個人データの漏えいやランサムウェア被害に気づいたら、まず被害の拡大を止め、証拠を残したうえで、個人情報保護委員会への報告と本人への通知が必要かを判断します。要配慮個人情報、財産的被害のおそれ、不正アクセスなど不正の目的、本人1,000人超のいずれかに当たれば、「おそれ」の段階でも報告と通知が義務です（個人情報保護法26条）。速報は知ってから概ね3〜5日以内、確報は30日以内（不正の目的によるものは60日以内）が目安です。
会社は被害者から損害賠償を求められることがあり、体制づくりを怠った取締役が会社への責任を問われることもあります。
こんな場面で問題になります
- 社内サーバーがランサムウェアに暗号化され、顧客データが持ち出されたかどうか分からない。
- 委託先のクラウド事業者から「不正アクセスの痕跡がある」と連絡が来た。
- 担当者がメールを誤送信し、数百人分の顧客リストが社外に渡った。
- 海外本社の日本向けサービスで、日本のユーザー情報が流出した可能性がある。
個人情報保護委員会への報告と本人通知
報告が必要になる4つの事態
個人データの漏えい・滅失・毀損（以下「漏えい等」）のうち、次の事態は委員会への報告が必要です（法26条1項、施行規則7条）。
- 要配慮個人情報（病歴・犯罪歴など、差別につながりうる情報）を含む漏えい等
- クレジットカード番号など、不正に使われると財産的被害が生じるおそれがある漏えい等
- 不正アクセスや内部者の持ち出しなど、不正の目的で行われたおそれがある漏えい等
- 本人の数が1,000人を超える漏えい等
いずれも、実際に漏えいしたと確定していなくても、「おそれ」があれば対象です。おそれの有無は、その時点で分かっている事実から判断します。高度な暗号化など、本人の権利利益を守る措置を講じていた場合は対象外になります。
ランサムウェアでデータが暗号化され使えなくなった状態は「毀損」に当たります。外部への持ち出しが確認できなくても、攻撃者による不正の目的が疑われるため、報告対象になるのが通常です。
速報と確報の期限
報告は2段階です。速報は、事態を知った後「速やかに」行い、目安は概ね3〜5日以内です（施行規則8条1項）。法人の場合、いずれかの部署が事態を知った時点が起算点になります。
確報は、知った日から30日以内です。不正の目的によるおそれがある事態は60日以内とされています（施行規則8条2項）。期限内にすべて判明しなくても、分かった範囲で報告し、後から追完できます。
報告は、委員会の「漏えい等の対応とお役立ち資料」ページから案内されている報告フォームで行います。業種によっては、委員会ではなく権限の委任先の省庁に報告します。
本人への通知と公表
報告が必要な事態では、本人への通知も必要です（法26条2項）。通知の時期は「事態の状況に応じて速やかに」です（施行規則10条）。攻撃への対応中で、通知するとかえって被害が広がる場合などは、直ちに通知しなくてよいとされています。
通知では、概要、漏えい等した項目、原因、二次被害の有無、本人が取れる対策などを伝えます。連絡先が分からないなど通知が難しい場合は、事案の公表や問い合わせ窓口の設置といった代わりの措置を取ります（法26条2項ただし書）。
公表そのものは法律上の義務ではありません。ただし、委員会のガイドラインは、二次被害や類似事案を防ぐため、事実関係と再発防止策を速やかに公表することが望ましいとしています。
委託先・クラウドで起きた漏えい
委託先で漏えい等が起きた場合、原則として委託元と委託先の両方が報告義務を負います。委託先が委託元に速やかに通知すれば、委託先の報告義務は免除され、報告は委託元が行います（法26条1項ただし書、施行規則9条）。
ポイント
損害賠償などの民事責任
責任の根拠
被害者は、会社に対して次のような根拠で損害賠償を求めることがあります。
- 不法行為責任（民法709条）：会社自身の管理の過失
- 使用者責任（民法715条）：従業員が業務に関して起こした漏えい
- 共同不法行為（民法719条）：会社と委託先などが関わった漏えい
- 債務不履行責任（民法415条）：契約や利用規約で約束した安全管理を守らなかった場合
取引先の個人データを預かっていた場合は、取引先からも契約違反を理由に請求を受けることがあります。
慰謝料はどう判断されるか
通信教育会社の顧客情報が、委託先の従業員に持ち出され、名簿業者に売られた事件があります。最高裁は、氏名・住所・電話番号などはプライバシーに関する情報で、法的保護の対象になるとしました。そのうえで、漏えいによりプライバシーが侵害されたと判断しています（最判平成29年10月23日）。
この判決は、「不快感や不安を超える損害」の立証がないことだけを理由に請求を退けた原審を破棄し、差し戻しました。つまり、実害が見えにくい漏えいでも、慰謝料が認められる余地があるということです。
差戻し後の大阪高裁は、会社が委託先への監督義務を怠ったとして不法行為責任を認め、慰謝料1,000円を認めました（大阪高判令和元年11月20日）。1人あたりの金額は事案によって変わりますが、被害者が多数になれば総額は大きくなります。
行政上の措置と罰則
委員会は、法令違反があれば報告の求めや立入検査を行い、勧告や命令を出すことができます（法148条）。命令に違反すると、1年以下の拘禁刑または100万円以下の罰金です（法178条）。法人には1億円以下の罰金が科されます（法184条1項）。
注意
取締役の責任と内部統制
取締役会設置会社では、法令遵守やリスク管理の体制（いわゆる内部統制システム）の整備を取締役会で決めます（会社法362条4項6号）。大会社では、この決定が義務です（会社法362条5項）。
情報セキュリティの体制が業務の規模やリスクに見合っていない場合、取締役は任務を怠ったとして、会社に生じた損害を賠償する責任を負うことがあります（会社法423条1項）。職務に悪意や重大な過失があれば、被害者など第三者への責任が生じることもあります（会社法429条1項）。
経営陣に求められるのは、事故をゼロにすることではありません。リスクを把握し、予算と担当者を付け、報告を受けて見直す仕組みを作り、記録に残すことです。取締役の責任全般は取締役の責任と義務で解説しています。
2026年の法改正で予定されていること
個人情報保護法の改正法が2026年7月17日に公布されました。施行は原則として公布から2年以内で、細かな基準は今後の政令・委員会規則で決まります。
委員会の資料では、本人の権利利益の保護に欠けるおそれが少ない場合に本人通知を緩和し、代わりの措置を認める方向が示されています。一定の範囲で速報を免除できる仕組みや、違法な第三者提供を報告対象に加えることも検討されています。施行までは現行のルールで対応してください。
海外にも拠点やユーザーがある企業へ
海外の事業者でも、日本にいる人に商品やサービスを提供し、その人の個人情報を扱う場合は、日本の個人情報保護法が適用されます（法171条）。日本のユーザー情報が流出すれば、日本の報告・通知のルールにも対応が必要です。外国企業向けの論点はAPPIの漏えい報告義務（外国企業向け）で詳しく扱っています。
EUの個人データも扱う場合は、GDPRの報告義務が重なることがあります。主な違いは次のとおりです。
| 項目 | 日本（個人情報保護法） | EU（GDPR） |
|---|---|---|
| 当局への報告期限 | 速報は概ね3〜5日以内、確報は30日以内（不正目的は60日以内） | 知ってから遅くとも72時間以内（33条1項） |
| 報告が必要な場合 | 規則で定める4つの事態 | 個人の権利と自由へのリスクがない場合を除き報告 |
| 本人への連絡 | 報告対象なら原則として通知 | 高いリスクがある場合に連絡（34条） |
| 委託先・処理者 | 委託元への通知で報告義務を免除 | 管理者へ遅滞なく通知（33条2項） |
重要
サイバー保険の確認ポイント
サイバー保険に入っていれば、事故調査、通知・コールセンター、賠償金などの費用が補償されることがあります。補償の範囲や条件は契約ごとに違うため、事故の直後に約款を確認します。
保険会社への事故の通知期限や、調査会社・弁護士の選定に保険会社の同意が要るかどうかも確かめてください。身代金の支払いが補償の対象かどうかも含め、支払いの判断は保険会社・専門家と相談したうえで行います。
今すぐできること：初動の時系列チェックリスト
- 1
隔離
感染した端末をネットワークから切り離し、不審なアカウントを止めます。電源を切ると証拠が消えることがあるため、方法は専門家の指示に従います。
- 2
証拠保全
ログ、脅迫文、不審なメール、操作の記録を保存します。誰がいつ何をしたかの時系列メモを作り始めます。
- 3
影響範囲の把握
漏えい等したおそれのあるデータの種類、本人の数、要配慮個人情報やカード番号の有無を確認します。報告対象かどうかはここで判断します（施行規則7条）。
- 4
当局への速報
報告対象なら、概ね3〜5日以内に速報します（施行規則8条1項）。警察への相談や、保険会社・取引先への連絡もこの段階で整理します。
- 5
本人通知と公表
通知文と問い合わせ窓口を準備し、状況に応じて速やかに通知します（法26条2項）。公表の範囲と時期を決めます。
- 6
確報と再発防止
原因を調べ、30日以内（不正目的は60日以内）に確報します（施行規則8条2項）。再発防止策を決め、取締役会に報告します。
平時の備え
- 事故時の連絡網と、報告するかどうかを判断する担当者を決めておく。
- 保有する個人データの種類と件数、保管場所を一覧にしておく。
- 委託契約に、事故の通知期限、調査協力、再委託の制限を入れておく。
- バックアップを、攻撃で同時に暗号化されない形で保管しておく。
- 年1回は、ランサムウェアを想定した机上訓練を行う。
弁護士に相談すべきタイミング
次のような状況では、早めに弁護士へ相談することをおすすめします。
- 報告対象に当たるか判断がつかず、速報の期限が近づいている。
- 攻撃者から身代金の要求や、データ公開の予告が届いた。
- 委託先と、原因や責任の分担について意見が食い違っている。
- 被害者や取引先から、書面で損害賠償や説明を求められた。
- 海外の拠点やユーザーも関わり、複数の国の報告期限が重なっている。
当事務所は、データ保護・IT分野を中心に、初動対応から当局への報告、被害者・取引先との交渉まで、日本語・英語でご相談に対応しています。ご相談は当事務所のお問い合わせページからお寄せください。
FREE CONSULTATION
企業法務のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
よくあるご質問
漏えいが確定していなくても報告は必要ですか？
はい。報告対象の4つの事態は、漏えい等の「おそれ」がある段階でも対象です。その時点で分かっている事実から判断し、速報は分かった範囲で行えば足ります。後から漏えいがなかったと分かれば、その旨を報告します。
ランサムウェアでデータが暗号化されただけでも報告対象ですか？
暗号化されて使えなくなった状態は「毀損」に当たります。攻撃は不正の目的によるものと考えられるため、通常は報告対象です。確報の期限も、不正の目的による事態として60日以内になります。
委託先で起きた漏えいでも、当社が報告するのですか？
原則として委託元と委託先の両方が報告義務を負います。委託先が委託元に速やかに通知した場合は、委託元が報告します。委託元には委託先を監督する義務もあるため、自社の問題として対応する必要があります。
被害者1人あたりの賠償額はどのくらいですか？
決まった金額はなく、漏えいした情報の内容や二次被害の有無、会社の対応などで変わります。最高裁は、実害が見えにくくてもプライバシー侵害として慰謝料が問題になりうると判断しました。その差戻し審では、原告に慰謝料1,000円が認められています。
GDPRの72時間ルールは日本企業にも関係しますか？
EUの個人データを扱う場合は、GDPRの適用を受けることがあります。その場合、監督機関への報告は知ってから遅くとも72時間以内が原則です。日本の速報（概ね3〜5日以内）より短いため、両方に当たる事案では72時間を基準に準備します。