個人情報の漏えいに気づいたら、最初に何をするか——初動対応の流れと、平時に整えておきたい備え

前回のコラム「相次ぐ個人情報漏えいは「氷山の一角」かもしれない」では、公表されている事故の下に、まだ表に出ていない事故や被害があるのではないか、というお話をしました。
そのうえで、見えない被害を減らすために経営として見直したい視点の一つとして、「気づいて動ける」ことを挙げました。

今回はその続きとして、実際に漏えいに気づいたとき、最初に何をすればよいのかを整理してみます。
どれだけ備えていても、漏えいを完全にゼロにすることは難しいものです。
そのとき会社への信頼を左右するのは、事故があったかどうか以上に、気づいてからどう動けたかではないかと、私たちは考えています。

このコラムでは、個人情報保護委員会の資料やプライバシーマーク制度の事故報告のルールをもとに、初動対応の流れと、平時に整えておきたい備えをまとめました。

漏えいに気づいてから、報告までの流れ

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」では、漏えい等が発覚したときに講ずべき措置として、次の5つが挙げられています。

• 事業者内部における報告と、被害の拡大防止
• 事実関係の調査と、原因の究明
• 影響範囲の特定
• 再発防止策の検討と実施
• 個人情報保護委員会への報告と、本人への通知

実際には、これらを一つずつ順番に進めるのではなく、並行して進めることになります。
時間の流れに沿って整理すると、たとえば次のようなイメージです。

最初に取りかかりたいのは、社内の責任者への報告と、被害の拡大防止です。
メールの誤送信であれば送信先への削除のお願い、不正アクセスが疑われる場合は機器のネットワークからの切り離しやアカウントの停止など、まずは被害が広がらないように手を打ちます。
このとき、記録（ログ）や画面の状態を消さずに残しておくことも大切です。
後の調査で、何が起きたのか、どこまで影響が及んだのかを確かめる手がかりになります。

もう一つ意識しておきたいのは、報告の対象には漏えいが「発生したおそれがある」段階も含まれるということです。
「まだ確定していないから」と様子を見ているうちに、期限が過ぎてしまうこともあり得ます。
速報はその時点でわかっている範囲で行い、判明したことを確報で補う、という考え方です。

※個人情報保護委員会の公表資料をもとに当社で整理（2026年10月時点）。出典は記事末尾に掲載しています。

報告が必要な事態に当たらない場合でも、社内での記録と再発防止は欠かせません。
小さなミスを記録し、仕組みで潰していくことが、前回お話しした「氷山の水面下」を小さくすることにつながります。

委託先で起きた漏えいも、他人事ではありません。
個人情報保護委員会のQ&Aでは、委託先で報告が必要な漏えいが起きた場合、原則として委託元と委託先の双方が報告義務を負うとされています。
委託先が委託元に事態の発生を通知した場合は、委託先の報告義務は免除され、委託元が報告することになります。
いざというときに委託先からすぐに連絡が来るかどうかは、日頃の取り決め次第です。

Pマークを取得している企業は、審査機関への事故報告も必要です。
プライバシーマーク制度では、原則として発覚日から30日以内（不正の目的をもって行われたおそれがある事故の場合は60日以内）に審査機関へ確報を行い、要配慮個人情報が含まれる場合などは、発覚日から概ね3〜5日以内に速報を行うことになっています。
報告された事故は、制度の規約にもとづいて措置が決められます。

JIPDECの集計では、2025年度にPマーク付与事業者2,021社から10,633件の事故報告（配送委託先による誤配送などを含む）がありました。
事象分類別では、誤配達・誤交付（37.8%）と誤送信（25.5%）が多く、不正アクセスは10.3%でした。
件数で見れば、いまも送付や送信のミスが中心です。

なお、2026年7月に成立した改正個人情報保護法には、違法な第三者提供を報告の対象に加えることや、本人の権利利益の保護に欠けるおそれが少ない場合の本人への通知の緩和、一定の条件のもとでの速報の免除など、漏えい等報告の見直しも盛り込まれています。
施行は原則として公布から2年以内とされているため、当面は、いまのルールにもとづいて対応することになります。

期限内に動けるかどうかは、平時の準備で決まる

速報の目安である3〜5日は、思っている以上に短い時間です。
しかもガイドラインでは、法人の場合、いずれかの部署が事態を知った時点が起算点とされています。
経営者や担当部署に報告が上がった時点ではなく、社内のどこかの部署が把握した時点から、時間は進み始めているということです。
事故が起きたときに初動を遅らせやすいのは、「誰に連絡すればよいかわからない」「報告が必要な事態に当たるのか判断できない」「何が起きたのかを確かめる記録がない」といった迷いです。
こうした迷いは、事故が起きてからでは解消しにくく、平時のうちに整えておくしかありません。

※技術面の具体的なチェック項目は、【最新2026】企業が今週中に確認したい、最低限の7つの対策で詳しく解説しています。

中でも、連絡経路と判断基準の2つは、すぐにでも見直していただきたいポイントです。
気づいた人が「これくらいなら」と自分の判断で処理してしまうと、報告すべき事態が埋もれてしまいます。
小さなことでも報告しやすい雰囲気をつくり、報告を受けた側が判断できる手順を持っておく。
それだけでも、初動の速さは変わってくると思います。

PマークやISMSの仕組みには、こうした備えがもともと組み込まれています。
Pマークの構築・運用指針でも、「緊急事態への準備」として、報告が必要な関係機関などをあらかじめ特定し、緊急事態を特定する手順と、その後の対応の手順を内部規程として定めておくことが求められています。
ISMS（ISO/IEC 27001）でも、附属書Aの管理策に、情報セキュリティインシデント管理の計画と準備、情報セキュリティ事象の報告、証拠の収集などが含まれています。
大切なのは、規程として書いてあるだけでなく、いざというときに実際に動ける状態になっているかどうかです。

私たちUPFは、2009年からPマーク（プライバシーマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内にはプライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、制度の改訂や審査の傾向を早い段階で把握し、日々のご支援に活かしています。

事故への備えは、事故が起きる前にしか整えられません。
認証の取得をお手伝いするだけでなく、企業が「気づいて、すぐに動ける」状態を、実務の面から一緒につくっていければと考えています。

よくある質問

Q. 漏えいかどうか、まだはっきりしません。それでも報告が必要ですか？
A. 報告の対象には、漏えい等が「発生したおそれがある」事態も含まれます。
確定を待たずに、その時点でわかっている範囲で速報を行い、判明したことを確報で補います。
判断に迷う場合は、早めに専門家にご相談ください。

Q. メールの誤送信1件でも、報告が必要ですか？
A. 報告が必要な4つの事態のいずれかに当たる場合は必要です。
たとえば、病歴などの要配慮個人情報が含まれていれば、1人分でも報告の対象になります。
一方で、高度な暗号化などの措置が講じられている場合は、報告は不要とされています。
報告が不要な場合でも、社内での記録と再発防止は欠かせません。
また、Pマーク付与事業者は、個人情報保護委員会への報告が不要な事故でも、審査機関への事故報告が必要になる場合があります。

Q. 委託先で漏えいが起きた場合、報告は誰がしますか？
A. 原則として、委託元と委託先の双方が報告義務を負い、連名で報告することもできます。
委託先が委託元に事態の発生を通知した場合は、委託先の報告義務は免除され、委託元が報告することになります。

Q. 漏えいが起きたら、必ず公表しなければなりませんか？
A. 個人情報保護委員会への報告や本人への通知と違い、公表は法律で一律に義務づけられているわけではありません。
ただし、本人への通知が難しい場合の代替措置として公表を選ぶことがあるほか、取引先や社会への説明の観点から公表を検討することもあります。
また、Pマークの構築・運用指針では、緊急事態が発生した場合の対応手順に、二次被害や類似事案の発生を避ける観点から、可能な範囲で事実関係や発生原因、対応策を公表することを含めるよう求めています。

Q. 事故対応の手順づくりや、委託先の管理についても相談できますか？
A. はい。
Pマーク・ISMSの取得・運用のご支援とあわせて、事故が起きたときの手順づくりや委託先の管理についてのご相談も承っています。
他社の支援で取得された企業からの「運用を見直したい」というご相談もお受けしています。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「事故が起きたときの連絡経路や判断基準を整えたい」「委託先との取り決めを見直したい」「取得した認証の運用を見直したい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。