個資外洩了，先做什麼——外洩發生時的初動對應（報告・通知義務）
2026-09-18
5秒結論
個人資料外洩時的法定對應：個人情報保護法26條的個人情報保護委員會報告義務與本人通知義務、報告對象4類型（要配慮個人情報／財產的被害之虞／不正目的＝網路攻擊等（2024年4月起含網站盜錄型的「おそれ」段階）／1,000人超）、速報（大約3〜5日內）與確報（30日以內・不正目的60日以內）的兩段構造、初動手順（事實確認・擴大防止・證據保全・委託處先聯絡）、本人通知的方法與公表的要否、報告懈怠的制裁構造（指導→命令→命令違反的罰則・公表）、誤發信件等小規模事案的整理。
「客戶名單好像被駭了」「員工把含個資的信錯發給外部」——近年大型個資外洩接連成為新聞，而日本法上外洩對應不是公關問題，是法定義務。時限很短，先把流程放進抽屜。
法定義務：報告與通知（個情法26條）
- 一定的外洩等（外洩・滅失・毀損）發生時，①向個人情報保護委員會報告②向本人通知——都是法律義務（個人情報保護法26條）。
- 報告對象4類型（施行規則）：①要配慮個人情報（病歷等）的外洩②財產的被害之虞（信用卡資訊等）③不正目的之虞的外洩（網路攻擊・勒索軟體・內部不正——2024年4月起，網站盜錄型等「發生之虞」段階也含入）④1,000人超的外洩。——反面：不該當4類型的小規模誤發等，法定報告義務外（努力義務的任意報告・社內紀錄是實務）。
- 時限：速報＝知悉後迅速（大約3〜5日內）、確報＝30日以內（不正目的類型60日以內）——「調查完再報」來不及，先速報・後補充是制度設計。
初動的手順
- ①事實確認與擴大防止（遮斷・帳號停用・漏出經路特定）②證據保全（日誌・機器——之後的原因調查與對第三者說明的基礎）③對象資料・件數・本人的特定④委託關係的整理：委託處發生外洩，委託元也負報告義務（委託處向委託元通知後、原則委託元報告的建付）——發現當天就聯絡相手方。
- 本人通知：事態・項目・原因・二次被害防止策等——個別通知困難時以公表＋諮詢窗口代替的途徑也有。公表本身非一律義務，但二次被害防止・對象特定不能時的公表是實務定石。
懈怠的制裁
- 構造：委員會的指導・助言→勧告→命令——命令違反有刑事罰（1年以下拘禁刑・100萬日圓以下罰金，法人最高1億日圓的兩罰）＋命令違反・虛偽報告的公表。隱瞞比外洩本身更致命，是這個領域的鐵則。
平時的準備
- ①外洩對應手順書（誰判斷・誰報告・時限表）②委託契約的外洩時通知條款③保險（網路保險的對應費用・賠償）④練習（誤發・遺失・勒索軟體的桌上演練）。台資企業注意：母公司在台灣・資料在日本的構成，日本法的報告義務照樣落在日本的取扱事業者。
※ 本文為一般性的法律資訊，而非針對個別案件的法律意見。實際案件請務必諮詢律師。本文內容以撰寫日（2026-09-18）時點的日本法令・判例為準，之後可能因修法等而有變更。