個人情報の漏えい速報を準備するとき、未判明の項目をどう整理する？

1．速報は全容が判明するのを待つ手続きではありません

この記事は、報告対象と判断された民間事業者の案件について、速報の下書きを準備する担当者に向けたものです。報告対象かどうかの個別の法律判断は扱いません。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、速報で報告する範囲と時期を確かめるために参照します。「速やか」の目安は個別の事案によるものの、報告対象事態を知った時点から概ね3～5日以内です。法人では、いずれかの部署がその事態を知った時点が基準となります。

社内では、最初の連絡を受けた人、連絡の内容、その後に確認できた事実を時系列で残しておくと、下書きを見直しやすくなります。担当者に資料が届いた時点と、社内で最初に把握した時点を区別することも、確認の入口です。調査の完了予定だけを見て準備を後回しにせず、書ける事実を先に集める進め方が考えられます。

2．「不明」と「無」、対応中と予定を分けて読みます

民間事業者用の記入例「③（要配慮個人情報）」では、二次被害の欄で「不明」が選ばれ、被害が発生した事実は報告されていない一方、おそれは否定できない旨が記載されています。この記入例は、被害の把握状況と、おそれの有無を混同しないために参照します。社内で寄せられた連絡がないことと、調査によって否定できたことは、分けてメモするとよいです。

民間事業者用の記入例「②（不正アクセス事例）」は、発覚の経緯の欄に、被害拡大の防止措置を時系列で記すよう求めています。この記入例は、原因の説明だけでなく、発覚後の経過を整理するために使います。実施したこと、依頼したこと、回答待ちのことを別々に残すと、予定を完了した事実のように書く混乱を避けやすくなります。

なお、公式案内にあるWordの報告様式は社内報告等のための参考資料であり、報告には使用せず入力フォームを使う案内です。また、ランサムウェア事案とその他サイバー攻撃等事案には、令和8年10月1日以降、共通様式で報告する選択肢も示されています。ここでは通常の報告フォームに向けた情報整理を扱い、共通様式の記入手順は扱いません。

3．未判明の項目には、確認担当と次の確認時点を付けます

ここからは当社の整理です。

未判明という印だけでは、次に誰が動くのかが残りません。下書きに使う情報とは別に、調査を追うための管理欄を用意するとよいです。下の表は社内用の整理例で、提出様式の記入例ではありません。

確認先に聞く内容も、未判明の項目に合わせて具体化します。「調査状況を教えてほしい」だけでなく、範囲を確かめるために足りない資料、確認できる見込み、回答できる担当を整理しておくと、返答を下書きへ反映しやすくなります。

回答が届いた後は、誰から何を確認したかを残します。推定にとどまる情報には、その前提と未確定の部分を添え、確認済みの欄へそのまま移さない扱いが考えられます。社内の管理欄と提出する内容を区別し、下書きには説明できる範囲の事実を反映します。

4．速報後も記録を更新し、確報へつなぎます

通則編では、確報は事態を知った日から30日以内、不正の目的をもって行われたおそれがある行為による事態では60日以内とされています。確報時点で合理的努力を尽くしても一部の事項が判明せず、全ての事項を報告できない場合は、その時点で把握している内容を報告し、判明次第追完する扱いです。

漏えい等報告フォームの入口には、新規報告に加え、修正報告を含む続報の登録案内があります。この入口ページは、報告後の追加・修正に使う区分を確かめるために参照します。

社内では、提出した内容の控えと、その後に届いた調査結果を分けて保存する方法が考えられます。古い記述を上書きするだけでは、どの事実が後から判明したのかを追いにくくなります。変更した理由と根拠になる資料も残しておくと、取りまとめ担当が交代した場合にも説明を引き継ぎやすくなります。

5．提出先と法律上の判断は、別に確かめます

「漏えい等の対応とお役立ち資料」は、報告先と使用するフォームを確かめるために参照します。原則の報告先は個人情報保護委員会ですが、報告を受ける権限が事業所管大臣に委任された分野では、権限委任先へ報告する必要があります。ただし、委任対象の業種でも、自社の雇用管理情報や株主情報に含まれる対象データについては、委員会への報告が必要とされています。マイナンバーが含まれるか不明な場合は、含まれる場合と同じ報告フォームを選ぶ案内です。

未判明の項目を記入上どう表すかと、報告義務の対象かどうかは、分けて確認します。提出先については公式案内で該当する区分と注記を確認し、法律上の判断に迷う点は上記の公式資料を示して専門家に確認します。担当者は、判断に必要な事実と不足している資料をまとめ、確認した相手と回答を残す役割に集中するとよいです。

6．確認表

公開・共有の前に、この表で確かめます。

7．自社の事務の手順まで形にしたいとき

ここまでの確認を、自社の事務の手順書や、AIの結果を確かめる検査まで形にしたい場合は、当社のように、手順と検査の設計まで行う相談先が選択肢になります。オンラインは全国から対応しています。

自社の事務のどこから確認を入れるかを相談したい場合は、初回無料相談をご利用ください。法律・税務・労務の判断や、効果の約束は行いません。