個人情報漏えい発生時の初動対応・公表フロー｜
「気づいてから72時間」に何をすべきか

なぜ「初動」がすべてを左右するのか

個人情報の漏えいは、「起きるかどうか」ではなく「起きたときにどう動くか」で被害の大きさが変わります。報告や通知が遅れれば、法令違反として行政指導・命令の対象になるだけでなく、後手に回った公表は「隠していたのでは」という不信感を招き、二次的な信用失墜につながります。
一方で、初動対応の担当者・期限・判断基準があらかじめ社内で共有されていれば、混乱のなかでも冷静にステップを踏むことができます。多要素認証（MFA）・パスキーや生成AIの入力禁止ルールが「漏えいを起こさないための予防」だとすれば、本記事は「起きてしまった後、どう対応するか」を扱う内容です。

実際に起きた漏えい・報告事例

2026年も、国内で大規模な個人情報漏えいが相次いで公表されています。

• アスクル（2025年10月〜2026年1月）：
  多要素認証（MFA）を適用していなかった認証情報が窃取され、ランサムウェア被害に発展。約72万件の顧客情報を含む業務情報が流出し、物流を委託していたグループ会社の業務にも影響が及びました。被害の公表・調査結果の公表は複数回に分けて段階的に行われています。
• アフラック生命保険（2026年6月）：
  契約者専用サイトなどのシステムが第三者による不正アクセスを受け、契約者・代理店の個人情報が漏えい。約438万人分（うち口座情報を含むものが約23万人分）という大規模な被害が公表されました。

共通しているのは、発覚から公表まで、決して短くない調査・確認の期間を経ていることです。裏を返せば、この期間にどれだけ的確に事実関係を整理し、報告・通知の要否を判断できるかが、その後の対応の質を大きく左右します。

発覚直後にまずやること（初動対応チェックリスト）

「漏えいしたかもしれない」という一報が入ったら、次の対応を同時並行で進めます。順番に一つずつこなす余裕はありません。

• ①責任者・経営層への内部報告：
  担当者の判断だけで抱え込まず、直ちに責任者・情報システム部門・経営層に共有します。
• ②被害の拡大防止：
  不正アクセスが継続している疑いがあれば、該当システムの切り離し、パスワードの強制リセットなど、被害の拡大を止める措置を優先します。
• ③証拠の保全：
  ログ・通信記録・端末の状態などを、調査より先に消してしまわないよう保全します。原因究明ができなければ、後の報告書も再発防止策も書けません。
• ④事実関係の整理：
  「いつ」「何が」「どの範囲で」漏えいした（疑いがある）のかを、分かっている範囲でまず時系列に整理します。
• ⑤報告・通知の要否の一次判断：
  次章の「報告対象事態」に当てはまりそうか、専門家（顧問弁護士・個人情報保護の専門家）も交えて早期に判断します。

※すべての漏えいで直ちに報告義務が生じるわけではありません。ただし、報告対象事態に当たるかどうかの判断には時間がかかるため、判断を待たずに初動対応（①〜④）を並行して進めることが重要です。

個人情報保護委員会への報告義務｜速報・確報の期限

個人情報保護法では、個人の権利利益を害するおそれが大きい漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務づけられています（法26条1項、施行規則8条）。報告は「速報」と「確報」の2段階です。

• 速報：事態を知った時点からおおむね3〜5日以内に、その時点で把握している内容を報告します。原則は「速やかに」であり、調査を待たず分かる範囲で早期に出すことが基本です。
• 確報：事態を知った日から30日以内（不正の目的で行われたおそれがある場合は60日以内）に、報告事項をすべて報告します。速報の時点ですべて把握できていれば、速報と確報を1回で兼ねることも可能です（その後判明した内容は追完）。

報告事項には、事態の概要、漏えい等した個人データの項目、対象となった本人の数、原因、二次被害またはそのおそれの有無、本人への対応の実施状況、公表の実施状況、再発防止策など、施行規則第8条第1項に定められた項目があります。報告は、個人情報保護委員会のウェブサイト上の報告フォーム、または権限が委任されている場合は当該事業所管大臣等に対して行います。

報告が必要になる4つのケース

個人情報保護委員会規則では、次の4つの事態を「報告対象事態」と定めています。いずれか一つでも当てはまれば、報告義務が生じます。

• ①要配慮個人情報の漏えい等：
  病歴、犯罪歴など、特に配慮を要する個人情報が漏えいした（疑いがある）場合。件数の多寡を問いません。
• ②財産的被害が生じるおそれがある漏えい等：
  クレジットカード番号、インターネットバンキングのID・パスワードなど、不正利用によって金銭的な被害につながりうる情報が漏えいした場合。
• ③不正の目的で行われたおそれがある漏えい等：
  不正アクセス、ランサムウェア攻撃など、外部からの不正な行為によって発生した漏えい（このケースは確報の期限が60日以内になります）。
• ④1,000人を超える個人データの漏えい等：
  対象人数が1,000人を超えた場合。漏えいした情報の内容や性質を問わず、規模だけで報告対象になります。

中小企業でよくある誤解は、「大した個人情報ではないから大丈夫」という判断です。しかし③の不正アクセス経由や④の1,000人超は、情報の中身に関わらず報告対象になるため、「うちは関係ない」と決めつけず、まず4類型に照らして確認することが欠かせません。

本人への通知義務

報告対象事態に該当する場合、個人情報保護委員会への報告に加えて、漏えいした個人データの本人に対する通知も義務づけられています。通知の内容は、報告事項のうち本人に関係する事項（漏えいした情報の項目、発生原因、二次被害の可能性、問い合わせ窓口など）が基本です。

本人への連絡先が判明しない、通知に多額の費用を要するなど、通知が困難な場合には、事案の公表その他の本人が容易に知り得る状態に置く措置をもって通知に代えることが認められています。中小企業の場合、自社サイトでの公表と問い合わせ窓口の設置が現実的な代替措置になることが多いでしょう。

公表・プレスリリースの判断とタイミング

個人情報保護法上、公表そのものが一律に義務化されているわけではありません。しかし、本人への通知に代える手段として、また社会的な説明責任として、公表が実質的に必要になるケースがほとんどです。判断のポイントは次のとおりです。

• 誰に向けた発表か：顧客・取引先向けの個別通知と、社会一般向けのプレスリリースは目的が異なります。両方が必要になるケースが多いことを想定しておきます。
• 公表の時期：調査が完全に終わるまで待つ必要はありません。分かっている事実・対応状況・問い合わせ窓口を先に発表し、続報で更新していく「段階的な公表」が一般的です。
• 記載すべき内容：発生の概要、漏えいした（疑いがある）情報の項目と件数、原因、被害の状況、再発防止策、問い合わせ窓口。断定できない事項は「〜のおそれがあります」と正直に書き、後の訂正がしやすい表現にしておきます。
• 問い合わせ体制：公表と同時に、電話・メールでの問い合わせ窓口を用意しておかないと、公表そのものが二次的な混乱の原因になります。

【2026年更新】改正個人情報保護法と課徴金制度

2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）では、個人データを違法に取得・利用・第三者提供した事業者に対し、不当な利益に相当する額を徴収する課徴金制度が新設されました。あわせて、16歳未満の子どもの情報や顔認証などの生体情報についても規律が強化されています。施行は公布から2年以内（2028年7月16日までに政令で定める日、罰則強化の一部は2027年1月17日に先行施行）の見込みです。

この改正は、報告・通知の義務そのものを変えるものではありませんが、「うっかり漏えいさせてしまった」だけでなく「違法に取得・利用・提供していた」ことが判明した場合の経済的なリスクが、これまでより大きくなるという点で無視できません。生成AIに個人情報を入力しない・目的外に利用しないという入力ルールは、この課徴金制度への備えという意味でも、これまで以上に重要になっています。

※このセクションは制度の要点を整理したものであり、法的なアドバイスではありません。自社の対応については、法務部門または弁護士にご確認ください。

社内フローに落とし込む

発生してから慌てて調べるのではなく、「誰が」「何を」「いつまでに」やるかを、事前に一枚のフローとして決めておくことが実務上の要です。最低限、次を明文化しておきましょう。

• 発見時の第一報告先：誰が最初に何に報告するか（例：情報システム担当→情報セキュリティ責任者→経営層）
• 初動対応チームの招集基準：どの規模・種類の事案で、法務・広報・情報システムを集めた対策チームを立ち上げるか
• 報告対象事態の判断者：4類型への該当判断を、最終的に誰が確定させるか（顧問弁護士の関与含む）
• 速報・確報の起票担当：報告フォームへの入力・提出を誰が担当するか、期限をどう管理するか
• 公表・広報の承認ルート：プレスリリースの文面を誰が確認し、誰が最終承認するか

委託先で漏えいが発生した場合の連絡ルート（委託元への即時報告義務）も、契約段階であらかじめ取り決めておくと、発生時の初動が格段に速くなります。

よくある失敗

• 調査が終わるまで報告・公表を待ってしまう：
  速報は「その時点で把握している内容」でよく、全容解明を待つ必要はありません。待っている間に期限を過ぎてしまうケースがあります。
• 「件数が少ないから大丈夫」と自己判断する：
  要配慮個人情報や財産的被害のおそれがある情報は、件数に関わらず報告対象になります。
• 証拠を消してしまう：
  原因究明のためにログや端末の状態を保全せず、慌てて初期化・再起動してしまい、後の調査が難航するケース。
• 本人通知と公表を混同する：
  自社サイトでの公表だけで本人通知を済ませたつもりになり、通知が困難な場合の代替措置の要件を満たしていないケース。
• 委託先からの連絡ルートが決まっていない：
  委託先で漏えいが起きた際、委託元への報告が遅れ、結果的に速報の期限に間に合わなくなる。

まとめ

• 個人情報漏えいは、発覚後の初動対応の速さと正確さが、被害の大きさと信用への影響を左右する
• 要配慮個人情報・財産的被害のおそれ・不正の目的・1,000人超の4類型のいずれかに該当すれば、個人情報保護委員会への報告義務が生じる
• 報告は速報（3〜5日以内）・確報（30日以内、不正目的は60日以内）の2段階、あわせて本人への通知も必要
• 公表は義務そのものではないが、本人通知の代替手段・社会的説明責任として実務上ほぼ必須になる
• 2026年7月の改正個人情報保護法により課徴金制度が新設され、違法な個人データの取得・利用・提供のリスクは一段と大きくなっている
• 発生してから考えるのではなく、「誰が・何を・いつまでに」動くかを事前にフロー化しておくことが最大の備えになる

漏えいを完全にゼロにすることはできません。だからこそ、「起きたときにどう動くか」をあらかじめ決めておくことが、企業を守る最後の防波堤になります。

あわせて読みたい

• 多要素認証（MFA）・パスキー導入ガイド｜「ID・パスワードだけ」の認証はもう限界
• 生成AI利用ルール｜入力禁止情報と承認フローで情報漏えいを防ぐ
• 社長なりすまし「LINE誘導型」詐欺メールの手口と対策｜ニセ社長詐欺・BEC

バンブーハウスでは、ホームページ制作・システム開発からセキュリティ対策・インシデント対応体制の整備まで、中小企業のデジタル活用をワンストップでサポートしています。漏えい発生時の初動対応フローづくりについても、お気軽にご相談ください。

よくあるご質問（FAQ）

Q1. 個人情報が漏えいしたら、必ず個人情報保護委員会へ報告が必要ですか？

すべての漏えいが対象になるわけではありません。①要配慮個人情報の漏えい等、②財産的被害のおそれがある漏えい等、③不正の目的で行われたおそれがある漏えい等、④1,000人を超える漏えい等——この4類型のいずれかに該当する場合に、報告義務が生じます。判断に迷う場合は、早めに専門家に相談してください。

Q2. 「速報」と「確報」は、それぞれいつまでに報告すればよいですか？

速報は事態を知った時点からおおむね3〜5日以内、確報は事態を知った日から30日以内（不正の目的で行われたおそれがある場合は60日以内）が期限です。速報の時点ですべての事項を把握できていれば、1回で速報・確報を兼ねることも可能です。

Q3. 漏えいした人数が少なければ、報告しなくてもよいですか？

情報の性質によります。クレジットカード番号やネットバンキングのID・パスワードなど財産的被害のおそれがある情報、要配慮個人情報、不正アクセスなど不正の目的による漏えいは、人数に関わらず報告対象になります。人数だけを基準に「報告不要」と自己判断するのは危険です。

Q4. 本人への通知はどのように行えばよいですか？連絡先が分からない場合は？

漏えいした情報の項目、発生原因、二次被害の可能性、問い合わせ窓口などを本人に通知します。連絡先が判明しない、通知に多額の費用がかかるなど通知が困難な場合は、事案の公表など「本人が容易に知り得る状態に置く措置」をもって通知に代えることが認められています。

Q5. プレスリリースでの公表は、必ずしなければいけませんか？

個人情報保護法上、公表そのものが一律に義務づけられているわけではありません。ただし、本人への通知に代える手段として、また社会的な説明責任として、実務上は公表が必要になるケースがほとんどです。調査が完全に終わるのを待たず、分かっている事実から段階的に公表していく進め方が一般的です。

Q6. 委託先で個人情報が漏えいした場合、報告義務があるのは委託元・委託先のどちらですか？

原則として、個人データの取扱いを委託した委託元（個人情報取扱事業者）に報告義務があります。委託先で漏えいが発生した際、速やかに委託元へ連絡が入るよう、契約段階で報告ルート・期限を取り決めておくことが重要です。連絡が遅れると、委託元側の速報期限に間に合わなくなるおそれがあります。

Q7. 2026年の法改正で、報告・通知の義務自体は変わりましたか？

2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）は、報告・通知の期限や要件そのものを変えるものではありません。個人データを違法に取得・利用・第三者提供した事業者に対する課徴金制度が新設された点が主な変更です。ただし、これにより不適切な取扱いが発覚した場合の経済的リスクは、これまでより大きくなっています。

Q8. 自社の初動対応フローづくりを相談できますか？

はい。バンブーハウスでは、漏えい発生時の初動対応フローの整備、社員向けセキュリティ研修、Webサイト・システムのセキュリティ強化までワンストップで支援しています。中小企業の体制や既存システムに合わせたご提案が可能ですので、お気軽にご相談ください。