日本の個人情報保護法（APPI）における漏えい報告義務｜外国企業向けガイド

日本の個人情報保護法（APPI）は、日本国内に拠点を持たない外国企業にも関係します。ECサイトやSaaSで日本の利用者を抱えている、日本在住者の従業員・応募者情報を扱っている、といった場合、自社が日本にいると意識していなくても義務の対象になり得ます。ここでは漏えい等が起きた際の報告義務を中心に、外国企業が押さえるべき点を整理します。

APPIは、日本にいる個人の個人データを取り扱う事業者に対して、その所在国を問わず適用されます。これがいわゆる域外適用です。

• 売上や従業員数などの規模による閾値はありません
• 日本の居住者1名分でも個人データの取扱いがあれば、義務が生じ得ます
• 日本国内に事務所や子会社を持たない外国企業も対象になり得ます

「自社は日本に法人がないから関係ない」という理解は誤りになり得る、という点が出発点です。詳しくは個人情報保護法の用語解説もあわせてご覧ください。

漏えい・滅失・毀損（あわせて「漏えい等」）が発生した場合、次の4類型のいずれかに該当すると、個人情報保護委員会（PPC）への報告義務が生じます。

• (a) 要配慮個人情報を含むもの：人種、信条、病歴、犯罪歴など、取扱いに特に配慮を要する情報が含まれる場合
• (b) 不正に利用されることで財産的被害が生じるおそれがあるもの：例として、クレジットカード番号の漏えいなど
• (c) 不正の目的による行為によるもの：外部からのサイバー攻撃、内部者による不正な持出しなど
• (d) 1,000人分を超えるもの：影響を受ける本人の数が1,000人分を超える場合

いずれか一つに当たれば報告義務が生じます。件数が少なくても、(a)〜(c)に当たれば報告が必要になる点に注意が必要です。

PPCへの報告は、速報と確報の2段階に分かれています。

漏えい等の事態を把握した後、速やかに行う必要があります。ガイドライン上、法人では概ね3〜5日以内が目安とされています。この段階では、判明している範囲の情報で足ります。

事実関係や再発防止策を含めた報告を、原則として30日以内に行う必要があります。ただし、要配慮個人情報が関わる場合（不正の目的による行為によるもの）は、期限が60日以内に延長されます。

外国企業にとっては、まず速報の目安である「概ね3〜5日以内」というスピード感を、平時のインシデント対応手順に織り込んでおくことが実務上重要です。

PPCへの報告に加えて、原則として本人への通知も必要です。

• 通知は、事案の状況に応じて速やかに行います
• 本人への通知が困難な場合で、本人の権利利益を保護するための代替措置（公表など）を講じるときは、通知に代えることができる例外があります

APPI違反は、PPCによる命令の対象となり得ます。命令に違反した場合の罰金は、個人で最大100万円、法人で最大1億円です（法人重課）。

2026年に入り、制度改正の動きが進んでいます。

• 2026年1月9日：PPCが制度改正の方針を公表
• 2026年4月7日：課徴金（違反に対する直接的な行政上の金銭的制裁）の導入を含む改正法案が閣議決定

2026年中に成立すれば、施行は2028年頃になる見込みです。従来の「命令違反に対する罰則」に加えて、違反そのものに対する行政的な金銭的制裁が加わる方向であり、外国企業にとってもコンプライアンス上の重みが増すことになります。

漏えい等に備えて、外国企業が平時・有事に取るべき手順を整理します。

• (a) 適用の確認：日本にいる個人の個人データを扱っているかを棚卸しする
• (b) 手順の事前準備：報告期限（速報の目安3〜5日、確報の30日／60日）を織り込んだインシデント対応手順を平時に用意する
• (c) 類型の判定：漏えい時に、上記4類型のどれに当たるかを速やかに判定する
• (d) 速報の提出：概ね3〜5日以内にPPCへ速報を提出する
• (e) 本人通知：本人へ速やかに通知する（代替措置の要否も検討）
• (f) 確報の提出：原則30日以内（要配慮個人情報が関わる場合は60日以内）に確報を提出する
• (g) 窓口・代理人の検討：日本側の連絡窓口や代理人の設置を検討する

APPIの漏えい報告義務は、日本に拠点を持たない外国企業にも及び得ます。規模による閾値がない域外適用、報告が必要になる4類型、PPCへの2段階報告の期限（速報の目安3〜5日、確報30日／要配慮個人情報60日）、そして本人通知が基本の骨格です。2026年には課徴金導入を含む改正も進んでおり、外国企業にとってのリスクは高まる方向にあります。具体的な事案では、事実関係の評価や期限の管理が結論を左右するため、早い段階で専門家に相談することをお勧めします。