「漏洩のおそれ」は、漏れたと確定してはいないものの、漏れた可能性を否定できない状態です。たとえば、サーバーに不正アクセスされたが、どのデータが持ち出されたか記録から特定できない場合などです。個人情報保護法では、「おそれ」の段階でも報告と本人への通知の対象になるため、確定前に通知が届きます。
なぜ確定できないのか
- 攻撃者が記録（ログ）を消していた
- そもそも、外部への持ち出しを追えるだけの記録を残していなかった
- 暗号化されて読めなくなり、調査が続いている
個人はどう受け止めるか
「漏れた」と同じつもりで備える：確定を待つ間にも情報は悪用されうるため、通知に書かれた項目について、パスワードの変更、カードの確認、詐欺への警戒を始めてください（通知が届いたら最初にやること）。結果的に漏れていなかったとしても、損はありません。
報道での表現：「最大〇万件が漏洩した可能性」と書かれる場合、対象になりうる最大の件数を示していることが多く、実際に悪用された件数ではありません（ニュースの読み方）。
出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」、BUSINESS LAWYERS「個人情報保護委員会への漏えい等報告」