REGULATORY INSIGHT

令和8年改正個人情報保護法の漏えい等報告——本人通知の例外と「報告しなくてよい」根拠の残し方

2026年10月22日

誰が、いつから、何を示す必要があるか

個人情報取扱事業者は、個人データの漏えい等のうち一定の事態が生じたとき、個人情報保護委員会に報告し、本人に通知する義務を負っています（個人情報保護法 第26条）。この規律を見直す改正法が2026年7月10日に成立し、7月17日に公布されました（令和8年法律第56号）。

改正の大部分の施行は「公布の日から起算して2年を超えない範囲内で政令で定める日」とされ、漏えい等報告の具体的な線引きは今後の委員会規則の改正で定まります。委員会は2026年9月から10月にかけて規則改正の「基本的な考え方」を順次公表しており、意見募集はその後の予定です。つまり、現時点で適用されているのは現行の規則で、改正の中身は「方向は決まったが線はまだ引かれていない」段階にあります。

現行の規則と、改正で加わるもの

• 報告対象事態（現行規則第7条）：要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、本人の数が1,000人超、の4類型
• 報告期限（現行規則第8条）：速報は「速やかに」（ガイドライン上の目安は知った時点から概ね3〜5日）、確報は30日以内（不正の目的によるおそれがある事態は60日以内）
• 本人通知の例外の拡大（改正後の第26条第2項ただし書）：現行の「通知が困難な場合」に加え、通知がなくても本人の権利利益の保護に欠けるおそれが少ない場合として規則で定める場合が加わる。いずれも代替措置が条件
• 報告の合理化（第26条第1項、内容は規則に委任）：第三者が事業者の体制を確認していることを前提とした速報の一部免除、誤送付など本人1名の事案の確報を一定期間ごとにまとめて提出できる仕組み
• 報告対象の追加：違法な第三者提供を報告対象事態に加える方向

同じ改正法には、課徴金制度の新設（不適正利用・不正取得・第三者提供制限違反などのうち大規模な事案が対象）、16歳未満の子どもの個人情報に関する規律、顔特徴データ等の規律も含まれています。衆参両院の附帯決議は、本人通知の例外について対象範囲と判断基準を規則で明記するよう求めました。

実務で詰まる点

1. 例外が広がるほど「報告・通知をしなかった」判断が増えます。後から委員会や本人に問われたとき、その時点でどの事実を把握し、どの要件に当たらないと判断したのかを示す記録がなければ、例外に依拠したことを説明できません
2. 速報の期限の起点は「知った時点」です。委託先や現場からの第一報がいつ、誰に届いたかが記録されていないと、期限を守ったことを示せません
3. 確報のまとめ提出を使うには、本人1名の誤送付などの小規模事案を、発生の都度、同じ粒度で記録しておく必要があります。部署ごとにメールや表計算で管理していると、期間ごとの集計の段階で漏れが生じます
4. 施行までの間は現行規則、施行後は改正規則と、判断の基準が切り替わります。個々の判断がどの時点の基準に基づくのかを残しておかないと、境目の事案を説明できません

運用でしのぐか、仕組みで担保するか

この種の要請には、二通りの向き合い方があります。ひとつは、手順書を整備し、担当者が確認と記録を行う運用でしのぐ方法。もうひとつは、求められたときに示せる記録が自動的に残る仕組みを組み込む方法です。

前者は着手が早い反面、対象となる手続や担当者が増えるほど破綻します。例外対応が積み重なるうちに記録の粒度が揃わなくなり、後から範囲を特定できなくなるためです。後者は設計の負担が先に来ますが、あとから確認できる状態が保たれます。

当社は、規制対応の適合性を人手の運用ではなく仕組みとして担保する技術を研究開発し、その成果を特許出願として保有しています。詳しくは技術領域をご覧ください。

施行と改正を追っています。更新はRSSで受け取れます。

← 解説の一覧へ