「速報・確報」の概要

個人情報の漏えいなどが起きたときに、会社や病院が国の機関（個人情報保護委員会）に行う報告のことです。最初に概要を伝える「速報」と、調査の結果をまとめて伝える「確報」の2段階で行います。

2022年4月に施行された改正個人情報保護法で、一定の漏えい等について報告が義務になりました。すべての漏えいが対象ではなく、病歴などの特に慎重に扱うべき情報が含まれる場合や、1,000人を超える場合など、4つの類型に当てはまるときに報告が必要です。期限が決まっているため、事故に気づいた日時の記録が重要になります。

要点

• 報告の対象は、要配慮個人情報、財産的被害のおそれ、不正の目的をもって行われたおそれ、1,000人超の4つの類型です。
• 速報は事態を知った時点から速やかに（おおむね3〜5日以内）、確報は30日以内（不正の目的をもって行われたおそれがある場合は60日以内）に行います。
• 確報の時点で判明していない事項は、その後判明した時点で追完します。

報告の対象となる4つの類型

類型	例
要配慮個人情報が含まれる	病歴や診療情報を含む書類の誤送付
不正に利用されると財産的被害が生じるおそれがある	クレジットカード番号や、ログインに使うIDとパスワードの漏えい
不正の目的をもって行われたおそれがある	不正アクセスやランサムウェアによる漏えい
本人の数が1,000人を超える	顧客名簿の大量の漏えい

要配慮個人情報が含まれる場合は、本人が1人でも報告の対象です。

速報と確報の期限

報告	期限	内容
速報	事態を知った時点から速やかに（ガイドラインはおおむね3〜5日以内としています）	報告の時点で把握している事項
確報	30日以内。不正の目的をもって行われたおそれがある場合は60日以内	規則が定める事項のすべて（概要、項目、人数、原因、二次被害のおそれ、本人への対応、再発防止策など）

期限の起算点

期限は、事業者が事態を知った時点から数えます。ガイドラインは、個別の事案ごとに判断するとしつつ、部署内のある従業者が知った時点で事業者が知ったものと考えられるとしています。発覚から報告担当者に伝わるまでの時間も、期限に含まれる点に注意が必要です。

実務のポイント

• 現場で発覚した時点の日時を記録し、報告担当者にすぐ伝える手順を定めます。
• 4つの類型に当てはまるかの判断を、プレイブックの判断ポイントに入れます。
• 速報の時点で全容がわからなくても、判明している事項で報告します。

GuardPlanでできること

GuardPlanは、発覚の日時から速報と確報の期限を計算し、報告の準備状況を管理します。報告に必要な事項は、対応の記録から整理できます。報告の要否の最終判断と提出は、事業者と専門家が行います。

関連用語

• 証跡・監査ログ

参考資料

• 個人情報の保護に関する法律（e-Gov法令検索）
• 個人情報の保護に関する法律施行規則（e-Gov法令検索）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る