GDPRの72時間報告
じーでぃーぴーあーるのななじゅうにじかんほうこく ／ GDPR 72-Hour Breach Notification ／ 法令と報告
GDPRの72時間報告とは、EUの一般データ保護規則（GDPR）に基づき、個人データ侵害が発生した場合に、管理者が、侵害を知った時点から不当な遅滞なく、可能な場合は72時間以内に監督機関へ報告する義務です。
GDPRの正式名称：General Data Protection Regulation（EU一般データ保護規則）
関連条文：GDPR 33条（監督機関への報告）、34条（データ主体への通知）
「GDPRの72時間報告」の概要
EUの個人情報保護のルールであるGDPRで定められた、個人データの漏えいなどが起きたときに、原則として72時間以内に監督機関へ報告する義務のことです。
GDPRはEUの法律ですが、EU域内にいる個人に商品やサービスを提供している日本企業にも適用される場合があります。72時間という短い期限があるため、日本の個人情報保護法とあわせて適用される事故では、GDPRの期限を基準に準備を進めます。
要点
- 個人の権利と自由に対するリスクが生じる可能性が低い場合は、報告は不要です。
- 72時間以内に報告できない場合は、遅れた理由を添えて報告します。
- EU域内の個人に商品やサービスを提供する日本企業にも適用される場合があります。
日本の個人情報保護法との比較
| 観点 | GDPR | 個人情報保護法 |
|---|---|---|
| 報告先 | EU加盟国の監督機関 | 個人情報保護委員会など |
| 期限 | 知った時点から72時間以内（可能な場合） | 速報はおおむね3〜5日以内、確報は30日以内（不正目的のおそれは60日以内） |
| 報告の対象 | リスクが生じる可能性が低い場合を除く個人データ侵害 | 要配慮個人情報、1,000人超など4つの類型 |
| 本人への通知 | 高いリスクが生じる可能性がある場合 | 報告の対象となる事態で原則必要 |
日本企業に適用される場面
EU域内に拠点がある場合のほか、EU域内の個人に商品やサービスを提供している場合や、EU域内の個人の行動を監視している場合に、GDPRが適用されることがあります。両方の法律が適用される事故では、72時間というGDPRの期限を基準に準備を進める必要があります。
実務のポイント
- 自組織がGDPRの適用を受けるかを、平時に確認します。
- 適用される場合は、報告先の監督機関と、EU域内の代理人を確認します。
- 72時間の期限を、プレイブックに組み込みます。
GuardPlanでできること
GuardPlan Responseは、サイバー攻撃を受けても、企業が迷わず動けるための「AI危機管理室」です。
GuardPlanは、発覚の日時を起点に報告の期限を管理することを支援します。GDPRの72時間の期限への対応は、今後予定しています。
関連用語
参考資料
このページは法令の一般的な解説であり、個別の事案についての法的な助言ではありません。具体的な判断は、弁護士などの専門家にご相談ください。
執筆：GuardPlan編集部 最終更新日：2026年11月4日