個人情報漏洩の報告義務、3つの判断基準と初動手順

「メールを誤送信してしまった。これって個人情報保護委員会に報告しないといけないの？」——気づいた瞬間、頭が真っ白になる経験をした方も少なくないはずです。しかも専任の法務担当も情報セキュリティ担当もいない。対応すべきことは山積みなのに、何から手をつければいいのか分からない。そんな状況でこの記事にたどり着いた方のために、個人情報漏洩の報告義務の判断基準・初動の手順・再発防止策を実務ベースで整理しました。

報告義務を生む「4つの類型」を理解する

個人情報漏洩が発生した場合に個人情報保護委員会（以下、PPC）への報告が法的に義務付けられるのは、個人情報保護法第26条で定められた4類型のいずれかに該当するケースです。まず「自分たちの事案が4類型に当てはまるかどうか」を確認することが、すべての対応の出発点になります。

要配慮個人情報が含まれているかどうか

健康診断の結果、病歴、障害に関する情報、診療記録などは「要配慮個人情報」として法律上特別に保護されています。これらが含まれたファイルやメールを誤送信した場合は、件数にかかわらず報告義務が生じます。たとえば「健康診断の個人票を1件だけ誤送信した」というケースでも、対象が要配慮個人情報であれば義務が発生します。

財産的被害・不正利用のリスクがあるかどうか

銀行口座番号、クレジットカード番号など、財産的被害につながり得る情報が含まれている場合も報告対象です。また「誤送信先が不審な第三者である」「競合他社に送ってしまった」など、不正の目的に使われるおそれがあると合理的に判断できる場合も同様に該当します。

件数が1,000件以上かどうか

内容が氏名・所属などの基本情報のみであっても、漏洩した個人データが1,000件以上であれば報告義務が生じます。顧客リストや従業員名簿などをまとめたファイルを誤送信した場合は、まず件数を確認してください。

「読まれたかどうか分からない」でも報告義務は生じる

誤送信後によく出る疑問が「相手がまだ開封していないなら報告しなくていいのでは」というものです。結論から言えば、開封の有無は報告義務の判断に影響しません。個人情報保護法第26条第1項は「漏洩が生じたおそれがある場合」も報告対象としており、実際に情報が読まれたかどうかは要件に含まれていないのです。

「漏洩のおそれ」が要件に含まれる理由

法律がこのような設計になっている理由は、被害の発生を「事後に確認してから対応する」のでは遅いためです。誤送信のメールが開封されているかどうかをリアルタイムに確認する手段は通常ありません。そのため「送ってしまった時点でリスクが生じた」とみなして初動対応を始めることが求められています。

送信先が法人か個人かで対応の重さは変わる

ただし、法律上の義務とは別に、実務上のリスク感は送信先の属性によって異なります。送信先が継続的な取引関係にある法人で、誤送信に気づいた直後に連絡して削除依頼が完了した場合と、見知らぬ個人に送ってしまった場合では、実質的な被害リスクが違います。4類型に該当するかどうかの判断に加えて、送信先の属性・対応状況を記録しておくことが、後の説明責任に役立ちます。

「4類型への該当判断が難しい」「判断基準の確認だけでも不安」という場合は、ウェルセンス株式会社に相談して事案を整理することも一つの選択肢です。

報告義務が発生したときの速報・確報スケジュール

4類型に該当すると判断した場合、PPCへの報告は「速報」と「確報」の二段階で行います。どちらも発覚日（事態を知った日）を起点に期限が設定されており、特に速報の期限は非常に短いため注意が必要です。

速報は発覚から3〜5日以内

速報は、事態を知った日から原則3〜5日以内（休日を含む）にPPCのオンライン報告システムから提出します。この時点では詳細が確定していなくても構いません。「分かっている範囲での第一報」という位置づけであり、「事案の概要・発覚日時・対象データの概要・現時点での対応状況」を記載します。

確報は30日以内（場合により60日）

確報は、事態を知った日から原則30日以内に提出します。ただし「財産的被害のおそれ」や「不正目的のおそれ」に該当する類型では60日以内が期限となります。確報では、漏洩した個人データの件数・属性・原因分析・被害状況・本人への通知内容・再発防止策などをより詳しく記載します。速報と確報を一度にまとめて提出することも可能です。

本人通知の義務とタイミング

PPCへの報告義務が生じる事案では、原則として本人への通知も義務付けられています（個人情報保護法第26条第2項）。通知内容は「いつ・何が・どのような状況で漏洩したか」「現在の対応状況と再発防止策」が基本です。通知手段は書面・メールいずれも可能ですが、通知が困難な場合は自社ウェブサイトへの掲示などの代替措置が認められています。通知した日時・手段・内容は必ず記録として残してください。

発覚当日に動かすべき初動対応の手順

誤送信が発覚したら、当日中に事実確認・経営者報告・誤送信先への連絡・証拠保全の4つを並行して進めます。専任担当がいない場合は、経営者と現場担当者が役割を分担して動くことが重要です。

まず事実確認と対象データの特定を行う

最初に「何を・誰に・いつ送ったか」を正確に把握します。具体的には、誤送信したメールの送信日時・宛先アドレス・添付ファイルの内容と件数・含まれる情報の種類（氏名のみか、口座情報や健康情報を含むか）を確認します。この情報が、4類型への該当判断とPPCへの報告内容の基礎になります。送信メールは証拠として消去せず、スクリーンショットやPDF出力で保全してください。

経営者への即時報告と対応体制の確立

事実確認と並行して、経営者（または責任者）に口頭で即時報告します。その後、誰が誤送信先への連絡を担うか・PPCへの報告対応を誰が行うか・社内への情報共有をどこまで行うかを決定します。人数が少ない組織では一人が複数の役割を担うことになりますが、対応の「担当者」と「実施日時」を記録する役割だけでも分けておくと、後の証跡整備がスムーズです。

誤送信先への連絡と削除依頼

誤送信先には速やかにメールと電話の両方で連絡し、メールの削除依頼と開封状況の確認を行います。連絡の際は「誤送信した事実・含まれていた情報の概要・削除をお願いしたい旨・削除完了後に確認の連絡をほしい旨」を伝えます。連絡した日時・担当者名・相手の反応（削除済みと回答した場合はその内容）を記録に残します。削除依頼への応答があった場合も、なかった場合も、その状況をPPCへの報告に反映させます。

証拠保全と最小限の情報管理

誤送信したメール本体・添付ファイル・送信ログなどは、PPCからの報告要求や本人からの問い合わせに備えて必ず保全します。削除や上書きは絶対に避けてください。同時に、この情報にアクセスできる者を限定し、無関係な従業員への拡散を防ぐことも重要です。

報告後に整備すべき再発防止策と証跡の残し方

PPCへの報告・本人通知を終えた後も、「適切に対応した」と言えるためには再発防止策の実施と証跡の整備が必要です。後日PPCから調査が入った場合や取引先から問い合わせを受けた場合に、証跡が整っているかどうかで対応の信頼性が大きく変わります。

対応記録を一本化して保管する

「いつ・誰が・何をしたか」をまとめた対応ログを一つのファイルに記録します。含めるべき項目は、発覚日時・事実確認の内容・経営者報告の日時・誤送信先への連絡日時と応答内容・PPCへの速報・確報の提出日・本人への通知日時と方法・再発防止策の実施内容と実施日です。Excelや社内共有ドキュメントで構いませんが、更新するたびに日付と担当者名を記録する習慣が重要です。

メール誤送信を防ぐための運用ルールを整備する

再発防止策として多くの企業が取り組むのが、メール送信時の確認フロー整備です。具体的には「個人情報を含む添付ファイルにはパスワードを設定する」「BCC送信すべき宛先をTOに入れていないか送信前に確認する」「送信前に上長や第三者が宛先と添付ファイルを確認するダブルチェックを設ける」などが代表的な対策です。ルールを決めたら社内文書として明文化し、全従業員に周知した記録（周知日・手段・対象者）を残してください。

個人情報保護方針と社内規程を見直す

今回の事案を機に、個人情報保護方針や社内の情報取扱規程が現状の業務に即した内容になっているかを確認します。特に「どのような情報を個人情報として扱うか」「漏洩が発生した場合の報告ラインと対応手順」が明記されていない場合は整備を優先します。中小企業向けのひな型はPPCのウェブサイトや関連団体が公開していますが、自社の業務実態に合わせてカスタマイズすることが重要です。規程を整備した日付・バージョン・周知記録も証跡として保管してください。

対応ルール整備は「人事だけで判断しない」ことが成功のポイント。外部の視点を入れることで、見落としやすい部分も補強できます。

よくある質問