- 委員会のQ&Aは、委託元で報告対象となる漏えい等が発生した場合、委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられる、としています（Q6-21）。
- クラウドサービス提供事業者が個人データを取り扱わないことになっている場合は、クラウドサービスを利用する事業者が報告義務を負い、報告をクラウドサービス提供事業者に代行させることもできます（Q6-22）。報告期限の起算点の「知った」時点は、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます（Q6-24）。
委員会のQ&A（Q6-1・Q6-19・Q6-21〜Q6-24）
| 項目 | 公式の記載 |
|---|---|
| Q6-1 の問 | 施行規則第7 条に規定する「個人データ」には、どのような情報が含まれますか。 |
| Q6-1 の答（1） | 施行規則第7 条に規定する「個人データ」とは、個人情報取扱事業者が取り扱う個人データをいいます。 |
| Q6-1 の答（2） | ただし、同条第3 号に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」が含まれるため、次の①から④までの情報が同号に規定する「個人データ」に該当します。 |
| Q6-1 の答（3） | ① 個人情報取扱事業者が取り扱う個人データ |
| Q6-1 の答（4） | ② 個人情報取扱事業者が取り扱う個人情報（個人データとして取り扱われることが予定されているものに限る。） |
| Q6-1 の答（5） | ③ 個人情報取扱事業者が取得しようとしている個人データ |
| Q6-1 の答（6） | ④ 個人情報取扱事業者が取得しようとしている個人情報（個人データとして取り扱われることが予定されているものに限る。） |
| Q6-19 の問 | 「漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。 |
| Q6-19 の答（1） | 報告を要しない「漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合」に該当するためには、当該漏えい等事案が生じた時点の技術水準に照らして、漏えい等が発生し、又は発生したおそれがある個人データについて、これを第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されていることが必要と解されます。 |
| Q6-19 の答（2） | 第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置としては、適切な評価機関等により安全性が確認されている電子政府推奨暗号リストやISO/IEC18033等に掲載されている暗号技術が用いられ、それが適切に実装されていることが考えられます。 |
| Q6-19 の答（3） | また、暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されているといえるためには、①暗号化した情報と復号鍵を分離するとともに復号鍵自体の漏えいを防止する適切な措置を講じていること、②遠隔操作により暗号化された情報若しくは復号鍵を削除する機能を備えていること、又は③第三者が復号鍵を行使できないように設計されていることのいずれかの要件を満たすことが必要と解されます。 |
| Q6-21 の問 | 委託元から個人データの取扱いの委託を受けている場合において、委託元において報告対象となる個人データの漏えい等が発生した場合、委託先は報告義務を負いますか。 |
| Q6-21 の答（1） | 委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられます。 |
| Q6-22 の問 | クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合（Ｑ７－53参照）において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者とクラウドサービス提供事業者はそれぞれ報告義務を負いますか。 |
| Q6-22 の答（1） | クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービスを利用する事業者としては、自らが負う報告義務に基づく報告を、クラウドサービス提供事業者に代行させることができます。また、クラウドサービス提供事業者は、法第26条第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。 |
| Q6-23 の問 | 配送事業者を利用して個人データを含むものを送る場合において、当該配送事業者の誤配送により報告対象となる個人データの漏えいが発生したときには、配送事業者を利用した事業者と配送事業者はそれぞれ報告義務を負いますか。 |
| Q6-23 の答（1） | 配送事業者は、通常、配送を依頼された中身の詳細については関知しないことから、当該配送事業者との間で特に中身の個人データの取扱いについて合意があった場合等を除き、当該個人データに関しては取扱いの委託をしているものではないものと解されます。 |
| Q6-23 の答（2） | そのため、当該配送事業者の誤配送により報告対象となる個人データの漏えいが発生したときには、配送事業者を利用した個人情報取扱事業者が報告義務を負います。この場合、配送事業者は、法第26条第１項の報告義務を負いませんが、配送事業者を利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいて、配送事業者を利用する事業者に対して通知する等、適切な対応を行うことが求められます。 |
| Q6-24 の問 | ガイドライン（通則編）３－５－３－３において、報告期限の起算点となる「知った」時点について、「個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありますが、具体的には部署内の誰が認識した時点を基準としますか。 |
| Q6-24 の答（1） | 個別の事案ごとに判断されますが、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます。なお、従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。 |
出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（第6章 漏えい等の報告等）（確認日 2026-10-25）。
このページで確認していないこと
個別の事案が報告対象事態に当たるか、報告義務を誰が負うかは、このサイトでは判断しません。
判断が必要なときは、個人情報保護委員会の相談窓口や、弁護士などの資格者に確認してください。
- Q6のほかの問い（Q6-2〜Q6-18、Q6-25以降。フィッシングサイト・クレジットカード番号・報告事項の中身など）は、読んでいません。
- 令和8年の改正法による見直し（検討中）は、別のページにあります。Q&Aも、改正に合わせて更新される可能性があります。