インシデント対応の現場で、技術的な封じ込めと同じくらい急を要するのが法令上の報告です。2022 年 4 月施行の改正個人情報保護法で、個人データの漏えい等が起きたときの個人情報保護委員会への報告と本人への通知が義務化されました（努力義務ではなく義務です）。
ところが、この期限については「72 時間以内に報告」という誤った情報が驚くほど広く出回っています。72 時間は EU の GDPR の規定であって、日本の個人情報保護法の期限ではありません。この記事では、報告が必要になる条件・期限・書く内容を、個人情報保護委員会の公開情報に沿って正確に整理します。
※ 本記事は法令の一般的な解説であり、法的助言ではありません。実際の判断は個人情報保護委員会の一次情報を確認し、必要に応じて弁護士等の専門家にご相談ください。
まず結論：期限は「72 時間」ではない
混同されやすい 2 つの制度を並べます。日本国内の個人データが対象なら、見るべきは左の列です。
| 項目 | 日本（個人情報保護法） | EU（GDPR） |
|---|---|---|
| 第一報の期限 | 速やかに（概ね 3〜5 日以内）＝速報 | 72 時間以内 |
| 詳細報告の期限 | 30 日以内＝確報（不正の目的による場合は 60 日以内） | 段階的報告が可能 |
| 報告先 | 個人情報保護委員会（ウェブサイトの報告フォーム） | 各国の監督機関 |
| 本人への通知 | 当該事態の状況に応じて速やかに | 高いリスクがある場合に遅滞なく |
日本の速報には「◯時間以内」という時間指定がなく、「速やかに」と定められています。ガイドラインではその目安が概ね 3〜5 日以内とされており、この日数には土日祝日も含まれます。金曜日の夕方に発覚したら、実質的に週明けまで待てないということです。
なお、ランサムウェア被害のように不正の目的による行為が疑われる場合は、専門的な調査に時間がかかることを踏まえ、確報の期限が 60 日以内に延びます。ただし速報の期限は延びません。調査中でも、分かっている範囲で速報を出す必要があります。
報告が必要になるのはどんな場合か（4 類型）
すべての漏えいを報告する必要はありません。施行規則 7 条が定める「報告対象事態」の 4 類型のいずれかに当たる場合に義務が生じます。1 つでも当てはまれば報告が必要です。
| 類型 | 内容 | 件数の要件 |
|---|---|---|
| 1 号 | 要配慮個人情報が含まれる漏えい等（人種・信条・社会的身分・病歴・犯罪の経歴など） | 1 人分でも対象 |
| 2 号 | 不正に利用されると財産的被害が生じるおそれがある漏えい等（クレジットカード番号、送金機能のある ID・パスワードなど） | 1 人分でも対象 |
| 3 号 | 不正の目的による行為が疑われる漏えい等（不正アクセス、ランサムウェア感染、盗難、従業員による無断持ち出しなど） | 1 人分でも対象 |
| 4 号 | 本人の数が1,000 人を超える漏えい等 | 1,001 人以上 |
技術者が特に押さえるべき 2 点
1 つ目は 3 号です。「不正の目的による行為」が含まれるため、ランサムウェアに感染した時点で、原則として報告対象になります。件数の下限はありません。しかも、暗号化されただけでデータが持ち出された形跡がなくても、アクセスされたおそれがあれば対象になり得ます。「持ち出された証拠がないから報告不要」という判断は危険です。
2 つ目は、どの類型にも「発生したおそれがある事態」が含まれる点です。確定していなくても、おそれの段階で報告義務が生じます。フォレンジック調査の結果を待ってから報告しようとすると、速報の 3〜5 日を確実に超えます。調査完了は速報を遅らせる理由になりません。
インシデント全体の進め方は セキュリティインシデント対応手順 に、ランサムウェア固有の論点は 2026年のランサムウェア にまとめています。
速報と確報：2 段階のタイムライン
報告は 1 回で終わりではなく、速報と確報の 2 段階です。起点はいずれも「事態を知った日」で、発生日ではありません。
| 速報 | 確報 | |
|---|---|---|
| 期限 | 速やかに（概ね 3〜5 日以内・土日祝含む） | 30 日以内／不正目的の場合 60 日以内 |
| 書く内容 | その時点で把握している範囲でよい | 9 項目すべてを記載する必要がある |
| 実務上のポイント | 不明点は「調査中」で提出してよい。まず出すことが優先 | 原因究明と再発防止策が固まっている必要がある |
重要なのは、速報の段階では全容が分かっていなくてよいということです。速報で完璧を目指して期限を過ぎるより、判明している範囲で提出し、確報で埋めるのが正しい進め方です。
確報で必要な 9 項目
施行規則 8 条が定める報告事項です。確報ではこの 9 項目すべてを記載します。裏を返せば、これがインシデント調査で明らかにすべき項目のチェックリストにもなります。
- 概要（発生日・発覚日・発生事案の内容）
- 漏えい等が発生した、または発生したおそれがある個人データの項目
- 漏えい等が発生した、または発生したおそれがある個人データに係る本人の数
- 原因
- 二次被害またはそのおそれの有無および内容
- 本人への対応の実施状況
- 公表の実施状況
- 再発防止のための措置
- その他参考となる事項
技術者の立場では、4（原因）と 8（再発防止策）を書けるだけの調査ができているかが問われます。ここで効いてくるのがログの保全です。侵入経路を特定できなければ原因も再発防止策も書けません。実際、国内の公表事案では、早期復旧を優先した結果ログが失われ、侵入経路の特定に至らなかったケースがあります（ 国内の主要セキュリティインシデント事例 の名古屋港の事例）。
本人への通知
委員会への報告とは別に、漏えいした本人への通知も義務です。期限は「当該事態の状況に応じて速やかに」とされ、日数の明示はありません。内容は本人が分かりやすい方法で伝える必要があります。
本人への連絡先が分からないなど通知が困難な場合は、代替措置が認められています。具体的にはウェブサイトでの公表や問い合わせ窓口の設置です。実務では、大規模漏えい時に「お知らせページの公開＋専用窓口の設置」という形をとる事例が多いのはこのためです。
通知では、本人が自衛のために動ける情報を含めることが重要です。漏えいした項目が分からなければ、本人はパスワード変更が必要なのかカードの利用停止が必要なのか判断できません。認証情報が含まれる場合の本人側の対処は インフォスティーラーとセッション乗っ取り や MFA / TOTP / FIDO2 の違い も参考になります。
委託先・委託元の場合分け（実務で最も間違えやすい）
受託して個人データを預かっている事業者が漏えいを起こした場合、報告義務は委託先と委託元の両方が負うのが原則です。ただし例外があります。
委託先が、報告義務を負っている委託元に対して速やかに通知したときは、委託先の委員会への報告義務が免除されます（法 26 条 1 項ただし書）。この通知も速やかに、概ね 3〜5 日以内に行う必要があります。
ここで見落とされやすい条件があります。この免除は「委託元が報告義務を負っていること」が前提です。委託先には報告義務があるのに委託元には報告義務がないという場合、委託元へ通知しても委託先の報告義務は免除されません。「委託元に伝えたから自社は報告不要」と早合点しないでください。
本人への通知についても、免除された委託先に代わって委託元が通知することになりますが、委託先の協力を得て連名で通知することも可能です。
国内では、BPO 事業者の侵害が委託元 30 社以上に波及した事例（イセトー）や、委託先 PC の感染がグループ共通の認証基盤に及んだ事例（LINEヤフー）があり、委託構造は日本のインシデントで繰り返し現れる侵入経路です。契約段階でインシデント時の通知フローと責任分界を決めておくことが、そのまま法令対応の速さになります（ サプライチェーン攻撃の6類型と防御 ）。
国内の公表事案は、どの類型に当たったか
4 類型は条文だけ読むと抽象的ですが、実際の事案に当てはめると判断の感覚がつかめます。以下は 国内の主要セキュリティインシデント事例（2020–2025） で扱った公表事案を、類型の観点から整理したものです。
| 事案 | 状況 | 当てはまる類型 |
|---|---|---|
| イセトー（2024年） | ランサムウェア感染、307 万件超が漏えい | 3 号（不正の目的）＋ 4 号（1,000 人超） |
| KADOKAWA（2024年） | ランサムウェア感染、約 25.4 万件が漏えい | 3 号 ＋ 4 号 |
| アサヒグループHD（2025年） | ランサムウェア感染、191 万件が漏えい | 3 号 ＋ 4 号 |
| LINEヤフー（2023年） | 委託先経由の不正アクセス、約 44 万件が漏えい | 3 号 ＋ 4 号（委託構造の整理も必要） |
並べてみると、ランサムウェア被害は 3 号に該当するため、件数にかかわらずまず報告対象になるという点が実務上いちばん効いてきます。件数の集計を待つ必要はありません。
発覚したらこの順で動く
技術対応と並行して法令対応を進めるための、実務上の優先順です。
- ☐ 被害拡大の停止とログの保全を同時に行う（保全を怠ると確報の「原因」「再発防止策」が書けなくなる）
- ☐ 4 類型のどれかに当たるかを暫定判断する。迷ったら「おそれ」の段階で対象とみなして動く
- ☐ 受託データが含まれるかを確認し、含まれるなら委託元へ速やかに通知する（自社の報告要否とは別に必要）
- ☐ 知った日から 3〜5 日以内に速報を提出する。不明点は「調査中」でよい
- ☐ 本人への通知内容を準備する。連絡困難ならウェブ公表と問い合わせ窓口で代替する
- ☐ 調査を進め、30 日以内（不正目的なら 60 日以内）に 9 項目すべてを記載した確報を提出する
- ☐ 再発防止策を実装し、確報に記載した内容と実態を一致させる
平時にやっておけることとしては、「誰が委員会に報告するのか」を決めておくことが効きます。発覚後に社内で報告主体を調整していると、それだけで数日が溶けます。
実体験：自分の記事も「72 時間」と書いていた
この記事を書くきっかけは、本サイトの既存記事に誤りを見つけたことでした。 インシデント対応手順の記事 で、個人情報保護委員会への報告を「72 時間以内に速報」と書いていたのです。今回、個人情報保護委員会の公開情報を読み直して、これが GDPR の規定との混同だと分かりました。該当箇所は修正済みです。
なぜ間違えたのかを考えると、「72 時間」という数字が技術系の記事でくり返し使われていて、それが自然に頭に入っていたからだと思います。実際、検索するとこの誤りは今も相当数見つかります。セキュリティの技術情報は一次情報を当たる習慣があっても、法令になると二次情報を鵜呑みにしていたわけで、反省しています。
もう一つ、調べていて実務的に怖いと感じたのが「速報の 3〜5 日に土日祝が含まれる」点です。金曜の夕方に発覚した場合、月曜に出社してから動いていては期限に間に合いません。技術的な封じ込めは週末に手を動かせても、法令報告は「誰が出すか」が決まっていないと週末は進みません。個人開発の規模でも、問い合わせ窓口をどこに置くかは決めてあり、本サイトも お問い合わせ と プライバシーポリシー で連絡経路を明示しています。規模にかかわらず、「起きてから決める」ことを減らしておくのが唯一効く準備だと感じました。
参考にした一次情報
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」— 報告対象事態・速報／確報の期限・本人通知
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」— 4 類型の具体例と報告フォーム
- 個人情報保護法 26 条、同施行規則 7 条・8 条 — 報告対象事態と報告事項
制度は改正されることがあります（本人通知義務の緩和などが検討されています）。実際の対応にあたっては、必ず個人情報保護委員会の最新の一次情報をご確認ください。
おわりに
この分野でいちばん危ないのは、期限や条件をうろ覚えのまま「たぶん大丈夫」と判断してしまうことです。押さえるべきは 3 点だけです。速報は速やかに（概ね 3〜5 日・土日祝含む）、確報は 30 日（不正目的なら 60 日）、ランサムウェア感染は件数に関係なく 3 号で報告対象。この 3 点を関係者で共有しておくだけでも、発覚後の初動はかなり変わります。