2022年4月に施行された改正個人情報保護法で、次の4つのいずれかに当たる漏えい等（おそれを含む）が起きたとき、事業者は個人情報保護委員会への報告と本人への通知が義務になりました。①要配慮個人情報、②財産的被害のおそれ、③不正の目的によるおそれ、④1,000人を超える場合です。
4つのケースの例
| ケース | 人数 | 例 |
|---|---|---|
| 要配慮個人情報 | 1人でも | 病歴、健康診断の結果、犯罪の経歴 |
| 財産的被害のおそれ | 1人でも | カード番号、ネットバンキングのID・パスワード |
| 不正の目的のおそれ | 1人でも | 不正アクセス、ランサムウェア、従業員による持ち出し |
| 上記以外 | 1,000人超 | メールアドレスの誤送信（大量）など |
「おそれ」も対象
漏洩が確定していなくても、漏洩した可能性を否定できない段階で報告の対象になります。たとえば、ランサムウェアでサーバーが暗号化され、データが持ち出されたか確認できない場合などです（漏洩のおそれ）。報告の期限と方法は委員会への報告で解説しています。
法律の記事について：この記事は法律の一般的な説明で、2026年11月時点の情報をもとにしています。個別の事案の判断は、弁護士などの専門家や所管の機関にご確認ください。