個人情報の漏えい対応の業務手順書テンプレート（業種共通）
個人データの漏えい（誤送信・紛失・不正アクセスなど）が起きたら、被害を止め、事実を確かめ、必要な場合は個人情報保護委員会に報告し本人に知らせます。手順書にしておくと、初動の遅れや報告期限の見落としを防げます。
この手順書の範囲
- 目的
- 漏えいの被害を最小限にとどめ、法律で決められた報告と通知を期限内に行うことを目的にします。
- 範囲
- 発覚・報告から、初動対応、事実確認、委員会への速報と確報、本人への通知、再発防止まで。
- 始まるきっかけ
- メールの誤送信、書類・端末の紛失、不正アクセスなどで個人データが漏れた（おそれがある）とき
- 頻度・量の目安
- 発生時（随時）
- 使う書類・システム
- 個人情報取扱規程、漏えい対応の連絡網、個人情報管理台帳、個人情報保護委員会の報告様式
担当と役割
発見者（全社員）
すぐに上長と窓口に報告
個人情報保護の責任者（総務）
対応の指揮、委員会への報告、本人への通知
情報システム担当
不正アクセスの調査と遮断
経営者
公表などの判断
手順（10ステップ）
- 準備個人情報保護の責任者・目安 初回2時間
1. 平常時に、漏えい時の連絡網・判断の基準・報告の様式をまとめ、社内に周知しておく
夜間・休日の連絡先も決めておく。
- 確かめること
- 連絡網を最新にしたか
- できあがるもの
- 漏えい対応の手順
- 報告発見者・目安 すぐ
2. 気づいたらすぐに上長と社内の窓口に報告する
誤送信なら送信先・内容・件数をメモする。隠したり自分だけで処理したりしない。
- 確かめること
- 発覚した時刻を記録したか
- できあがるもの
- 第一報
- 初動個人情報保護の責任者・目安 1時間以内
3. 被害が広がらないよう止める
誤送信は相手に削除を依頼、紛失は遠隔ロック、不正アクセスはネットワークの遮断やパスワードの変更。
- 確かめること
- 止める措置をとったか
- できあがるもの
- 初動の記録
- 確認個人情報保護の責任者・目安 半日〜
4. 漏えいした項目・人数・原因・二次被害のおそれを確認する
個人情報管理台帳で、そのデータの範囲を確かめる。
- 確かめること
- 人数と項目を把握したか
- できあがるもの
- 事実確認の記録
- 判断個人情報保護の責任者・目安 1時間
5. 委員会への報告と本人への通知が必要かを判断する
要配慮個人情報、財産的被害のおそれ（クレジットカード番号など）、不正の目的によるもの、1,000人を超えるもの、のいずれかは報告が必要。
- 確かめること
- 4つの類型にあたるか確認したか
- できあがるもの
- 判断の記録
6. 報告が必要な場合は、知ってからおおむね3〜5日以内に委員会へ速報する
その時点でわかっていることを報告する。
- 確かめること
- 期限内に速報したか
- できあがるもの
- 速報の控え
- 通知個人情報保護の責任者・目安 —
7. 本人に、漏えいの内容・原因・二次被害のおそれ・問い合わせ先を知らせる
本人への通知が難しい場合は、公表と問い合わせ窓口の設置で代える。
- 確かめること
- 通知の方法と日付を記録したか
- できあがるもの
- 本人への通知
8. 知ってから30日以内（不正の目的によるものは60日以内）に確報を出す
原因と再発防止策を含める。
- 確かめること
- 期限内に確報したか
- できあがるもの
- 確報の控え
- 再発防止個人情報保護の責任者・目安 —
9. 原因に応じた再発防止策を決め、社内に周知する
誤送信ならメールの送信前確認・添付ファイルの扱いを見直す。
- 確かめること
- 再発防止策を規程や手順に反映したか
- できあがるもの
- 再発防止策
- 記録個人情報保護の責任者・目安 1時間
10. 経緯・判断・報告・通知の記録をまとめて保存する
報告不要と判断した場合も理由を記録する。
- 確かめること
- 記録を保存したか
- できあがるもの
- 対応記録
締めのチェックリスト
- 発覚した時刻を記録した
- 被害を止める措置をとった
- 漏えいした項目と人数を把握した
- 報告が必要な4つの類型を確認した
- 3〜5日以内に速報した
- 本人に通知した
- 30日（不正目的は60日）以内に確報した
- 再発防止策を手順に反映した
- 報告不要の場合も理由を記録した
よくあるミスと防ぎ方
担当者が報告をためらう
報告が遅れると被害が広がります。「すぐ報告した人は責めない」ことを社内に伝えておきます。
速報の期限を過ぎる
速報はおおむね3〜5日以内です。全部わかるのを待たず、わかっている範囲で出します。
報告不要と判断して記録を残さない
後から判断の理由を問われることがあります。報告しない場合も理由を記録します。
測っておきたい指標
- 発覚から初動までの時間
- 報告期限の遵守
- 再発の件数
関係する法令・規格
一定の漏えい等は個人情報保護委員会への報告と本人への通知が義務
報告の様式と手順
無料ダウンロード
業務手順書テンプレート集（管理部門（業種共通）・50業務）
- 「個人情報の漏えい対応」を含む50業務の手順書を、1業務1シートで書き換えられるExcel
- 手順ごとに担当・確かめること・できあがるもの・目安時間の列。自社のやり方に合わせて行を足せます
- 締めのチェックリストと改訂履歴のシートつき。A4横で印刷できます
フォームを送信すると、すぐにダウンロードできます
10手順のうち2つは、自動化の候補です
ジンベイ GenRPA
システムへの転記や画面操作の自動化
- 手順6：報告が必要な場合は、知ってからおおむね3〜5日以内に委員会へ速報する
- 手順8：知ってから30日以内（不正の目的によるものは60日以内）に確報を出す
よくある質問
- メールを1件誤送信しただけでも報告が必要ですか？
- 4つの類型（要配慮個人情報・財産的被害のおそれ・不正の目的・1,000人超）のどれかにあたれば必要です。あたらなくても、本人への連絡と社内の記録は行います。
- 暗号化したファイルを誤送信した場合は？
- 高度な暗号化がされていて、鍵が漏れていなければ報告が不要とされる場合があります。暗号化の方法を確認します。
- 委託先で漏えいした場合は？
- 委託元と委託先の両方に報告の義務がありますが、委託先が委託元にすぐ知らせれば、委託先の報告は不要になります。委託先からすぐ連絡が来る契約にしておきます。