個人情報漏えいの報告義務と期限不正アクセスは1件でも対象になります

個人情報の漏えいが起きると、個人情報保護委員会への報告と本人への通知が法律上の義務になる場合があります。

この記事では、対象の範囲と期限、間に合わせるために事前に決めておくことを整理します。

報告で求められる「いつ・誰が・どこから入ったか」は、記録がそろっていればすぐ出せます。アプリップリキーなら、全PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）が1か所に集まり、絞り込んでCSVで出せます。PCを1台ずつ調べて回らずに済むので、報告書づくりに時間を回せます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにでき、盗まれたパスワードだけでは入れなくなります（PC版・サーバー版）。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

報告が必要になる4つの類型

法律では本人の権利利益を害するおそれが大きい事態として4つを定めています。どれか1つに当てはまれば対象です。

件数の条件がつくのは④だけです。①〜③は1件でも対象になります。

不正アクセスは③に当たります

ここが実務上もっとも重要な点です。

盗まれたID・パスワードで不正にログインされ、個人情報が閲覧された場合は「不正の目的による行為」です。1件でも報告の義務が生じます。たとえば次の例は、すべて対象になり得ます。

• 顧客名簿が1件だけ見られた
• PCが1台だけランサムウェアに感染した
• 退職者が自分の担当分の顧客情報だけを持ち出した

「小規模だから社内で収めよう」は、法令上の義務を果たさない結果になります。認証情報が盗まれる経路はフィッシングによる認証情報の窃取、パスワードリスト攻撃で扱っています。

「おそれ」の段階でも対象になります

確定していなくても、漏えいの「おそれ」がある段階で対象です。どのデータが見られたか特定できず、「見られていない」と確認できていなければ、おそれがある状態です。

アクセスログの監査を参照してください。

期限：速報と確報の2段階

報告は2回に分かれます。1回目の速報は、調査の途中で出すものです。

本人への通知も必要です

委員会への報告とは別に、対象となる本人への通知が「速やかに」求められます。連絡先が分からないなど通知が難しい場合は、公表など代替の措置を取ります。

期限に間に合わせるために事前に決めておくこと

3〜5日という期限は、決めごとがあれば落ち着いて守れます。次の4つを、起きる前に決めておきます。

① 誰が報告を判断するか

現場が異常に気づいてから、判断する人に届くまでの経路です。決まっていないと、数日が社内の確認だけで消えます。

② 誰が委員会に提出するか

提出は原則オンラインの窓口から行います。担当と代理を決めておきます。1人だけだと、不在時に止まります。

③ どの情報を集めるか

必要な項目を先に把握しておくと、収集が並行して進みます。

• いつ、何が起きたか
• 漏えいした（おそれのある）個人データの項目と本人の数
• 原因
• 二次被害またはそのおそれ
• 本人への対応
• 再発防止の措置

④ 誰が対外的に説明するか

取引先や顧客からの問い合わせに、誰がどこまで答えるかです。決まっていないと、部署ごとに違う説明が出ます。

報告を減らす方向の対策

報告義務そのものはなくせませんが、報告が必要な事態の発生は減らせます。

③で最も多い入口は、正規のID・パスワードでのログインです。システムから見れば正当な利用に見えます。

• 二要素認証を入れる — パスワードが漏れていてもログインが成立せず、③に至る最も多い経路を塞げます（多要素認証の基本、WindowsのOSログインに二要素認証を入れる方法）
• アクセス権を絞る — 1件の突破で見られる範囲が小さくなり、規模と対応負荷が変わります（特権アカウントの管理、IDの棚卸しと監査）

VPN機器から入られた事例では、侵入後に社内のPCやサーバーへ次々とログインされ、被害が広がっています（大阪急性期・総合医療センター、オーミケンシなど）。社内のWi-Fiも、VPNと同じく社内への入口です。

PCやサーバーのログインにも2つ目の要素を求めておくと、入口を突破されても横への広がりを止めやすくなります。誰が・いつ・どのPCにログインしたかの記録があれば、確報の「原因」と「影響範囲」を絞り込む材料にもなります。

普段の管理が楽になると何が変わるか

報告の期限に追われるのは、起きてから記録を集め始めるからです。全PC・サーバーのログイン記録を普段から1か所に集めておくと、何かあったときも「この期間、このPCには誰が入ったか」をその場で絞り込み、速報に書ける範囲をすぐ出せます。同じ記録は、取引先のチェックシートや監査で「ログイン記録はありますか」と聞かれたときにもそのまま使えます。何もない日は、記録が溜まっていくのを確かめるだけで済みます。

よくある質問

1,000人以下なら報告は不要ですか

いいえ。件数の条件がつくのは4類型のうち1つだけです。要配慮個人情報、財産的被害のおそれ、不正の目的による行為に当たる場合は、1件でも報告の対象になります。

不正アクセスを受けたが漏えいしたか分からない場合は

漏えいした「おそれ」がある段階で対象になります。見られていないと確認できない場合は、おそれがある状態として扱うことになります。ログがあれば範囲を絞れます。

速報は調査が終わってから出せばよいですか

いいえ。事態を知った時点からおおむね3〜5日以内です。原因が判明していなくても、分かっている範囲で提出します。調査を待つのが最も起きやすい不履行です。

いまの運用を棚卸ししてみる

applippliの無料棚卸しでは、10問・約3分で、不正ログインにつながるID・パスワードの管理状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。

参考・出典

• 個人情報保護委員会
• 個人情報保護委員会「法令・ガイドライン等」

※ 本記事は2026年8月時点の情報に基づく一般的な解説であり、法的助言ではありません。報告の要否・期限・様式の判断は、上記の公式情報および必要に応じて専門家にご確認ください。

自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは　侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。