EC用語集・運営・物流・法令・AI

個人情報の漏えい等報告とは？

読み：こじんじょうほうのろうえいとうほうこく／Personal data breach report

意味: 個人データの漏えい等が起き、個人の権利利益を害するおそれがある一定の場合に、個人情報保護委員会への報告と本人への通知を行う義務。
例: ECサイトへの不正アクセスで、お客様のクレジットカード番号を含む個人データが漏えいしたおそれがある場合は、対象の人数が少なくても報告の対象になります。

個人情報の漏えい等報告とは

個人情報保護委員会によると、2022年4月1日から、個人データの漏えい等が起き、個人の権利利益を害するおそれがある場合には、委員会への報告と本人への通知が義務となりました。漏えいが確定していなくても、「おそれ」がある段階で対象になる点が特徴です。

対象になるのは外部からの不正アクセスだけではありません。委員会の資料では、メールの宛先の入力ミスやシステムの設定ミス、書類や記録媒体の盗難・紛失なども例として挙げられています。

報告が必要になる4つの事態

委員会のリーフレットでは、次の4つの事態とその例が示されています。

要配慮個人情報が含まれる場合（例：健康診断の結果を含むデータの漏えい）
財産的被害が生じるおそれがある場合（例：ECサイトからのクレジットカード番号を含むデータの漏えい、決済機能のあるサービスのIDとパスワードの漏えい）
不正の目的で行われたおそれがある場合（例：不正アクセス、ランサムウェアで暗号化され復元できない、従業者による持ち出し）
本人の数が1,000人を超える場合（例：会員へのメールマガジンをBCCではなくCCで一斉送信した）

報告の期限と方法

速報：発覚日から3〜5日以内。発覚したら、まず速やかに報告する
確報：発覚日から30日以内。不正の目的で行われたおそれがある場合は60日以内
確報では、概要、漏えいした項目、本人の数、原因、二次被害の有無、本人への対応、公表の状況、再発防止策などを報告する
報告は委員会のWebサイトの入力フォームから行う。権限が委任されている業種は委任先の省庁に報告する
ランサムウェアなどサイバー攻撃の事案では、共通様式（Excel）をメールで提出する方法も案内されています

本人への通知

報告が必要な事態では、本人への通知も必要です。委員会は、事態の状況に応じて速やかに、概要や漏えいした個人データの項目、原因などを、本人に分かりやすい方法で伝えるよう案内しています。方法としては文書の郵送やメールの送信が例示され、通知が難しい場合はWebサイトでの公表や問い合わせ窓口の設置などの代わりの措置も認められています。

EC店舗が備えておきたいこと

カート会社や配送会社など委託先で起きた漏えいでも、自社のお客様の個人データが含まれていることがあります。報告の要否や分担は、委託先と連絡を取りつつ委員会の案内で確認する
委託契約の時点で、漏えいが起きたときの報告・連絡の体制を決めておく
お客様向けのお知らせ文、問い合わせ窓口、社内の連絡担当をあらかじめ決めておく
判断に迷うときは、委員会の「個人情報保護法相談ダイヤル」や「PPC質問チャット」で相談できる

個人情報の漏えい等報告のよくある質問

漏えいが確定していなくても報告が必要ですか？

必要になる場合があります。委員会の案内では、4つの事態のいずれかに当たる漏えい等が発生した場合だけでなく、そのおそれがある場合も報告と本人への通知の対象とされています。

漏えいした人数が1,000人以下なら、報告しなくてよいですか？

そうとは限りません。クレジットカード番号を含む場合や不正アクセスによる場合など、ほかの3つの事態に当たれば人数にかかわらず報告の対象になります。

報告はどこから行いますか？

個人情報保護委員会のWebサイトにある入力フォームから行います。業種によっては権限が委任された省庁に報告する場合があるため、委員会の「漏えい等の対応とお役立ち資料」のページで確認してください。

個人情報の漏えい等報告について詳しく読む

出典

2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。

運営・物流・法令・AIのほかの用語

EC用語集の一覧へ