この記事で分かること／分からないこと
- 分かること: 個人情報保護委員会が定める漏えい等報告の期限と、報告が義務付けられる条件
- 分かること: 2025年10月から使えるランサムウェア事案向けの共通様式
- 分からないこと: 生成AIサービス固有の漏えい等が、具体的にどの条件に該当するかの法的評価
- 分からないこと: 自社で過去に報告義務に該当する事案が発生したかどうか(本稿では扱わない)
編集部は法律の専門家ではなく、本記事は法的な助言ではない。実際の該当性の判断は、必要に応じて弁護士等の専門家に確認してほしい。
報告の期限は「発覚してから」で決まる
個人情報保護委員会は、漏えい等が不正な目的で行われたおそれがある場合、発覚した日から60日以内の報告を求めている。ページには「発覚したら、まずは速やかに報告してください」という案内もあわせて記載されている(出所: 個人情報保護委員会「漏えい等の対応とお役立ち資料」、https://www.ppc.go.jp/personalinfo/legal/leakAction/、確認日2026-09-06)。
報告が義務付けられる条件
同ページでは、次のいずれかに該当する場合に漏えい等報告が義務付けられるとしている(出所: 同URL、確認日2026-09-06)。
- 要配慮個人情報が含まれる個人データの漏えい等(またはそのおそれ)
- 不正に利用されることで財産的被害が生じるおそれがある個人データの漏えい等
- 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
- 個人データに係る本人の数が1,000人を超える漏えい等
このうち「不正の目的をもって」の主体には、従業者だけでなく盗難等の第三者も含まれるとされている(出所: 同URL、確認日2026-09-06)。
2025年10月からランサムウェア事案は共通様式で報告できる
2025年10月1日以降、政府全体としてのサイバー攻撃の被害報告一元化の方針に従い、ランサムウェア事案による個人データの漏えい等については、共通様式による報告が可能になっている。共通様式は権限委任先省庁に対する報告にも用いることができるとされている(出所: 個人情報保護委員会、同URL、確認日2026-09-06)。
「報告義務があるか」と「壊れていることに気づけるか」は別の問題
このページが定めているのは、漏えい等が起きた後にどう報告するかという手続きである。その前提として、そもそも異常が発生していることに気づけるかどうかは別の問題として残る。自社では、問い合わせフォームがドメイン移設をきっかけに65日間405を返し続けていたにもかかわらず、データベースの件数監視だけでは検知できなかった事例を経験している。詳細は問い合わせフォームが65日間405だった事例の記事にまとめている。
この記事で扱っていないこと
正直に書くと、生成AIサービス固有の漏えい等が、上記の条件のどれに具体的に該当するかは事案ごとの法的評価が必要であり、編集部では判断できない。自社で過去にこの基準に該当する事案が発生したかどうかについても、本稿では扱わない。
業種ごとの規制の有無は業界別ルールの記事、出力の検証責任は出力の検証責任の記事で扱う。相談はお問い合わせから編集部まで。
よくある質問
Q1. 漏えい等報告の期限はいつまでか
不正な目的で行われたおそれがある場合、発覚した日から60日以内とされている。個人情報保護委員会は、発覚したら速やかに報告するよう案内している。
Q2. どのような場合に報告が義務付けられるのか
要配慮個人情報を含む漏えい等、財産的被害のおそれがある漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等のいずれかに該当する場合である。
Q3. ランサムウェア事案の報告方法は変わったのか
2025年10月1日以降、政府全体の被害報告一元化の方針に従い、共通様式による報告が可能になった。権限委任先省庁への報告にもこの様式を用いることができる。
Q4. 報告手続きを知っていれば事故対応として十分か
十分ではない。報告手続きは漏えい等が起きた後の対応であり、その前提として異常や機能停止に気づけるかどうかは別の課題として残る。正常に見える応答を返しながら壊れているケースは特に気づきにくい。