ディスクやUSBを紛失したときの報告義務｜漏えい対応の初動と期限

受講者名簿の入ったUSBメモリが見つからない。健康診断の結果を焼いたDVDを、担当者がかばんごと置き忘れた。こういうとき、管理者が最初に知りたいのは「これは届け出なければならない事案なのか」「いつまでに何をすればいいのか」の二点だと思います。探すことと報告することは別の作業で、探しながら期限だけが進んでいくのが一番まずい状況です。

個人情報保護法では、紛失したら即座に報告、という単純な仕組みにはなっていません。個人データかどうか、規則が定める4つの類型に当たるかどうか、暗号化などの措置を講じていたかどうかで結論が変わります。そして報告対象に当たる場合は、事態を知った時点から、速報（概ね3〜5日以内）と確報（30日以内、不正の目的による類型は60日以内）という二段階の期限が動き出します。

この記事は、個人情報保護委員会のガイドラインとQ&Aで確認できる範囲に絞って書きます。個々の事案が報告対象に当たるかの判断は、弁護士や組織の担当部署に確かめてください。

紛失した時点では報告義務は確定しない｜分かれ目は「個人データか」「4類型か」「暗号化措置か」

個人情報保護法が事業者に求めている報告は、取り扱う個人データについて「漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態」のうち、施行規則が定める類型に当たるものに限られています。つまり、紛失の一報を受けたら、次の3つを順番に確認することになります。

• 紛失した媒体に入っていたのは「個人データ」か。個人情報の中でも、名簿や顧客台帳のように体系的に整理され、検索できる状態で管理していたものが該当します
• 施行規則第7条が定める報告対象事態の4類型のどれかに当たるか
• 「高度な暗号化その他の個人の権利利益を保護するために必要な措置」を講じていたか。講じていれば報告を要しません

ここで見落とされやすいのが「滅失」の扱いです。ガイドラインでは、内容と同じデータが他に保管されている場合は滅失に該当しないとされています。バックアップがある状態でディスクを1枚なくしても、それは「データが失われた」事案にはなりません。逆に言えば、原本を1か所にしか置いていない運用では、紛失がそのまま滅失になります。媒体を分けて持つ考え方は3-2-1バックアップの実践で整理していますが、この考え方は事故対応の面でも役に立ちます。

ただし、滅失に当たらないことと、報告が不要であることは別の話です。バックアップがあっても、なくした1枚が第三者の手に渡るおそれがあれば「漏えいのおそれ」として評価されます。報告の要否を左右するのは、手元に残っているかどうかではなく、他人に見られる可能性があるかどうかです。

「おそれ」の幅も判断が割れるところです。施錠された社内の書庫から出していない、探したら同じフロアの引き出しから出てきた、という場合と、通勤電車の網棚に置き忘れて数時間経っている場合とでは、第三者がアクセスした可能性の見積もりが変わります。前者は漏えいのおそれが低いと整理できる余地がありますが、後者は難しいでしょう。判断がつかないうちは、報告する前提で準備を始めておくほうが安全です。あとから「報告対象ではなかった」と分かって取り下げるのは、期限を過ぎてから慌てるより、はるかに軽い作業です。

報告が必要になる4類型｜要配慮・財産的被害・不正目的は1件でも対象になる

施行規則が定める報告対象事態は、次の4つです。3つ目までは件数のしきい値がなく、対象者が1人でも報告義務が生じます。「1,000人を超えなければ報告不要」という誤解が現場では根強いのですが、これは4つ目の類型だけの話です。

類型	内容	人数のしきい値
1	要配慮個人情報が含まれる個人データの漏えい等（またはそのおそれ）	なし（1件でも対象）
2	不正に利用されることにより財産的被害が生じるおそれがある個人データ	なし（1件でも対象）
3	不正の目的をもって行われたおそれがある行為による漏えい等	なし（1件でも対象）
4	本人の数が1,000人を超える漏えい等（行政機関等は100人を超えるもの）	1,000人超

実務でつまずくのは1つ目です。要配慮個人情報には、病歴、障害があること、健康診断等の結果、犯罪により害を被った事実などが含まれます。学校の保健室が持つ記録、企業の健康診断データ、福祉サービスの利用記録は、対象者が1人でもこの類型に当たります。名簿としては小さくても、中身の性質で報告義務が決まるということです。

2つ目は、クレジットカード番号や、決済に使える口座番号と暗証番号の組み合わせのように、そのまま不正利用につながる情報を想定した類型です。氏名と住所だけであれば、通常はここには当たりません。

3つ目は、「なくした」のか「盗られた」のかで分かれます。机の上から資料ごとなくなっていた、社用車の車上荒らしでかばんを持ち去られた、といった事情があれば、不正の目的をもって行われたおそれがある行為として整理されます。単なる置き忘れは、この類型ではなく、1・2・4のいずれかに当たるかで判断することになります。

4つ目の「本人の数」は、名簿の行数ではなく、重複を除いた実人数で数えます。同じ人が複数回登場する台帳をそのまま数えると過大になるので、確報までに実数を確定させておきます。なお、人数が確定できない段階では、判明している範囲で速報を出しておけば足ります。

マイナンバー（特定個人情報）が含まれていた場合は、番号法の側でも「重大な事態」の報告が別枠で定められており、報告先のフォームも分かれています。マイナンバーを含む事案は、個人情報保護委員会のマイナンバー用の報告フォームから提出します。

速報は概ね3〜5日以内、確報は30日以内｜起算点は「いずれかの部署が知った時点」

報告対象だと判断したら、報告は二段階で行います。個人情報保護委員会は、速報を「知った後、概ね3〜5日以内」、確報を「知った日から30日以内」としています。ただし、不正の目的をもって行われたおそれがある行為による類型（4類型の3つ目）については、確報の期限が60日以内になります。

ここで実務上いちばん危ないのが起算点です。ガイドラインでは、法人の場合はいずれかの部署が当該事態を知った時点を基準とするとされています。金曜の夕方に現場の担当者が気づき、月曜に上長へ、火曜に管理部門へ、という流れをたどると、管理部門が動き出した時点で持ち時間の半分以上が過ぎています。紛失の一報を現場から管理部門へ直接上げる経路を、事故が起きる前に決めておく必要があります。

報告事項として求められるのは、次の9項目です。速報の時点ですべてが埋まる必要はなく、その時点で把握している範囲で提出し、確報で埋めていく運用が前提になっています。

項目	速報時点の埋め方
概要	いつ・どこで・何が起きたかを事実だけで
漏えい等が発生した個人データの項目	氏名・住所・健康診断結果など、含まれていた項目を列挙
本人の数	確定していなければ「調査中・最大◯名」と記載
原因	置き忘れ・盗難・破損など。断定できなければその旨を書く
二次被害またはそのおそれの有無	不審な連絡や不正利用の報告があるか
本人への対応の実施状況	通知済み・準備中など
公表の実施状況	公表予定の有無
再発防止のための措置	速報では暫定措置で可
その他参考となる事項	警察への届出、受理番号など

提出は、個人情報保護委員会のオンラインフォームから行います。民間事業者でマイナンバーを含まない事案は個人データ用の報告フォーム、マイナンバーを含む事案はマイナンバー用のフォームが提出先です。

ただし、業種によっては、委員会ではなく所管省庁が報告先になる権限委任の仕組みがあります。自社が該当するかは、事故が起きてから調べるのではなく、平時に一度確認しておくべき項目です。なお委員会は、ランサムウェア事案について令和7年10月1日以降、共通様式での報告に対応しています。

本人への通知は「速やかに」、連絡先が分からないときは公表と窓口で代替できる

委員会への報告とは別に、報告対象事態を知ったときは本人への通知も求められます。こちらには「◯日以内」という日数の定めがなく、ガイドラインは当該事態の状況に応じて速やかにと表現しています。日数が切られていないぶん、遅れの説明責任は事業者側にあると考えられます。原因調査の完了を待って一斉に通知するより、判明している範囲で先に伝え、続報を出すほうが実務としては筋が通ります。

2026年7月17日に公布された個人情報保護法の改正法（令和8年法律第56号）は、公布から2年以内に施行される予定で、本人への通知の決まりが変わる見込みです。施行までは、ここに書いた今の決まりが当てはまります。

通知の中身は、委員会への報告事項のうち、本人に関わる部分を選ぶのが実務の型です。具体的には、何がいつ起きたのか、その人の情報のうちどの項目が含まれていたのか、原因、二次被害のおそれ、そして問合せ先です。ここで「ご迷惑をおかけしました」だけの文面を送ると、受け取った側は自分の何が漏れたのか分からず、問合せが殺到します。項目を書くことが、結果的に対応コストを下げます。

問題になりやすいのは、通知先が分からないケースです。数年前の卒業生名簿、退会済みの会員リスト、イベント参加者の一覧などは、現住所も電話番号も追えないことが珍しくありません。この場合は代替措置が認められています。ガイドラインは、事案の公表や、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすることを例示しています。

この窓口は新設でなくても構いません。委員会のQ&Aでは、常設している個人情報相談窓口を代替措置として利用することも可能とされています。ただし、問い合わせてきた人が本当にその本人かを確認する手続きは必要です。「◯◯さんの情報は入っていましたか」という電話に、確認なしで答えてしまえば、それ自体が新たな漏えいになります。窓口を設けるときは、本人確認の方法と回答してよい範囲を、担当者に文書で渡しておくところまでが準備です。

代替措置は「通知しなくてよい抜け道」ではなく、通知が困難な場合に代わりに取る手段です。連絡先が有効な人にはまず通知を出し、追えない層について公表と窓口で受ける、という併用が現実的な形になります。

発覚から72時間でやること・やってはいけないこと

速報の目安が概ね3〜5日である以上、初動の設計は「最初の72時間で何を確定させるか」で考えると組み立てやすくなります。やることは、探すことと報告準備を並行させることに尽きます。

• 事実を紙に書き出す。誰が・いつ・どこで最後に確認したか、媒体の種類と枚数、入っていたファイル、想定される人数と項目。記憶が新しいうちに書き取る
• 中身を再現する。紛失した媒体そのものは見られないので、コピー元のフォルダやコピー時の作業記録から、含まれていた項目と人数を割り出す
• 警察に遺失届または盗難届を出す。受理番号を控えておくと、報告書の「その他参考となる事項」に書ける
• 管理部門と経営層へ同時に一報を上げる。起算点が「いずれかの部署が知った時点」である以上、現場で抱えた時間はそのまま持ち時間を削る
• 時系列の記録を残す。誰がいつ何をしたかのログは、確報と再発防止策のもとになる

やってはいけないことのほうが、実は判断を誤りやすい部分です。

• 見つかるまで報告を待つ。探索の継続と報告は両立します。あとで発見されたなら、その事実を確報に書けば済みます
• 当事者の判断で処理を終える。「たぶん社内にある」という現場の見立てだけで報告しない判断をすると、起算点だけが過ぎていきます
• 関係する端末やログを初期化する。コピー元のパソコンを片付けたり、書き出し履歴を消したりすると、含まれていた項目を確定できなくなります
• 確定していない人数を外に出す。速報では「調査中」と書けます。憶測で出した数字を後から訂正するほうが、信頼を損ないます
• あとから暗号化していたことにする。措置を講じていたかどうかは、設定記録や運用手順で裏づけられる必要があります

なお、紛失ではなく「媒体が割れた・読めなくなった」という相談も、同じ窓口に来ます。これは滅失・毀損の問題であり、同じデータが他に残っていれば滅失には当たりません。読めない原因が経年劣化なのか、傷や汚れなのか、記録面の問題なのかで、復旧の見込みも変わります。そのため切り分けは、読み込めないDVDを復活させる方法｜原因の見分け方と、裏ワザの効き目を先に確認してから判断すると早いはずです。

暗号化していれば報告不要になる理由｜鍵の管理まで含めて初めて成立する

施行規則は、報告対象事態の定義の中で「高度な暗号化その他の個人の権利利益を保護するために必要な措置」を講じたものを除いています。第三者が中身を読めない状態であれば、権利利益が侵害されるおそれがない、という考え方です。実際、紛失事案の結論がここで変わることは少なくありません。

ただし「暗号化していた」と言えば通るわけではありません。委員会のQ&Aでは、この措置に該当するかの検討要素として、適切な暗号化アルゴリズムが用いられていること、暗号化した情報を復号するための鍵が適切に管理されていること、そして遠隔操作による削除等の機能が挙げられています。数値としての暗号強度の下限が示されているわけではないため、社内で「これは適切だ」と説明できる根拠を持っておく必要があります。

実務で崩れるのは、ほぼ鍵の管理です。次のような運用は、鍵が適切に管理されているとは言いにくいと考えられます。

• 暗号化したファイルと同じUSBメモリの中に、パスワードを書いたテキストファイルが入っている
• ディスクのケースや盤面に、パスワードをペンで書いている
• パスワードが「会社名+西暦」など、外部から推測できる規則で作られている
• 暗号化ファイルとパスワードを、同じメールで前後して送っている

もう一つ、媒体の性質によって取れる手段が違う点も押さえておきます。USBメモリやノートPCは、資産管理の仕組みによって遠隔でロックや消去ができる場合があります。一方、光ディスクは物理媒体なので、渡した後に遠隔で消すことはできません。ディスクで配布する場合は、暗号化した状態で焼く、そもそも要配慮個人情報を載せない、といった前段の設計で対応することになります。

暗号化の措置は、事故が起きてから振り返って評価されます。導入時に、暗号化の方式、鍵の受け渡し方法、鍵を保管する場所を文書に残しておくと、報告の要否を判断する場面で「講じていた」と説明できます。逆に、担当者の裁量でパスワードを決めていた運用は、事故のたびに再現性のない説明をすることになります。

委託先で起きたときは委託元が報告し、通知した委託先は義務を免れる

名簿の印刷、ディスクの制作、データの入力といった作業を外部に出している場合、事故は委託先で起きることがあります。このとき誰が報告するのかは、法第26条第1項のただし書で整理されています。ガイドラインは、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除されるとしています。つまり、委託先から委託元へ通知が上がり、委託元が委員会へ報告する、という流れが基本形です。

ここで実務上のリスクは、通知が遅れることです。委託先が社内調査を終えてから連絡してくると、委託元が知った時点で既に数日が経っている、という事態が起きます。起算点は委託元が知った時点になるとしても、確報までに事実関係を固める時間は確実に削られます。

契約書や覚書に入れておくと役に立つ条項は、次のあたりです。

• 漏えい・滅失・毀損またはそのおそれを認識した場合、◯時間以内に委託元へ通知する（覚知から24時間以内など、具体的な時間で書く）
• 通知に含める項目（発生日時、媒体、対象データの項目、想定人数、原因、実施済みの措置）
• 委託元の調査に協力し、作業記録・アクセスログを提供する義務
• 委託元の同意なく単独で公表しないこと

逆の立場、つまり自社が委託先である場合も、この構造は同じです。預かったデータで事故を起こしたら、まず委託元へ通知する。自社で判断して報告を出すより先に、報告義務を負う側へ事実を渡すのが順序になります。

再委託がある場合は、通知が二段階になります。制作を請けた会社がさらに別の会社へ回している構図では、末端で起きた事故が委託元に届くまでの経路を、契約の段階で確認しておく必要があります。事故時の連絡経路と再委託の有無は、価格や納期と同じ列に並べて確認しておく項目です。

再発防止は「持ち出す媒体を数えられる形にする」ところから

確報には再発防止措置を書く欄があります。ここに「持ち出しを原則禁止とする」とだけ書いても、実態が変わらなければ同じ事故が起きます。効果があるのは、媒体そのものを管理しやすい形に変えることです。

USBメモリやポータブルSSDが管理しづらいのは、書き換えができてしまうからです。誰かが別のファイルを追記しても、上書きしても、外形からは分かりません。「あのUSBには何が入っていたか」を事故のあとに再現できないのは、この性質が原因です。

対して、書き込んだあとに追記できない状態にした光ディスクは、盤面と中身が一対一で対応します。台帳に「この番号のディスクにはこの内容が入っている」と書けば、紛失時に含まれていた項目を即座に言えます。追記の可否がどう決まるかは、ファイナライズとはで説明しています。

枚数管理も同じ理屈です。何枚作り、何枚を誰に渡し、何枚が手元に戻ったかを数えられるのは、媒体が有形だからです。配布用に必要な枚数だけ作るという運用は、余りを金庫にしまい込まないという点でも、事故が起きうる範囲を狭めます。1枚単位で頼めるかどうかは、この運用が回るかどうかに直結します（1枚から頼める小ロット対応）。保管の条件をそろえておくことも、数年後に「読めない」で慌てないための準備になります（DVD・CDの正しい保管方法）。

当社は、動画のデータからDVD・ブルーレイを作る書き込み代行の店です。基本料金（DVD・1枚あたり）1,500円（税抜）から、1枚単位で承っています。再生できる形式に組み立てるオーサリングは、料金に含まれています。盤面へのレーベル印刷、ケースと背表紙の印刷、メニュー画面の作成、チャプター分けにも、オプションで対応しています。レーベル面に用途や配布先を印刷しておけば、机の上に置かれた1枚が何のディスクかを、中身を見なくても判別できます。印刷は、用途や配布先も入れた画像を入稿してもらう形です。

入稿は、ギガファイル便のURLをお送りいただく形です。ギガファイル便、Google ドライブ、Dropbox、OneDrive、WeTransfer、firestorageなどに対応しています。納期は通常便のほか、次の3つをご用意しています。

• お急ぎお届け（+1,500円／平日15時までのご注文・ご入稿で翌々日までに発送）
• 特急お届け（+3,000円／平日15時までのご注文・ご入稿で翌日発送）
• 当日店舗お渡し（+3,500円／平日12時までのご注文・ご入稿、大阪市北区の店舗で受け取り）

よくある質問

Q. USBメモリを紛失しました。個人情報保護委員会への報告は必ず必要ですか？

A. 紛失しただけで報告義務が確定するわけではありません。入っていたのが個人データであり、かつ施行規則が定める報告対象事態の4類型（要配慮個人情報を含む、財産的被害のおそれがある、不正の目的をもって行われたおそれがある行為による、本人の数が1,000人を超える）のいずれかに当たる場合に、報告が必要になります。あわせて、高度な暗号化その他必要な措置を講じていた個人データは、報告の対象から外れます。判断がつかない段階では、報告する前提で速報の準備を進めておくと期限に間に合います。

Q. 漏えいの報告期限は何日以内ですか？

A. 個人情報保護委員会は、速報を「知った後、概ね3〜5日以内」、確報を「知った日から30日以内」としています。ただし、不正の目的をもって行われたおそれがある行為による類型については、確報の期限が60日以内になります。速報の時点ですべての項目が判明している必要はなく、把握している範囲で提出し、確報で確定させる運用が前提です。起算点は、法人の場合はいずれかの部署が事態を知った時点とされているため、現場が気づいた日から数え始めることになります。

Q. 1件でも報告が必要になるのはどんな場合ですか？

A. 報告対象4類型のうち、人数のしきい値があるのは「本人の数が1,000人を超える」類型だけです。要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合は、対象者が1人でも報告義務が生じます。健康診断の結果や病歴、障害に関する情報は要配慮個人情報にあたるため、学校の保健記録や社員の健診データは少数でも対象になります。1,000人という数字だけで判断しないことが重要です。

Q. 暗号化していれば報告しなくてよいのですか？

A. 施行規則は、報告対象事態から「高度な暗号化その他の個人の権利利益を保護するために必要な措置」を講じたものを除いています。ただし、暗号化ソフトを使ったという事実だけでは足りません。委員会のQ&Aでは、適切な暗号化アルゴリズムであること、復号のための鍵が適切に管理されていること、遠隔操作による削除等の機能があることが検討要素として挙げられています。パスワードを同じ媒体に保存していた、ケースに書いていた、推測できる規則で作っていたといった場合は、鍵の管理が適切とは言いにくいと考えられます。

Q. 本人への通知はいつまでに行う必要がありますか？

A. 本人への通知には日数の定めがなく、ガイドラインは「当該事態の状況に応じて速やかに」としています。日数が切られていないぶん、遅れた理由を説明できる状態にしておく必要があります。原因調査の完了を待つより、判明している範囲でまず通知し、続報を出すほうが実務としては合理的です。通知には、事案の概要、その人の情報のうち含まれていた項目、原因、二次被害のおそれ、問合せ先を書きます。項目を明示しないと、受け取った側が判断できず問合せが集中します。

Q. 退会済みで連絡先が分からない人には、どう通知すればよいですか？

A. 通知が困難な場合は代替措置が認められています。ガイドラインは、事案の公表や、問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象かどうかを確認できるようにすることを例示しています。委員会のQ&Aでは、常設している個人情報相談窓口を代替措置として利用することも可能とされていますが、本人確認の手続きは必要です。連絡先が有効な人にはまず個別に通知し、追えない層を公表と窓口で受ける併用が現実的な形になります。

Q. 外注先でデータが漏えいした場合、報告するのは委託元と委託先のどちらですか？

A. ガイドラインは、委託先が報告義務を負っている委託元に事態の発生を通知したときは、委託先の報告義務は免除されるとしています。したがって、委託先から委託元へ通知し、委託元が個人情報保護委員会へ報告するのが基本の流れです。実務上のリスクは通知の遅れなので、契約書に「覚知から24時間以内に委託元へ通知する」といった具体的な時間と、通知に含める項目、調査への協力義務、単独公表の禁止を書いておくと機能します。再委託がある場合は、末端からの連絡経路も事前に確認しておきます。

Q. 紛失した媒体があとから見つかった場合は、どうなりますか？

A. 見つかったからといって、報告を出さずに済ませる判断は取りにくいのが実情です。報告の要否は「第三者に見られるおそれがあったか」で評価されるため、社外で所在不明だった時間があれば、その間のリスクは残ります。実務としては、発見の事実と発見場所、その間に第三者がアクセスした形跡の有無を確報に記載する形になります。発見を待って報告を止めると、探している間に速報の期限が過ぎるため、探索と報告準備は並行して進めてください。