個人データの漏えい等の報告

• 施行規則第7条は、法第26条第1項の報告が必要な事態を4つ挙げています。要配慮個人情報を含む個人データの漏えい等、不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が千人を超える漏えい等です。
• 第8条は、事態を知った後に速やかに概要などを報告し、知った日から30日以内（不正の目的の事態は60日以内）に、定められた事項を報告するよう定めています。委託を受けた事業者が、委託元に通知する場合は、第9条が速やかな通知を求めています。

報告が必要な事態（第7条第1項）

法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

e-Gov法令検索「個人情報の保護に関する法律施行規則」　第7条第1項

• 一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
• 二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
• 三 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
• 四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

報告の内容と期限（第8条第1項・第2項）

個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

e-Gov法令検索「個人情報の保護に関する法律施行規則」　第8条第1項

• 一 概要
• 二 漏えい等が発生し、又は発生したおそれがある個人データ（前条第三号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
• 三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
• 四 原因
• 五 二次被害又はそのおそれの有無及びその内容
• 六 本人への対応の実施状況
• 七 公表の実施状況
• 八 再発防止のための措置
• 九 その他参考となる事項

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

e-Gov法令検索「個人情報の保護に関する法律施行規則」　第8条第2項

委託を受けた事業者の、委託元への通知（第9条）

法第26条第1項のただし書は、委託を受けた事業者が、委託元に事態が生じた旨を通知したときは、委員会への報告を要しないと定めています（個人データの外注のページに、ただし書の条文を載せています）。通知の時期と内容は、第9条が定めています。

個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

e-Gov法令検索「個人情報の保護に関する法律施行規則」　第9条

このページで確認していないこと

• 第8条第3項（報告の方法）、本人への通知（法第26条第2項）、ガイドライン（通則編）の解説は、引用していません。
• 第7条の「高度な暗号化その他の個人の権利利益を保護するために必要な措置」の具体例は、読んでいません。