『少人数だから報告不要』とは限りません。人数基準があるのは、本人の数が1,000人を超える類型です。要配慮個人情報、財産的被害のおそれ、不正目的のおそれの三類型は、少人数でも報告対象になり得ます。報告対象性は人数だけでなく、データの内容、事故原因、保護措置の実効性を根拠付きで評価します。 最初に確認する3点 四類型のどれに触れるか：要配慮情報、財産的被害、不正目的、1,000人超を人数だけでなく個別に確認します。 会社が知った日はいつか：担当部署だけでなく、社内のいずれかの部署が知った日と把握経路を記録します。 窓口が重ならないか：個人情報保護委員会に加え、業法上の監督官庁、委託元、保険会社への連絡要否を並べます。 対応を整理する4つの視点 01 情報と状況 種類・人数・行為の性質 02 4類型を検討 人数以外の類型も確認 03 窓口と起算 知った時点・業種別窓口 04 速報・確報 把握済みを報告し追完 並行して検討する項目もあります。個別事情に応じて順序と担当を確認します。 報告要否の判定表に残す項目 速報時点で全てを確定させる必要はありません。空欄を推測で埋めず、未確認と調査予定をセットで残します。 事故を知った部署・日時・責任者への報告日時 四類型ごとの該当・非該当・確認中と根拠 対象情報、本人の概数、暗号化と鍵管理の実態 速報先、提出日時、受付番号、追完予定 確報期限、本人通知、契約・業法・保険の別期限 報告対象となる四つの類型 第一は、病歴など要配慮個人情報を含む個人データの漏えい等です。第二は、クレジットカード番号や認証情報など、不正利用による財産的被害のおそれがあるものです。第三は、不正アクセスや盗難など、不正の目的をもって行われたおそれがある行為によるものです。第四は、本人の数が1,000人を超えるものです。いずれも実際の漏えいだけでなく、そのおそれがある事態を含みます。 高度な暗号化その他の権利利益を保護するために必要な措置が講じられたデータは規則上の扱いが変わり得ます。しかし、単にパスワードを付けた、端末に画面ロックがあるという名称だけでは結論を出せません。暗号方式、鍵の保管、鍵とデータが同時に失われたか、認証回避の可能性などを確認します。 要配慮個人情報を含む 財産的被害が生じるおそれ 不正目的の行為によるおそれ 本人の数が1,000人を超える 状況が整理できていなくても相談できます 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 速報と確報は期限の意味が違う 報告対象事態を知った場合、速報は速やかに行います。ガイドラインは、個別事案によるものの概ね3〜5日以内を目安としています。全容が判明していなくても、その時点で把握した事項を報告します。調査完了まで速報を待つ考え方は危険です。 確報は、事業者のいずれかの部署が事態を知った日を1日目として、原則30日以内です。不正目的のおそれ類型は60日以内となります。他の類型と重なる場合も60日以内とされます。土日祝日も日数に含み、期限日が閉庁日なら翌日になる取扱いがあります。30日・60日は個人情報保護委員会への確報期限であって、本人通知の期限ではありません。本人通知は事態の状況に応じて速やかに行います。 発覚日ではなく、社内のいずれかの部署が知った日を特定する 速報時点の未判明事項と調査予定を明記する 確報に向け、原因・影響・本人対応・再発防止を更新する 業法上の報告、契約通知、保険通知も別表で管理する 報告・通知の判断を会社任せにしないために 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 委託先だから自動的に報告不要ではない 委託先で事故が起きた場合、委託先も原則として報告義務の検討が必要です。ただし、委託元に対し、報告事項のうち把握している内容を所定の方法で速やかに通知したときは、委託先の委員会への報告義務が免除される制度があります。目安は委託先が知った時点から概ね3〜5日以内です。単に『事故がありました』と連絡するだけで当然に免除されるわけではありません。 通知を受けた委託元は、通常、遅くともその時点で報告対象事態を知ったことになり、速やかな報告を要します。再委託がある場合は、誰がどのデータの取扱主体か、通知経路と期限を契約図に落とします。 委託・再委託契約とデータフロー 最初に知った部署・日時の証拠 対象項目、人数、事故原因の暫定評価 委託元への通知本文と送達記録 規制当局、業界団体、保険会社の連絡状況 AIと保険も含めて対応を確認したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 『知った日』と未確定事項の追完を管理する 確報期限の起算点は、経営会議で正式認定した日ではなく、法人のいずれかの部署が報告対象事態を知った日です。最初の通報、監視アラート、委託先通知、担当部署への転送日時を並べ、どの時点で四類型に該当する事実を把握したかを検討します。受付部署が放置しても起算を遅らせられるわけではありません。 速報時点で全項目が確定していなくても、対象人数を幅で示す、原因を調査中とする、追加解析予定を記載するなど、判明分を報告します。確報時にも合理的努力を尽くして未判明事項があれば、把握内容を出し、判明次第追完します。報告済みの数字を静かに差し替えず、変更理由と調査根拠を残します。 最初の社内認知日時と証拠 四類型を認識した時点 速報で未回答だった項目 確報後の追完予定と責任者 契約と責任の整理が必要な方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 業種別の報告窓口を重ねて確認する 個人情報保護委員会への報告だけで対応が終わるとは限りません。金融、医療、通信などでは事業所管官庁や業法上の窓口、認定個人情報保護団体への連絡が関係する場合があります。自治体からの受託業務、クレジットカード情報、マイナンバーを含む場合も別の規律を確認します。 自社の許認可、加入団体、委託契約、事故対応規程を一覧化し、同じ事故について誰へ何を報告するかを整理します。窓口ごとに様式、期限、対象範囲が異なるため、一つの報告書をそのまま転用せず、基礎事実表から必要事項を抽出します。窓口が不明なら、監督官庁の公式案内や契約担当へ確認した経緯も残します。 事業所管官庁と業法上の届出 認定個人情報保護団体 自治体・元請・取引先への契約通知 マイナンバー等の特別な報告経路 予防と再発防止を相談したい方へ 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。 よくある質問 1,000件以上なら報告ですか。 人数基準は『本人の数が1,000人を超える』です。1,000人ちょうどと1,001人では人数類型の結論が異なります。ただし他の三類型に該当すれば人数にかかわらず報告対象になり得ます。 速報までに人数が分かりません。 判明を待たず、現時点の概数や上限、算定方法、未確認理由を示して速報し、調査で更新します。 本人通知も30日以内ならよいですか。 いいえ。30日・60日は確報の期限です。本人通知は状況に応じて速やかに行う必要があり、機械的に確報期限まで待つことはできません。 委託先から通知が来なければ委託元は責任を負いませんか。 そうとは限りません。委託元には委託先の必要かつ適切な監督が求められ、事案を知った時点から自らの報告・本人対応を検討します。 関連する対応 個人情報漏えいが発覚した直後にすること｜初動・証拠保全・社内分担 委託先で個人情報漏えいが起きたときの委託元対応｜報告・調査・監督 個人情報漏えいの本人通知と公表｜伝える内容・タイミング・謝罪文例 生成AIへの誤入力の会社対応 委託先監督義務と情報の管理 参考資料 個人情報保護法ガイドライン（通則編） 漏えい等の対応とお役立ち資料 監修確認用の下書き 監修候補：和氣良浩弁護士（弁護士法人ブライト）。監修完了前の確認原稿です。 弁護士紹介を見る 個別の状況を相談する 企業法務・AI利用・保険契約の視点から、会社の次の一手を整理します。 支援内容とお問い合わせを見る → 受付後に対応可否と着手時期をご案内します。
