漏えい報告の期限と第一報の書き方：速報3〜5日、確報30日（不正は60日）

個人情報の漏えい等については、個人情報保護委員会（PPC）の施行規則が定める4つの事態に該当するかが報告義務の判断基準になります。該当するのは「要配慮個人情報」「財産的被害のおそれ」「不正の目的のおそれ」「本人が1,000人を超える場合」で、いずれも『発生したおそれがある事態』を含むため、確証を待たずに検討を開始する必要があります。

報告は速報と確報の2段階で行います。速報は「速やかに」（PPCは概ね3〜5日を目安）で、分かっている範囲の事実のみを報告できます。確報は知った日から30日以内（不正の目的のおそれがある場合は60日以内）で、確報時点で不明な事項は追完します。起算点は法人内のいずれかの部署が「知った日」であり、経営層に上がった日ではありません。

過去の事例では、第一報で示した件数や影響範囲が続報で拡大する例が多く見られます。そこで第一報は「数字は増える前提」で、（1）分かっていること、（2）未確認のこと（上限値で示すか範囲を明記）、（3）利用者が取るべき対応、（4）次の更新予定――の4項目に分けると誤解を避けやすいと解説しています。企業は当日に迷わないために連絡網、判断表・台帳、PPC報告用テンプレートを事前に用意しておくべきです。

また記事は、PPCの注意喚起（2026年10月7日）や改正個人情報保護法の公布（2026年7月17日）に触れ、現行ルールの下での実務的な整理としての注意点を示しています。本文は法的助言ではないとしており、個別事案の最終的な判断は法務部門やPPCの資料・問い合わせで確認するよう促しています。