漏えいが起きた時の個人情報保護委員会への報告｜個人事業主にも義務はあるか 2026

業務委託で受け取った顧客リストの入ったUSBメモリを電車に置き忘れた。委託元から預かった個人情報が入ったパソコンがマルウェアに感染した。こうした事態が起きたとき、「自分は法人ではなく個人事業主だから、報告義務はないだろう」と考えてしまう方は少なくありません。結論から言うと、この考え方は誤りです。個人情報保護法上、報告義務の有無は事業規模ではなく「個人情報を取り扱っているかどうか」で決まるため、個人事業主やフリーランスであっても、要件に該当する漏えい等が起きれば個人情報保護委員会への報告と本人への通知が法律上の義務になります。

個人情報保護法における漏えい報告義務の現状

個人情報保護法は2022年4月の改正で、漏えい等が発生した際の報告・通知を努力義務から法的義務へと格上げしました。この改正の背景には、クラウドサービスやリモートワークの普及によって、個人データを扱う主体が大企業だけでなく、業務委託を受けた個人事業主やフリーランスにまで広がったという事情があります。

かつては「個人情報を扱うのは企業の情報システム部門」という前提で法制度が組まれていましたが、現在は経理代行、データ入力、Webサイト運営代行、カスタマーサポート業務など、個人事業主が顧客の氏名・住所・メールアドレス・決済情報といった個人データを直接取り扱う場面が急増しています。総務省の統計でも、フリーランス・業務委託契約による就業者は年々増加傾向にあり、個人が事業主として個人データを取り扱う機会そのものが構造的に増えています。

こうした流れの中で、個人情報保護委員会は令和3年（2021年）の法改正時に、報告義務の主体を「個人情報取扱事業者」全般と明確に定義しました。ここでいう個人情報取扱事業者には、法人格の有無や従業員数、売上規模は一切関係ありません。次の引用の通り、規模を問わず個人事業主も対象に含まれることが明記されています。

報告を行うべき事業者は、個人情報を取り扱う全ての事業者です。企業や団体だけでなく個人事業主やフリーランスも含め、どんな規模の事業者であっても、個人情報を取り扱う限り報告義務が発生します。 出典: atomitech.jp

つまり、「うちは自分ひとりでやっている小さな仕事だから関係ない」という認識は、法律上は通用しません。むしろ個人事業主は、法人のような専任の情報セキュリティ担当者やコンプライアンス部門を持たないケースが多く、漏えいの発見から報告までの初動が遅れやすいという構造的なリスクを抱えています。だからこそ、報告義務の内容を正確に理解しておくことが、事業を継続する上での必須知識になっています。

報告義務が発生する具体的なケース

漏えい等報告の義務は、あらゆる情報漏えいで一律に発生するわけではありません。個人情報保護法施行規則では、報告対象となる事態を4つの類型に整理しています。

要配慮個人情報の漏えい等

病歴、犯罪歴、身体障がい、健康診断結果など、本人の社会的差別につながりかねない「要配慮個人情報」が漏えいした場合は、件数に関係なく報告義務が発生します。1件でも該当すれば対象です。例えば、業務委託で健康相談サービスの顧客管理を請け負っている個人事業主が、うっかり顧客の病歴情報を誤送信してしまった場合、それが1名分であっても報告義務の対象になります。

不正利用により財産的被害が発生するおそれがある漏えい等

クレジットカード番号やID・パスワードの組み合わせなど、不正に利用されることで財産的被害が生じるおそれのある情報の漏えいも、件数を問わず報告対象です。ECサイトの運営代行やカスタマーサポート業務を受託している個人事業主にとって、決済情報の取り扱いは日常的な業務の一部であるため、この類型は特に注意が必要です。

不正の目的をもって行われたおそれがある漏えい等

サイバー攻撃やランサムウェア感染、内部不正など、悪意ある第三者の行為によって個人データが漏えいした、またはそのおそれがある場合も報告対象です。単なる誤送信や紛失とは異なり、不正アクセスの痕跡が確認された時点で報告義務が発生する点に注意してください。

1,000人を超える個人データの漏えい等

上記3類型に該当しなくても、漏えいした個人データの本人数が1,000人を超える場合は報告義務があります。逆に言えば、1,000人以下であれば、この類型単体では報告義務は発生しません。ただし、要配慮個人情報や不正アクセスが絡む場合は人数に関わらず報告が必要になる点を混同しないよう注意が必要です。

報告が不要なケース

すべての情報の紛失・誤送信が報告対象になるわけではありません。実務上、判断に迷いやすい「報告不要」のパターンを整理します。

高度な暗号化等の秘匿化措置が講じられていた場合

漏えいした個人データが、高度な暗号化その他の適切な秘匿化措置によって、実質的に第三者が個人情報を利用できない状態にあった場合は、報告義務の対象から除外されます。ただし、単純なパスワード付きZIPファイルや、暗号化キーを同時に送付してしまったケースなどは「高度な秘匿化」とは認められないため注意が必要です。ここでの判断を誤ると、本来は報告すべき事態を見逃してしまうリスクがあります。

対象データが第三者に閲覧される前に完全に回収できた場合

例えば、誤って送信したメールを、宛先の相手が開封する前に取り消し（削除）できたことが客観的に確認できる場合は、報告不要とされることがあります。ただし「開封されていないはず」という推測だけでは足りず、システムログや相手方への確認など、客観的な証跡が求められます。

個人情報保護委員会への報告方法と期限

報告義務が発生した場合、事業者は「速報」と「確報」という2段階の報告を行う必要があります。この期限管理は、報告義務の中で最も実務的に重要なポイントです。

速報：知った日から概ね3〜5日以内

漏えい等の発生を知った時点から、概ね3〜5日以内に速報を行う必要があります。速報の時点では、詳細な調査結果がすべて揃っていなくても構いません。判明している範囲の情報（漏えいの概要、対象となる個人データの項目、対象人数、原因、二次被害の有無等）を、把握できた限りで報告することが求められます。

確報：知った日から30日以内（不正目的の場合は60日以内）

確報は、漏えい等の全容を報告するもので、原則として知った日から30日以内に行う必要があります。ただし、サイバー攻撃など不正の目的をもって行われたおそれがある事態については、調査に時間を要することを踏まえ、60日以内とされています。

以下の引用は、報告義務を負う主体の範囲について、より専門的な観点から解説したものです。

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、または発生したおそれがある個人データを取り扱う個人情報取扱事業者です。ただし、不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、または発生したおそれがある事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、または発生したおそれがある個人データまたは個人情報を取り扱い、または取得しようとしている個人情報取扱事業者です（通則編ガイドライン3-5-3-2）。 出典: businesslawyers.jp

報告は個人情報保護委員会のオンライン報告フォームから行うのが原則です。書面での報告も認められていますが、迅速性の観点からオンライン報告が推奨されています。報告事項には、概要、漏えい等が発生した経緯、対象となる個人データの項目と本人数、二次被害またはそのおそれの有無と内容、原因、本人への対応状況、公表状況、再発防止策などが含まれます。個人事業主の場合、これらの調査を一人で行わなければならないケースも多いため、日頃から取り扱う個人データの棚卸しと、委託先・委託元との連絡体制を整えておくことが、期限内報告の成否を左右します。

委託元・委託先双方が報告義務を負うケース

個人事業主にとって特に見落としがちなのが、業務委託契約における報告義務の扱いです。多くの個人事業主は、自ら個人データを収集するのではなく、クライアント企業（委託元）から個人データの取り扱いを委託されて業務を行っています。この場合、漏えい等が発生すると、委託元と委託先の双方が報告義務を負うのが原則です。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っており、または取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負います。この場合、委託元および委託先の連名で報告することができます（通則編ガイドライン3-5-3-2）。 出典: businesslawyers.jp

ただし、実務上は一定の例外措置が用意されています。委託先（個人事業主側）が、委託元に対して漏えい等の事態を「速やかに」通知した場合、委託先自身は個人情報保護委員会への報告義務を免除されるという規定です。これは、委託関係にある場合に双方が同じ内容を別々に報告する非効率を避けるための仕組みです。

ここで重要なのは、「委託元に通知すれば、個人事業主側は何もしなくてよい」という意味ではないという点です。委託先には、委託元への「速やかな通知」という義務そのものが発生します。この通知を怠れば、契約違反となるだけでなく、委託元が期限内に報告できなかった場合の責任問題にも発展しかねません。業務委託契約書に、漏えい等発生時の報告フロー・連絡期限・連絡先が明記されているかを、契約締結時点で必ず確認しておく必要があります。実務では、委託契約に「知った時点から24時間以内に委託元へ連絡する」といった、法定期限よりも厳しい社内基準を設けている企業も少なくありません。

本人への通知義務とその方法

個人情報保護委員会への報告と並んで、報告対象事態に該当する場合は、漏えい等の対象となった本人への通知も法的義務です。通知は、事態を知った後、速やかに行う必要があります。

通知の方法に法律上の指定はありませんが、書面の郵送、電子メール、電話、ウェブサイトでの掲示等、本人が確実に認識できる方法を選ぶ必要があります。通知内容には、漏えい等の概要、漏えいした個人データの項目、原因、二次被害またはそのおそれの有無、その他参考となる事項（相談窓口の連絡先等）を含めることが求められます。

なお、本人への通知が困難な場合（連絡先が不明、通知にかえって多大な費用を要する等）には、代替措置として事案の公表や、問い合わせ窓口の設置といった対応が認められることがあります。個人事業主が単独でこの判断を行うのは荷が重い場面もあるため、迷った場合は個人情報保護委員会の相談窓口や、契約している委託元の法務担当に早めに相談することが推奨されます。

報告義務を怠った場合の罰則とリスク

漏えい等報告義務そのものへの直接的な罰則は設けられていませんが、個人情報保護委員会からの命令に従わない場合や、虚偽の報告を行った場合には、個人情報保護法に基づく行政処分（勧告・命令）の対象となり、命令違反には1年以下の懲役または100万円以下の罰金という罰則が科される可能性があります。法人の場合はさらに1億円以下の罰金という両罰規定も存在します。

個人事業主にとってより現実的なリスクは、罰則そのものよりも「信用の毀損」です。業務委託契約における個人データの取り扱いは、委託元企業にとって取引継続の可否を左右する重要な要素です。報告義務を怠った、あるいは初動対応が遅れたという事実は、次の契約更新や新規案件の獲得に直結する形で不利益をもたらします。特に金融・医療・人事関連のデータを扱う業務委託では、委託元側が委託先の情報セキュリティ体制を事前審査するケースが増えており、過去の対応実績が問われる場面も出てきています。

個人事業主が今すぐ備えるべき実務対応

漏えい等が発生してから対応を考えるのでは遅すぎます。個人事業主として個人データを取り扱う場合、次の準備を平時から整えておくことが望まれます。

取り扱う個人データの棚卸し

自分がどの業務で、どの範囲の個人データを、どこに保存しているかを一覧化しておきます。クラウドストレージ、メールの添付ファイル、ローカルのパソコンなど、保存場所が分散している個人事業主ほど、漏えい発生時に「何がどこまで漏れたか」の特定に時間がかかります。

委託契約書における報告フローの明文化

委託元との契約時に、漏えい等発生時の連絡先・連絡期限・報告様式を具体的に取り決めておきます。「速やかに」という抽象的な表現だけでなく、「知った時点から24時間以内」のように数値で合意しておくと、実際の事態発生時に迷わず動けます。

セキュリティの基本対策の徹底

パスワード付きZIPファイルの送付をやめてクラウド共有に切り替える、業務用パソコンにウイルス対策ソフトを導入する、二段階認証を有効化するといった基本対策だけでも、漏えいの発生確率を大きく下げられます。筆者が編集者として複数のクライアント案件の個人データを預かって業務をしていた時期、委託元から「個人情報の取り扱いに関する誓約書」への署名を求められたことがあります。当時は形式的な手続きだと軽く考えていましたが、後になって漏えい報告義務の実際の重さを知り、あの誓約書がどれほど実務的な意味を持っていたかを実感しました。個人事業主だからと油断せず、契約時点でのルール確認を怠らないことが、結果的に自分の身を守ることにつながります。

個人情報保護委員会とはどのような機関か

個人情報保護委員会は、内閣府の外局として設置された独立行政機関で、個人情報の適正な取り扱いを監督する日本唯一の専門機関です。マイナンバー制度の開始に合わせて2016年に発足し、その後の法改正を経て、現在は民間事業者・行政機関・地方公共団体を横断して個人情報保護の監督権限を持っています。

個人事業主にとって重要なのは、個人情報保護委員会が単なる「取り締まり機関」ではなく、相談対応も行っている点です。報告義務の該当性判断に迷う場合や、報告書の書き方が分からない場合は、委員会の相談ダイヤルやウェブサイトの質問フォームを通じて事前に確認することができます。判断に自信が持てないまま自己流で処理するよりも、早い段階で公式窓口に相談する方が、結果的に対応の質とスピードの両方を高められます。

報告義務と海外の類似制度との違い

個人情報保護に詳しくない方の中には、EUのGDPR（一般データ保護規則）における72時間以内の報告義務と混同してしまう方もいます。日本の制度は、速報が概ね3〜5日以内、確報が原則30日以内（不正目的の場合60日以内）と、GDPRよりも猶予期間がやや長く設定されています。ただし、この違いを「日本は緩いから急がなくてよい」と解釈するのは危険です。速報の起点は「知った日」であり、発見が遅れればそれだけ実質的な対応期間は短くなります。グローバルにクライアントを持つ個人事業主や、越境データを扱う業務委託を受ける場合は、GDPRなど委託元の所在国の制度も別途確認しておく必要があります。

報告書に記載すべき9つの事項

速報・確報のいずれも、個人情報保護委員会のオンラインフォームには決まった記載項目があります。個人事業主が慌てて対応する際、何を用意すればよいか分からず時間を浪費してしまうケースが多いため、あらかじめ確認しておくと初動が格段に速くなります。

主な記載事項は次の通りです。第一に、概要（いつ、どのような経緯で、何が起きたか）。第二に、漏えい等が発生した、または発生したおそれがある個人データの項目（氏名、住所、メールアドレス、決済情報など）。第三に、対象となる本人の人数。第四に、原因（誤送信、紛失、不正アクセス等）。第五に、二次被害またはそのおそれの有無とその内容。第六に、本人への対応の実施状況。第七に、公表の実施状況。第八に、再発防止のための措置。第九に、その他参考となる事項です。

速報の段階ではこれらすべてが判明している必要はなく、「現時点で不明」という記載でも構いません。重要なのは、判明した範囲で期限内に一次報告を行い、確報までに調査を尽くして全項目を埋めることです。個人事業主が一人で対応する場合、原因調査や二次被害の確認に外部の専門家（フォレンジック調査業者や弁護士）の協力が必要になることもあります。委託元がいる場合は、この調査費用の負担についても契約書やインシデント対応の取り決めの中で事前に確認しておくと、いざという時に慌てずに済みます。

個人事業主が陥りやすい3つの失敗パターン

実際の相談事例や公表事例を踏まえると、個人事業主が漏えい対応でつまずくパターンには一定の傾向があります。

パターン1：気づくのが遅れる

法人であれば情報システム部門やセキュリティ監視ツールが異常を検知する体制がありますが、個人事業主は自分がログを確認しない限り異常に気づけません。特にクラウドサービスの不正アクセスは、ログイン履歴を定期的にチェックしていないと発見自体が数週間〜数か月遅れることがあります。「知った日」から報告期限のカウントが始まるため、発見の遅れがそのまま初動の遅れに直結します。

パターン2：「大したことない」と自己判断してしまう

要配慮個人情報が1件でも漏えいすれば報告義務が発生するという基準を知らず、「たった1件だから大丈夫」と自己判断して報告しないまま放置してしまうケースです。後に委託元や本人からの指摘で発覚すると、報告義務違反に加えて「隠蔽していたのではないか」という疑念まで招き、信用の毀損がより深刻化します。判断に迷う場合は、自己判断せずに個人情報保護委員会の相談窓口や委託元に早めに相談する姿勢が重要です。

パターン3：委託元への連絡が形式的になる

委託契約上「速やかに委託元へ通知する」義務があるにもかかわらず、事態の重大性を軽視して連絡が後回しになるケースです。委託元からすれば、自社の報告義務の履行に直結する重要な情報であるため、連絡の遅れはそのまま契約上の信頼関係の毀損につながります。日頃から委託元の担当者と緊急連絡先を共有し、休日・夜間でも連絡が取れる体制を整えておくことが望まれます。

個人情報保護と関連する業務委託分野

個人データを取り扱う業務委託は、システム開発やマーケティングだけにとどまりません。例えば、事業計画の立案やDX推進を支援するAIコンサル・業務活用支援のお仕事では、クライアント企業の顧客データや業務データそのものを分析対象として預かることが多く、契約段階での個人情報の取り扱い範囲の明確化が欠かせません。

こうした専門性の高い業務委託は単価水準にも影響します。ソフトウェア作成者の年収・単価相場を見ると、個人データを扱うバックエンド開発や顧客管理システムの構築案件は、単価が相対的に高く設定される傾向があり、それに比例してセキュリティ体制や契約条件の精査も厳しくなります。編集・ライティング分野でも同様の傾向があり、著述家，記者，編集者の年収・単価相場のように、会員データや購読者リストを扱うメディア運営の業務委託では、報告義務の理解が案件獲得の前提条件になりつつあります。

また、こうした知識やスキルを裏付ける資格も存在します。契約書や報告書類の作成能力を証明するビジネス文書検定は、委託契約における報告フローの文書化に役立ちますし、ネットワークセキュリティの基礎知識を証明するCCNA（シスコ技術者認定）は、漏えいの原因調査や再発防止策の説明において説得力を持たせる材料になります。

法務分野の周辺知識として、商標登録の代行費用相場｜弁理士に依頼するメリットと自分で行う手間を比較のような専門家への依頼判断の考え方は、個人情報保護法の対応を自力で行うか専門家に相談するかを判断する際にも参考になります。さらに、税務と法務の知識を掛け合わせて業務委託の幅を広げたい方は、税理士資格でフリーランス副業｜確定申告代行で稼ぐ方法と注意点で紹介されているような、資格を軸にした専門性の高い副業展開も選択肢の一つになります。

個人情報保護委員会への報告義務に関する独自データの考察

在宅ワーク・業務委託マッチングサービスの利用実態を見ると、経理代行・データ入力・カスタマーサポートといった、個人データそのものを直接取り扱う業務委託案件は年々増加傾向にあります。特にAIコンサルティングやマーケティング支援の分野では、顧客リストや行動データを扱う機会が多く、AI・マーケティング・セキュリティのお仕事のように、セキュリティの知見を前提とした業務委託の求人も増えています。こうした案件では、契約時点で個人情報保護に関する誓約や研修受講が条件になっているケースも珍しくありません。

また、業務委託でシステム開発やアプリケーション開発を受注する個人事業主にとっても、この問題は他人事ではありません。アプリケーション開発のお仕事で顧客管理システムやCRMの開発・保守を担当する場合、テストデータとして実際の個人データを一時的に預かることがあり、開発環境からの漏えいも報告対象になり得ます。開発者自身が「自分はエンジニアであって個人情報保護の専門家ではない」と考えがちな点こそが、実務上の盲点になっています。

20年にわたりフリーランス・在宅ワーク市場を見てきた運営者の立場から言えば、個人情報保護に関するトラブルは、悪意ある行為よりも「知らなかった」ことによる初動の遅れで深刻化するケースが圧倒的に多いという実感があります。長く安定して案件を受注し続けている個人事業主ほど、契約書の細部まで読み込み、報告義務のような地味だが重要な規定を軽視しません。逆に、単発の案件を数多くこなすことだけに意識が向いている人ほど、こうした基礎的なコンプライアンス知識への投資を後回しにする傾向が見られます。

中間マージンが発生しない直接取引の場では、委託元と委託先の距離が近く、情報の取り扱いに関するルールも口頭合意になりがちです。だからこそ、手数料0%のような直接契約の仕組みを利用する際には、契約書に個人情報の取り扱いと漏えい時の連絡フローを明文化しておくことが、双方にとっての安心材料になります。委託元にとっては報告義務を確実に履行できる体制の証明になり、委託先である個人事業主にとっては、万一の事態が起きた際に「自分だけの責任」として抱え込まずに済む土台になります。この構造は、単に手数料の有無という金額の話にとどまらず、業務委託関係全体の信頼性を底上げする要素だと考えています。

個人情報保護法の分野は改正が続いており、2026年最新の個人情報保護法改正ポイント｜Cookie規制と企業の対応義務で触れているように、Cookie規制の強化や本人関与の拡大といった動きが今後も続く見通しです。個人事業主として業務委託を受ける以上、こうした法改正の動向を定期的にキャッチアップしておくことが、案件の獲得力そのものにも直結していきます。

よくある質問

Q. 個人事業主が漏えい報告を怠るとどうなりますか？

直接的な罰則はありませんが、個人情報保護委員会からの命令に従わない場合や虚偽報告をした場合は行政処分や罰則の対象になります。実務上は委託元からの信用を失い、契約継続や新規案件の獲得に不利益が生じる点がより大きなリスクです。

Q. 業務委託先の個人事業主も必ず個人情報保護委員会に報告しなければなりませんか？

原則として委託元・委託先の双方に報告義務がありますが、委託先が委託元へ速やかに通知した場合は委託先自身の報告義務が免除される特例があります。契約書で連絡期限を明確にしておくことが重要です。

Q. 何人分の個人データが漏えいすれば報告義務が発生しますか？

要配慮個人情報や不正アクセスによる漏えいは1件でも報告対象です。それ以外の漏えいは、対象人数が1,000人を超える場合に報告義務が発生します。

Q. 報告の期限はどれくらいですか？

概要をまとめた速報は事態を知った日から概ね3〜5日以内、詳細をまとめた確報は原則30日以内（不正の目的による事態は60日以内）に個人情報保護委員会へ報告する必要があります。