個人情報保護委員会への報告と、本人への通知は別の義務です。現行法で委員会への報告を要しない場合は、規則第7条の事態に当たらない場合、高度な暗号化等を講じたものに関する同条の除外、委託先が委託元へ通知した場合に分けて確認できます。令和8年改正では本人通知の一部緩和と報告手続の合理化が行われますが、具体的な範囲は規則待ちです。
1. 委員会への報告と本人通知は別の義務
現行法上、個人情報取扱事業者は、報告対象事態（規則第7条）が発生した場合には、個人情報保護委員会への報告義務（法第26条第1項）を負います。報告は速報・確報に分けて行うこととされています。また、漏えい等報告の義務を負うときは、本人への通知が困難な場合を除き、一律に本人への通知義務を負います。
今回の改正では、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容を合理化する方向で、3つの見直しが行われます。
2. 課される3つの見直し
(1) 本人通知義務の緩和
本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合について、本人への通知義務を緩和し、代替措置による対応を認めることとされます。行政機関等についても同様の改正が行われます。
代替措置とは（法第26条第2項の新旧対照）
代替措置は、本人への通知に代わる措置のことで、法第26条第2項ただし書に出てきます。委員会の新旧対照条文で、現行と改正後の違いは次の1点です。
- 現行: 本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、通知しなくてよい。
- 改正後: 通知が困難な場合に加えて、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合も、同じ代わるべき措置をとるときは通知しなくてよい。
条文にあるのは「本人の権利利益を保護するため必要なこれに代わるべき措置」までで、措置の具体的な中身は条文には書かれていません。規則などで示されるかどうかは、このサイトでは確認できていません。
現行の規則が定める本人通知の項目
本人への通知で伝える項目は、現行の施行規則第10条に定められています（2026年10月15日にe-Govの条文で確認）。事態を知った後、状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で、次の5項目を通知します。
- 概要
- 漏えい等が発生し、又は発生したおそれがある個人データの項目
- 原因
- 二次被害又はそのおそれの有無及びその内容
- その他参考となる事項
委員会への報告事項（9項目）のうち、本人の数、本人への対応の実施状況、公表の実施状況、再発防止のための措置は、本人通知の項目には入っていません。報告事項の全体は報告事項9項目の表にまとめています。上の代替措置の条文は、この通知が困難な場合に代わる措置をとるときの例外で、措置の中身は条文には書かれていません。個別の事案への当てはめは、顧問弁護士または委員会にご確認ください。
(2) 速報・確報の負担軽減
体制・手順に係る認定個人情報保護団体などの第三者の確認を受けることを前提として、次の2点が認められる予定です。
- 一定の範囲で速報を免除することを可能とする。
- 漏えいした個人データに係る本人の数が1名である誤交付・誤送付のようなケースについては、委員会への報告のうち確報を、一定期間ごとに取りまとめた上で行うことを許容する。
また、サイバー攻撃対処能力強化法に基づく報告義務の施行にあわせて、共通様式（ランサムウェア等）により報告が行われる場合の窓口を、国家サイバー統括室（NCO）の下で一元化する方向で調整が進められています。
(3) 違法な第三者提供の報告対象化
違法な個人データの第三者提供についても、新たに報告対象事態とされます。行政機関等についても同様の改正が行われます。これは負担の軽減ではなく、報告義務の対象が広がる変更です。
報告を要しない場合の整理（現行法で決まっていることと改正で未確定のこと）
「個人情報保護委員会への報告を要しない場合」は、現行の条文では次の3つに分けて読めます。個別の事案がどれに当たるかは、条文と委員会の資料に照らした最終的な判断が必要です。
- 規則第7条の事態に当たらない場合: 法第26条第1項本文の報告は、個人の権利利益を害するおそれが大きいものとして規則で定める事態に限られます。規則第7条は、要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が千人を超える場合の4つを挙げています。
- 「高度な暗号化その他の措置を講じたもの」の漏えい: 規則第7条第1号は、要配慮個人情報が含まれる個人データから、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除いています。除かれる措置の程度は、条文だけでは決まらず、委員会のガイドライン等で確認する必要があります。
- 委託先から委託元へ通知した場合: 法第26条第1項ただし書は、他の個人情報取扱事業者から個人データの取扱いの委託を受けた事業者が、規則で定めるところにより委託元へ事態を通知したときは、委員会への報告を要しないとしています。この場合は本人への通知義務（同条第2項）も、通知をした委託先には課されません。
令和8年改正で変わるのは、報告そのものを要しなくなる範囲ではなく、本人通知を代替措置で足りるとする範囲と、速報の免除・確報の取りまとめです（上の2の(1)と(2)）。これらの具体的な範囲は規則で定められるため未確定で、「報告を要しない場合」が広がると決まったわけではありません。違法な第三者提供は逆に報告対象に加わります。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
- 現在、漏えい等発生時の報告・本人通知の社内フロー（誰が、いつまでに、何を判断するか）が整理されているかを確認する。緩和規定が使えるかどうかは、この土台が整っていて初めて判断できる。
- 取り扱っている個人データのうち、「それ単体ではおよそ意味を持たない情報」（社内識別子等）に該当しうるものがあるかを洗い出しておく。委員会規則で対象範囲が示された時点で、差分がすぐ分かる。
- 認定個人情報保護団体に加盟しているか、体制・手順の第三者確認を受ける予定があるかを確認する。速報免除・確報取りまとめの前提になる可能性がある。
- 第三者への個人データ提供が、委託・共同利用・オプトアウト等の適法な根拠に基づいているかを再点検する。違法な第三者提供は今回新たに報告対象になるため、根拠の整理は緊急度が上がる。委託については委託先の個人データ取扱い、オプトアウトについてはオプトアウト制度の強化でも改正が入る。
迷惑行為をした客の対応記録や要注意リストを持つ店舗・施設では、記録の紛失や共有先への誤送信が起きた場合の整理を、業種別の入口の要注意顧客・出入り禁止客の対応記録の節で確認できます。
実際に漏えいが起きた事案で、委員会が不備として指摘した点と求めた対応は、メールシステムから利用者のIDとパスワードが漏えいした事案の指導事例で確認できます。
5. 決まっていることと未確定のこと
| 項目 | 資料で示されていること | 未確定のこと |
|---|---|---|
| 本人通知義務の緩和 | 本人への通知が行われなくても権利利益の保護に欠けるおそれが少ない場合に、通知義務を緩和し、代替措置による対応を認めること | 緩和される具体的な範囲（委員会規則等）。想定事例は、それ単体ではおよそ意味を持たない社内識別子（ID）等のみが漏えいした場合 |
| 速報・確報の負担軽減 | 認定個人情報保護団体などの第三者の確認を受けることを前提に、一定の範囲で速報を免除でき、本人が1名の誤交付・誤送付のようなケースの確報を一定期間ごとに取りまとめて行えること | 第三者の確認の具体的な要件、速報免除・確報取りまとめの対象範囲 |
| 違法な第三者提供の報告対象化 | 違法な個人データの第三者提供も、新たに報告対象事態とされること（報告義務の対象が広がる変更） | 報告基準の整合の内容（今後決まる） |
国会の附帯決議には、本人通知の代わりの措置を認める場合の対象範囲と判断基準を、事業者の恣意的な運用を防ぐために規則へ明記するよう求める項目（第十項、衆参とも同文）があります。附帯決議14項目の対照表で確認できます。決議は規則の中身を決めるものではなく、この基準はまだ決まっていません。
よくある質問
漏えいが起きたら、本人への通知は不要になりますか。
一律に不要になるわけではありません。通知しなくても本人の権利利益の保護に欠けるおそれが少ない場合に限って、通知義務が緩和され、代替措置による対応が認められる予定です。対象範囲は委員会規則等で定められるため、確定していません。
IDだけが漏えいした場合は、報告も通知も要りませんか。
委員会の改正法の概要資料は、サービス利用者の社内識別子（ID）等、漏えいした情報の取得者においてそれ単体ではおよそ意味を持たない情報のみが漏えいした場合などを、緩和の想定事例として挙げています。具体的な対象範囲は委員会規則等で定めるとされており、自社のケースが当たるかは規則が出るまで確定しません。
速報を免除してもらうには、何が必要ですか。
体制・手順に係る認定個人情報保護団体などの第三者の確認を受けることが前提とされています。確認の具体的な要件と、速報を免除できる範囲は、今後決まります。
違法な第三者提供も報告の対象になるのですか。
はい。違法な個人データの第三者提供も、新たに報告対象事態とされます。これは負担の軽減ではなく、報告義務の対象が広がる変更です。2026年10月1日の事務局資料では、内容や件数を問わず対象としてよいかが論点として示されています（決定ではありません）。
いつから義務になりますか。
本体部分に含まれ、公布の日から起算して2年を超えない範囲内で政令で定める日から施行されます。実際の施行日は、政令で指定されるまで確定しません。
出典
- S-19個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の4「漏えい等報告・本人通知」（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）
- S-42個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について②」（2026-10-01公表・確認日 2026-10-02）
- S-85e-Gov法令検索「個人情報の保護に関する法律施行規則」 第7条、および個人情報の保護に関する法律 第26条（確認日 2026-10-13）
- S-65個人情報保護委員会「新旧対照条文」（PDF） 第26条第2項（確認日 2026-10-10）