2026/09/26

セキュリティインシデントなどでメールアドレスが漏洩した場合の個人情報保護委員会（PPC）への報告の考え方を整理してみた。

<aside> ⚠️

以下ご理解いただける方のみお読みください。

私（iron）が記載している投稿は 一個人の見解 であり、特定の企業や団体の見解や主張ではありません。一つの情報としてご覧ください。
この記事はあくまでも自分の頭の中を整理するためにまとめたもので、2026/9/26 時点の情報に基づきます。内容の正しさを保証・確約するものではありません。 </aside>

TL;DR

個人データの漏洩において、①要配慮個人情報を含む ②財産的被害のおそれ ③不正の目的のおそれ ④本人の数が 1,000 人超のいずれかに当たると、個人情報保護委員会（PPC）への報告と本人への通知が必要。
メールアドレスは、アドレス自体から氏名などが読み取れるか、事業者の手元で会員情報などと結びつくかで個人情報かどうかが決まり、会員 DB などを構成していれば個人データに。
メールアドレスだけの漏洩なら、不正アクセスなど ③ に当たれば 1 人でも報告対象、誤送信や設定ミスなら ④ の本人の数が分かれ目になる。
本人の数は アドレスの件数ではなく人数で数える。複数のアドレスを持つ人は 1 人、アドレスとパスワードが別々に漏れた場合は重複を除いた人数になる。
実務では時間の制約と解釈の揺れから安全側に倒すことが多いと思われる。いざというときに本人の数を事実値で出せるよう、平時から準備しておくことが大事。

きっかけ

昨今様々な情報漏洩に関する記事や報道を見かけるが、実際に起こってしまったとき、特に法令に基づく報告をするときにどのように整理すればよいのかと考えた。

個人情報の漏洩で法令報告で真っ先に思いつくのが個人情報保護委員会（PPC）。その際、報告が必要なのは “個人情報” の漏洩ではなく、個人データの漏洩という認識は持っていた。

ただ DB などに入っていない単なる “個人情報" はどうなるのか、1 人が複数持つメールアドレスは何人と数えるのか、と考え始めると意外とあいまいだったので少し調べて整理してみた。

個人データの漏洩（またはそのおそれ）が発生した際、次の①～④のいずれかに当てはまれば、PPC への報告と漏洩してしまった個人データの本人へ通知が必要。