目次
プレ男よく使う通販サイトから「不正アクセスにより、お客さまの情報が流出したおそれがあります」ってメールが来た…。クレジットカードも登録してたんだけど。
メル美会社が漏えいを知らせるのは、法律の義務なんだって。何を知らせることになっているのか見てみよう。
今回は、個人データの漏えい等の報告と本人への通知です。個人情報の保護に関する法律(個人情報保護法)と同法施行規則の条文(e-Gov法令検索)、個人情報保護委員会の「漏えい等報告について」と相談ダイヤルの案内の原文で確かめました。条文は2026年10月22日現在のものです。
この記事は一般的な解説で、法律相談の代わりにはなりません。
報告と通知の義務(26条)
- 個人情報取扱事業者は、取り扱う個人データの漏えい、滅失、毀損その他の安全の確保にかかわる事態で、個人の権利利益を害するおそれが大きいもの(施行規則で定める)が生じたときは、個人情報保護委員会に報告しなければなりません(26条1項)
- そのときは、本人にも、その事態が生じた旨を通知しなければなりません。本人への通知が困難な場合で、本人の権利利益を守るために必要な代わりの措置をとるときは、この限りではありません(26条2項)
対象になる4つの場合(施行規則7条)
「発生した」だけでなく、「発生したおそれがある」場合も含みます。
| 対象 | 個人情報保護委員会があげる例 | |
|---|---|---|
| ① | 要配慮個人情報が含まれる個人データの漏えい等(高度な暗号化などの措置をしたものを除く) | 病院の患者の診療情報・調剤情報を記録したUSBメモリーの紛失、従業員の健康診断等の結果の漏えい |
| ② | 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等 | ECサイトからクレジットカード番号を含む個人データが漏えい、送金・決済機能のあるウェブサービスのログインIDとパスワードの組み合わせの漏えい |
| ③ | 不正の目的をもって行われたおそれがある、事業者に対する行為による漏えい等 | 外部からの不正アクセスでサーバーのデータが窃取された、ランサムウェアで暗号化され復元できなくなった |
| ④ | 本人の数が1,000人を超える漏えい等 | ― |
- 要配慮個人情報には、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実のほか、政令で定める障害があること、健康診断その他の検査の結果、診療・調剤情報などが含まれる、と個人情報保護委員会は説明しています
- 個人情報保護委員会は、クレジットカード番号の下4桁と有効期限の組み合わせだけの漏えいであれば、ただちに報告の対象にはあたらない、としています
- ③の「不正の目的をもって」の主体は、従業者だけでなく、盗難などの第三者も含まれる、としています
プレ男「流出したおそれ」の段階でも、報告や通知の対象になるんだ。
報告の期限(施行規則8条)
- 事業者は、対象の事態を知ったあと速やかに、そのとき把握している事項(概要、漏えいした項目、本人の数、原因、二次被害のおそれ、本人への対応、公表、再発防止策など)を報告します(8条1項)
- そのうえで、事態を知った日から30日以内(③の不正の目的のおそれがある場合は60日以内)に、これらの事項を報告しなければなりません(8条2項)
本人への通知に書かれること(施行規則10条)
事業者は、事態を知ったあと、状況に応じて速やかに、本人の権利利益を守るために必要な範囲で、次の事項を通知します。
- 概要
- 漏えい等が発生した(おそれがある)個人データの項目
- 原因
- 二次被害またはそのおそれの有無と、その内容
- その他参考となる事項
メル美お知らせを読むときは、「どの項目が漏れたのか」と「二次被害のおそれ」を見ればいいんだね。
漏えいしたデータの利用停止・消去を請求できる(35条5項)
- 本人は、自分が識別される保有個人データについて、26条1項本文の事態(報告対象の漏えい等)が生じた場合、その保有個人データの利用停止・消去または第三者への提供の停止を請求できます(35条5項)
- 事業者は、請求に理由があるとわかったときは、本人の権利利益の侵害を防ぐのに必要な限度で、遅滞なく対応しなければなりません(35条6項)
- 自分のデータの開示や訂正の請求のしかたは、自分の個人データの開示請求の記事で
報告対象の漏えい等が生じた保有個人データについて、本人は利用停止・消去を請求できます(個人情報保護法35条5項)。
これからの改正(施行予定)
- 2026年7月17日に公布された改正法(令和8年法律第56号)により、e-Gov法令検索に載っている2028年7月16日施行予定の条文では、26条2項ただし書に、本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合が加わります(施行日までに変わることもあるので、e-Gov法令検索で最新の条文を確かめてください)
相談先
- 個人情報保護法相談ダイヤル(個人情報保護委員会):03-6457-9849、9:30〜17:30(土日祝日・年末年始を除く)。事業者の個人情報の取扱いに関する苦情や制度の質問を電話で受け付けます。匿名でも相談できます。個別の適法・違法の判断は求められません
まとめ
- 要配慮個人情報(病歴・健診結果など)、財産的被害のおそれ(カード番号など)、不正の目的のおそれ(不正アクセスなど)、1,000人超の漏えい等(おそれを含む)は、事業者に委員会への報告と本人への通知の義務(26条・施行規則7条)
- 報告は、知ったあと速やかに、そして30日以内(不正の目的のおそれは60日以内)にくわしく(施行規則8条)
- 本人への通知には、概要・漏れた項目・原因・二次被害のおそれなど(施行規則10条)
- 漏えい等が生じた自分のデータは、利用停止・消去を請求できる(35条5項)
- ネットに出た情報は消しきれないことはスマホの写真も流出しうる、人のアカウントに勝手にログインする罪は不正アクセス禁止法の記事で
参考文献
- 個人情報の保護に関する法律(平成15年法律第57号)第16条、第26条、第35条. e-Gov法令検索. https://laws.e-gov.go.jp/law/415AC0000000057 (閲覧日:2026年10月22日)
- 個人情報の保護に関する法律(令和8年法律第56号による改正後、2028年7月16日施行予定の条文)第26条. e-Gov法令検索. https://laws.e-gov.go.jp/law/415AC0000000057 (閲覧日:2026年10月22日)
- 個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号)第7条、第8条、第10条. e-Gov法令検索. https://laws.e-gov.go.jp/law/428M60020000003 (閲覧日:2026年10月22日)
- 個人情報保護委員会. 漏えい等報告について. https://www.ppc.go.jp/personalinfo/legal/leakAction/ (閲覧日:2026年10月22日)
- 個人情報保護委員会. 個人情報保護法相談ダイヤル. https://www.ppc.go.jp/personalinfo/pipldial/ (閲覧日:2026年10月22日)
この記事は一般的な情報提供を目的としたもので、個別の診断・治療に代わるものではありません。 気になる症状や不安がある場合は、医療機関にご相談ください。