個人情報漏えいの本人通知義務とは？対象ケース・期限・2026年改正までまとめて解説

近年、不正アクセスやランサムウェアによる情報漏えい事案が相次いでいます。
こうしたなか、「個人情報が漏えいした場合、企業にはどのような対応義務があるのか」が改めて注目されています。実際にそうした事態が起きたとき、企業に求められるのは原因調査やシステム復旧だけではありません。個人情報保護委員会への報告と、対象となったご本人への通知が、法律上の義務として定められています。

この本人通知は、2022年4月1日から義務化されているルールです。しかし、いざ自社で対応することになると「どのケースが対象なのか」「いつまでに、何を書いて送ればよいのか」「数万件分の通知書を短期間でどう発送するのか」と、判断も実務も一度に押し寄せてきます。

本記事では、本人通知が必要になるケースと期限、通知に記載する項目、そして2026年改正で予定されている変更点までを整理しました。あわせて、実務でつまずきやすいポイントと、通知書の発送を外部に任せる場合の選び方についても解説します。

個人情報の漏えい等が発生した場合の対応は、以前は「望ましい対応」という位置づけでした。それが2022年4月1日施行の改正個人情報保護法によって、一定の要件を満たす場合には法律上の義務へと変わっています。
根拠となるのは個人情報保護法第26条です。同条では、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときに、次の2つの対応を求めています。

報告先も、期限の考え方も、伝える内容も異なります。社内で対応フローを整える際は、「委員会向けのライン」と「ご本人向けのライン」を分けて設計しておくと、実際に事態が発生したときに慌てにくくなります。

義務に違反した場合、個人情報保護委員会による指導・助言、勧告、命令の対象となり得ます。命令に従わない場合には罰則の適用や、事業者名の公表につながる可能性もあります。
さらに実務上は、対応の遅れそのものが企業への不信感につながりやすい点も見過ごせません。「通知が届く前にSNSで知った」という状況は、法令上の評価とは別に、お客様との関係に影響を及ぼします。

報告・通知の対象となるのは、漏えい等が「個人の権利利益を害するおそれがあるとき」です。具体的には、次の4つの事態が定められています。

※出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」

ここで注意したいのが3番目の類型です。外部からのサイバー攻撃や不正アクセスによる漏えいは、「不正の目的をもって行われたおそれがある事態」に該当するのが原則とされています。
つまり、件数の多寡にかかわらず対象となり得るということです。「1,000人を超えていないから対象外」と判断してしまうのは、実務上もっとも起こりやすい誤解のひとつといえます。

一方で、漏えいした個人データについて高度な暗号化などの秘匿化措置が講じられている場合には、そもそも「個人の権利利益を害するおそれ」がないと考えられ、報告・通知が不要となる場合があります。
ただし「暗号化していたから大丈夫」と即断できるものではなく、暗号鍵の管理状況なども含めた個別の判断が必要です。自社のケースが該当するかどうかは、専門家に確認したうえで整理しておくことをおすすめします。

委員会への報告は、対象となる事態を知った時点から「速やかに」（概ね3〜5日以内）に行う速報と、その後に事実関係を確定させて行う確報の2段階です。
システム調査が終わっていない段階でも、まず速報を出す必要があります。この「全容が分からないうちに動き出さなければならない」という点が、対応の難しさにつながります。

本人への通知は、「当該事態の状況に応じて速やか」に行うこととされています。委員会への報告のように日数の目安が示されているわけではなく、事案ごとの判断となります。
二次被害の拡大が懸念される場合は一刻も早い通知が求められ、一方で事実関係がほとんど判明していない段階での通知は、かえって混乱を招くこともあります。「できるだけ早く、かつ内容が正確な状態で」という難しいバランスを取る必要があります。

通知する内容は、個人情報保護法施行規則で定められています。

1. 事案の概要
2. 漏えい等が発生した個人データの項目
3. 原因
4. 二次被害またはそのおそれの有無およびその内容
5. その他参考となる事項

通知方法としては、文書の郵送や電子メールの送信が例として示されています。口頭（架電）での通知も可能ですが、通知を受けた内容を後から確認できるようにする観点からも併用が望ましいとされています。
※出典：個人情報保護委員会｜本人への通知について、口頭で行うことは可能ですか？

ご本人にとって分かりやすい方法で伝えることが前提となるため、対象者の年齢層や普段の接点にあわせて手段を選ぶ視点も大切です。メールアドレスを保有していない顧客層が多い場合は、郵送による通知書の発送が現実的な選択肢になります。

あわせて押さえておきたいのが、複数の連絡手段を保有している場合、ひとつの手段で連絡がつかなかっただけでは「通知が困難な場合」には当たらないとされている点です。郵送した通知書が宛先不明で戻ってきた場合、電話番号を把握しているのであれば、そちらへの連絡も検討する必要があります。「発送して終わり」ではなく、届かなかった分をどう追いかけるかまで含めて設計しておくことが求められます。

連絡先が分からないなど、本人への通知が困難な場合には、代替措置を講じることが認められています。

• 事案の公表（自社サイトでの掲載など）
• 問い合わせ窓口を設置し、ご本人が確認できる状態にすること

ただし、電話がつながらないなど一つの連絡手段が使えないだけでは、直ちに「連絡困難」とは判断されません。メールやSMSなど利用可能な手段がある場合は、それらも含めて連絡を試みることが求められます。

2026年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。このなかには、漏えい等が発生した際の本人通知に関する見直しも含まれています。改正法は一部を除き、公布日から起算して2年以内で政令で定める日から施行されるとされています。

現行法で本人通知を省略して代替措置に切り替えられるのは、「通知が困難な場合」に限られています。改正後は、これに加えて「本人の権利利益の保護に欠けるおそれが少ない場合」にも、代替措置を講じることで省略できるようになるとされています。
想定例として挙げられているのは、サービス利用者の社内識別子（ID）のように、それ単体ではほとんど意味を持たない情報のみが漏えいしたケースです。

なお改正の詳細な適用範囲は今後の政令・規則によって定まります。自社のケースがどう扱われるかについては、最新の公表資料を確認のうえ、必要に応じて専門家にご相談ください。

制度の内容を理解できても、実際に手を動かす段階では別の壁が現れます。ご相談をいただく場面では、次のような課題が挙がります。

• 10万通規模の通知書を、1週間以内に発送しなければならない
• 通知後の問い合わせが平常時よりも増え、通常の窓口では受けきれない
• 宛先不明で戻ってきた分に、あらためて連絡を取る必要がある
• 通知文面の確認に法務部門の工数が集中し、発送日が決まらない

いずれも、通知対応そのものが特別に難しいというより、限られた期間に複数の業務が重なることで生じる課題です。ここでは、特に負荷が集中しやすい3つのポイントを整理します。

通知書を郵送する場合、まず必要になるのが宛先データです。ところが大量の顧客データを抱えていると、転居や改姓が反映されていない、重複が残っている、といった状態になりがちです。不着が大量に発生すれば「通知を試みたが届かなかった」対象者への追加対応が必要になり、対応期間はさらに伸びます。
また、誤った宛先に他の方の情報を含む通知書が届いてしまえば、それ自体が新たな漏えいになりかねません。通知対応の場面では、宛先データの精度がそのままリスクの大きさに直結します。

通知の対象者が数千件・数万件規模になると、印刷から封入・封緘・発送までの物量が一気に膨らみます。対象者ごとに記載内容が異なる場合は可変印字も必要になり、通常の社内体制で短期間にさばくのは現実的とはいえません。
さらに通知書には、漏えいした個人データの項目や原因といった内容を記載する必要があります。そこに郵送のための宛名が加わるため、扱うのは、まさに保護が必要な情報そのものです。作業スペースやアクセス権限の管理が不十分なまま急いで進めれば、二次的な事故を招く恐れがあります。

通知書を発送すると、その直後から問い合わせが集中します。「自分の情報は何が漏れたのか」「今後どうすればよいのか」といったお問い合わせに、通常の窓口だけで対応するのは困難です。
さらに、宛先不明で戻ってきた分へのフォロー架電が必要になる場合もあります。受電と架電では必要な体制が異なるため、どちらも準備を進めることが重要です。

また、同じ時期には、社内で原因調査や再発防止策の検討も並行して進める必要があります。そのため、担当部門に最も負荷が集中するタイミングで電話業務が発生し、担当者の業務負担がさらに増大します。

こうした事情から、通知書の作成・発送を外部に委託する企業も少なくありません。委託先を検討する際に確認しておきたい観点を5つ挙げます。

印刷会社、発送会社、コールセンターをそれぞれ別に手配すると、社内にそれぞれとの調整業務が残ります。通知対応はスピードが求められる場面のため、この調整コストは想像以上に響きます。
とくに影響が出やすいのが、発送とコール対応をまたぐ場面です。たとえば不着分へのフォロー架電を行うには、発送側が把握している戻り情報を、コール側にすぐ渡せる状態になっている必要があります。会社が分かれていると、このデータの受け渡しだけで日にちのロスが発生します。

対応範囲の広い委託先を一社選べるかどうか、緊急時ほど、この違いが効いてきます。委託先の選定は、実際に事態が起きてから探し始めるより、平時のうちに候補を把握しておくのが安心です。

個人情報漏えい対応では、「報告義務を果たしたか」だけでなく、「対象者へ確実に通知できたか」が企業の信頼を左右します。通知書発送、不着対応、問い合わせ窓口まで含めて事前に体制を整備しておくことが重要です。

Q. メールで本人通知しても良いですか？

A. 本人が内容を確認できる方法であればメール通知も認められています。メールアドレスを把握していない対象者には、別の手段を用意する必要があります。

Q. 何日以内に本人通知しなければなりませんか？

A. 法令上の明確な期限はありませんが、「速やかに」とされています。ただし委員会への報告が概ね3〜5日以内のため、実務はその期限に

Q. 通知書が戻ってきた場合はどうすれば良いですか？

A. 電話やメールなど他の連絡手段での通知を検討します。ひとつの手段で届かなかっただけでは「通知が困難な場合」には当たらないとされています。

Q. 漏えいが1件でも通知は必要ですか？

A. 件数だけで判断するものではありません。不正アクセスによる漏えいは、1,000人以下でも対象となるのが原則とされています。

個人情報の漏えい等が発生した場合の本人通知は、2022年4月から法律上の義務として定められています。
不正アクセスやランサムウェアによる被害が多発するなか、これらの制度を正しく理解することはもちろん、実際に発生した際はどのように対応を行うか、という実務について想定しておくことが重要です。宛先データの精度、短期間での通知体制、問い合わせ対応などを事前に想定しておけるかどうかが、いざというときの対応スピードを大きく左右します。
自社で対応しきれない部分は外部の力を借りることも含めて、平時のうちに体制を整理してみてはいかがでしょうか。

などの課題がございましたら是非お気軽にご相談ください。
アテナでは、年間1億5,000万通のメーリング実績と自治体の給付金・補助金事務局の運用実績をもとに、帳票設計・通知発送から申請受付・審査、コールセンター対応、支給処理までワンストップで対応いたします。

• 　関連サービス　

• 　関連コラム