」（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）