外国企業と日本の個人情報漏えい報告｜個人情報保護法の域外適用・報告期限・本人通知

日本に拠点がない外国企業でも、日本の消費者に商品やサービスを提供していれば、日本の個人情報保護法が適用されることがあります（個人情報保護法171条）。その場合、一定の漏えい等が起きたら、個人情報保護委員会への報告と本人への通知が必要です。報告は2段階で、速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正アクセスなど不正の目的による場合は60日以内）が期限です。2026年7月には改正法が公布され、本人通知の緩和や課徴金の導入が予定されています。

• 海外のECサイトやSaaSで、日本の利用者の氏名・メールアドレス・決済情報を本国のサーバで管理している。
• 本国のシステムがランサムウェアに感染し、日本の利用者のデータが含まれていたかどうか分からない。
• 日本向けのアプリを運営しているが、インシデント対応の手順が本国の法令（GDPRなど）しか想定していない。
• 日本の子会社や販売代理店から顧客データを受け取り、本社でマーケティングに使っている。

個人情報保護法は、外国にある事業者が、国内にある者に対する物品または役務の提供に関連して、国内にある者を本人とする個人情報などを外国で取り扱う場合にも適用されます（法171条）。これを「域外適用」と呼びます。

ポイントは「日本にいる人への商品・サービスの提供に関連して」という要件です。日本の居住者のデータを持っているだけで、常に適用されるわけではありません。対象は外国にだけ拠点を持つ事業者に限られず、日本に支店などがある事業者の外国の本店も含まれます。対価を受け取っているかどうかも問いません（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）。

ガイドラインは、域外適用の対象となる例として次のようなものを挙げています。

• 外国のネット通販事業者が、日本の消費者への商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
• 外国のメールサービス事業者が、日本の消費者へのサービス提供に関連して、その個人情報を取り扱う場合
• 外国のホテルが、日本の旅行会社から提供を受けた日本の消費者の個人情報を、観光情報の配信に使う場合

本人から直接集めた情報だけでなく、日本の会社などから提供を受けた情報も対象になります。

反対に、外国の親会社が、グループの従業員情報の管理のために日本の子会社の従業員の個人情報を取り扱う場合は、域外適用の対象外とされています。ただし、この場合も、日本の子会社が親会社にデータを渡す段階で、外国にある第三者への提供の規制（法28条）を守る必要があります。

個人データの漏えい・滅失・毀損（あわせて「漏えい等」）のうち、個人の権利利益を害するおそれが大きいものが起きたときは、個人情報保護委員会への報告が必要です（法26条1項）。具体的には次の4つで、いずれか1つに当たれば報告が必要です（個人情報保護委員会規則7条）。発生した「おそれ」がある段階でも対象になります。

1件だけの漏えいでも、上の3つのいずれかに当たれば報告が必要です。なお、高度な暗号化など、本人の権利利益を保護するための措置を講じたデータは対象から除かれます（規則7条1号）。

報告対象の事態を知ったら、速やかに、その時点で把握している事項を報告します（規則8条1項）。ガイドラインは「速やか」の目安を、事態を知った時点から概ね3〜5日以内としています。報告は、原則として個人情報保護委員会のウェブサイトの報告フォームから行います。

報告する事項は、概要、漏えい等した個人データの項目、本人の数、原因、二次被害のおそれ、本人への対応、公表の状況、再発防止策、その他の9項目です。速報の段階では、分かっている範囲で足ります。

速報に加えて、事態を知った日から30日以内に、9項目をすべて報告します（規則8条2項）。不正の目的をもって行われたおそれがある行為による事態では、期限は60日以内です。不正アクセスと同時に1,000人超に当たる場合なども、60日以内になります。

期限の起算点は、会社のいずれかの部署が事態を知った時点です。その日を1日目として数えます。外国企業では「本社のセキュリティチームが知った日」と「日本法人が知った日」がずれやすいので、注意が必要です。

データの処理を委託している先で漏えい等が起きた場合、原則として委託元と委託先の両方が報告義務を負います。委託先が委託元に必要な事項を通知すれば、委託先は報告義務と本人通知の義務を免れます（法26条1項ただし書、規則9条）。

報告対象の事態を知ったときは、本人への通知も必要です（法26条2項）。通知は「当該事態の状況に応じて速やかに」行い、概要、漏えい等した個人データの項目、原因、二次被害のおそれなどを伝えます（規則10条）。

ガイドラインは、掲示板に流出したデータの削除依頼が終わっていない場合など、すぐに通知するとかえって被害が広がるときは、その時点での通知は不要としています。ただし、速やかに通知すべきことに変わりはありません。

本人への通知が困難な場合に限り、公表などの代替措置で足ります（法26条2項ただし書）。連絡先を持っていないなどの事情がない限り、通知が原則です。

報告や通知を怠るなどの違反があると、個人情報保護委員会は勧告・命令を行うことができます（法148条）。法171条で適用を受ける外国事業者も、指導・勧告・命令の対象です。

命令に違反すると、行為者は1年以下の拘禁刑または100万円以下の罰金の対象になります（法178条）。法人には1億円以下の罰金が科されることがあります（法184条1項1号）。命令に違反した事実は公表されることもあります（法148条4項）。なお、日本国外での行為にも適用される罪を定めた法183条には、命令違反の罪（法178条）は挙げられていません。

「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に成立し、7月17日に公布されました。施行日は、原則として公布の日から2年を超えない範囲で政令で定める日です（同法附則1条）。

漏えい等に関係する主な点は次のとおりです。

• 本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合は、代替措置で足りることになります（改正後の法26条2項）。委員会の説明資料は、単体ではほとんど意味を持たない社内IDだけが漏えいした場合などを想定しています。
• 説明資料では、第三者の確認を受けた体制を前提に一定の範囲で速報を免除すること、本人が1名の誤送付などは確報をまとめて行えるようにすること、違法な第三者提供も報告対象に加えることが示されています。具体的な内容は、今後の政令・委員会規則・ガイドライン等の整備で定められます。
• 重大な違反で個人の権利利益が侵害された場合などに、違反で得た財産的利益に相当する額の課徴金を課す制度が導入されます（改正後の法148条の3〜148条の17）。

施行までは現行のルールがそのまま適用されます。

1. 日本の利用者向けに提供している商品・サービスと、そのために扱っている個人データを一覧にする。
2. インシデント対応手順に、日本の4つの報告対象事態と、速報（概ね3〜5日）・確報（30日／60日）の期限を書き込む。
3. 「知った日」を誰がどう記録するか決め、本社と日本側で共有する。
4. 個人情報保護委員会の報告フォームの項目を確認し、9項目を集める担当を決めておく。
5. 委託先との契約に、漏えい等の発生時の通知期限と通知事項を入れる。
6. 本人への通知文（日本語）のひな形と、通知できない場合の公表文を用意する。
7. 改正法の委員会規則の動きを確認し、手順を更新する時期を決めておく。

• 日本の利用者のデータが含まれているかもしれないインシデントが起きた（4つの事態に当たるかの判断は、初動の数日が勝負です）。
• 自社のサービスが「日本にいる人への提供」に当たるかどうか判断がつかない。
• 個人情報保護委員会から報告徴収や指導の連絡が来た。
• 本国の手順（GDPRの72時間ルールなど）と日本のルールをどう一本化するか決めたい。
• 委託先・グループ会社との間で、誰が報告し誰が通知するかの整理が必要になった。

当事務所は、英語での相談にも対応しています。

日本にいる人に商品やサービスを提供することに関連して、その人たちの個人情報を扱っている場合は、適用されます（法171条）。拠点の有無や、対価を受け取っているかどうかは問いません。日本の居住者のデータを持っているだけで、日本向けの提供と関係がない場合は、対象外となることがあります。

法令は「速やかに」と定めており、ガイドラインの目安は事態を知ってから概ね3〜5日以内です。速報の段階では、把握している範囲の情報で足ります。

いいえ。60日になるのは、不正アクセスなど不正の目的をもって行われたおそれがある行為による事態です（規則8条2項）。要配慮個人情報の漏えいだけであれば、確報の期限は30日以内です。

現行法では、本人への通知が困難な場合に限り、公表などの代替措置で足ります（法26条2項ただし書）。2026年改正の施行後は、本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合にも、代替措置が認められます。

期限の目安は近いものの、報告が必要になる事態の範囲や報告事項、確報の期限は日本独自です。日本の4つの事態と9つの報告事項を手順に組み込んでおく必要があります。