Happiter
Happiter › 制度の解説 › 要配慮個人情報の漏えい報告｜福祉事業所が1件でも報告する時

要配慮個人情報の漏えい報告｜福祉事業所が1件でも報告する時

2026-10-27書いた人: 茂呂史生（Happiter株式会社）
利用者の診断名が書かれた個別支援計画を、別の保護者にメールで送ってしまった。こうした時、漏れたのが1人分でも、事業所は個人情報保護委員会への報告と、本人への通知をしなければなりません。障害があることや病歴は要配慮個人情報で、要配慮個人情報が含まれる個人データの漏えい等（そのおそれを含む）は、人数に関係なく報告の対象だからです。委員会のガイドラインは、障害福祉サービスを受けていること自体も要配慮個人情報に当たると書いています。報告は速報と確報の2段階で、速報は知った後「速やかに」（目安は概ね3〜5日以内）、確報は知った日から30日以内です。何が対象になり、いつまでに、何を出すのかを、法令とガイドラインの文言で整理します。
出典: 個人情報の保護に関する法律（平成15年法律第57号。以下「法」）第2条第3項・第26条（e-Gov法令検索 https://laws.e-gov.go.jp/law/415AC0000000057）、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」）第7条・第8条・第10条（https://laws.e-gov.go.jp/law/428M60020000003）、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正。以下「通則ガイドライン」）2-3・3-5（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）

報告が要る4つの事態と、福祉事業所に多い1つ

規則第7条は、委員会への報告が要る事態を4つ定めています。

規則第7条報告が要る事態人数の条件
第1号要配慮個人情報が含まれる個人データの漏えい等（そのおそれを含む。以下同じ）なし
第2号不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等なし
第3号不正の目的をもって行われたおそれがある行為（不正アクセス・盗難など）による漏えい等なし
第4号本人の数が1,000人を超える漏えい等1,000人超

「漏えい等」は、漏えい・滅失・毀損のことです。第1号は、高度な暗号化など、個人の権利利益を守るのに必要な措置を講じたデータを除きます。

福祉事業所で当たりやすいのは第1号です。法と政令は、病歴のほか、身体障害・知的障害・精神障害（発達障害を含む）などの障害があることを要配慮個人情報としています。通則ガイドラインは、障害があることや過去にあったことを特定させる情報の例に、障害者総合支援法に基づく障害福祉サービスを受けていること（過去に受けていたこと）も挙げています。利用者名簿、個別支援計画、アセスメントの記録は、多くがここに入ります。

報告の対象は「個人データ」です。名簿や記録のシステムのように、検索できるよう整理した個人情報の集まり（個人情報データベース等）を構成する情報で、そこから紙に出力した帳票も含みます。個人情報取扱事業者に当たるかどうかも、扱う人数の多い少ないでは決まりません。

出典: 規則 第7条、法 第2条第3項、個人情報の保護に関する法律施行令（平成15年政令第507号）第2条第1号（https://laws.e-gov.go.jp/law/415CO0000000507）、通則ガイドライン 2-3（7）・2-5・2-6

事業所で起きやすい場面（架空の例）

通則ガイドラインの「漏えい」の事例には、書類の誤送付、メールの誤送信、書類や媒体の盗難が並んでいます。第三者に見られないうちに全部を回収した場合は、漏えいに当たりません。社内でなくした場合は「滅失」（同じデータがほかに保管されていれば当たらない）で、社外に出ていれば漏えいです。福祉事業所の場面に当てはめると、次のようになります（私たちの読み方の例です）。

場面ガイドラインの考え方報告
診断名の入った個別支援計画のPDFを、別の保護者にメールで送ったメールの誤送信は漏えい要る（第1号）
障害支援区分の入った利用者一覧を誤ってFAXしたが、相手が読む前に全部回収できたと確かめた見られる前に全部回収すれば漏えいに当たらない要らない（確かめられない時は「おそれ」として扱う）
アセスメント記録の入ったUSBメモリを、外出先でなくした社外での紛失は漏えい（のおそれ）高度な暗号化をしていなければ要る
送迎車から利用者のファイルを盗まれた盗難は第3号にも当たり得る要る（確報は60日以内）
職員の健康診断の結果の一覧が外に出た委員会が挙げる例そのもの要る

メールの宛先欄の予測変換は親切ですが、同じ名字の保護者が2人いる事業所では、その親切がいちばん危ない所です。

出典: 通則ガイドライン 3-5-1-2〜3-5-1-4・3-5-3-1、個人情報保護委員会「漏えい等の対応とお役立ち資料」（https://www.ppc.go.jp/personalinfo/legal/leakAction/）

期限：速報は概ね3〜5日、確報は30日以内

  1. 「知った」日: 法人なら、いずれかの部署が知った時点が起算点です。現場の職員が気づいた日から数え始めます
  2. 速報: 知った後、速やかに。目安は概ね3〜5日以内で、その時点で分かっていることだけを報告すれば足ります
  3. 確報: 知った日から30日以内（第3号の事態は60日以内）。知った日を1日目とし、土日・祝日も数えます。30日目が土日・祝日・年末年始の閉庁日なら、その翌日が期限です
  4. 1回で兼ねる: 速報の時点で全部報告できれば、1回で速報と確報を兼ねられます

報告は、原則として委員会のホームページの報告フォームから行います。報告する項目は、概要、漏えい等した個人データの項目、本人の数、原因、二次被害（そのおそれ）の有無と内容、本人への対応の状況、公表の状況、再発防止の措置、その他参考になる事項の9つです。委員会のページは、報告者の欄には担当者の氏名ではなく、事業者の名称を入れるよう案内しています。業種によっては報告先が事業所管大臣になる「権限の委任」がありますが、委員会の業種の一覧（令和8年版）に福祉・介護の事業は載っていません。

出典: 規則 第8条、通則ガイドライン 3-5-3-3・3-5-3-4、個人情報保護委員会「令和２年改正個人情報保護法 政令・規則の概要」（https://www.ppc.go.jp/files/pdf/210324_seirei_kisoku_gaiyou.pdf）、同「権限の委任」（https://www.ppc.go.jp/personalinfo/legal/kengenInin/）

本人への通知

規則第10条は、事態を知った後、状況に応じて速やかに、本人の権利利益を守るのに必要な範囲で、概要・漏えい等した項目・原因・二次被害・その他参考になる事項を本人に通知する、としています。通知の様式は法令で決まっておらず、通則ガイドラインは文書の郵送やメールを例に挙げています。連絡先が無いなど通知が難しい時は、事案の公表や問い合わせ窓口の設置といった代わりの措置で対応できます。

出典: 法 第26条第2項、規則 第10条、通則ガイドライン 3-5-4

事業所の中の流れ

委員会のFAQ（医療・介護関係事業者向けガイダンスのQ3-7）と通則ガイドライン3-5-2は、漏えい等の事案が分かった時に、次の5つを求めています。

  1. 責任ある立場の者に直ちに報告し、被害の拡大を防ぐ
  2. 事実関係を調べ、原因を究明する
  3. 影響の範囲を特定する
  4. 再発防止策を検討して実施する
  5. 委員会への報告と本人への通知

このガイダンスの対象は、医療機関等と、介護保険の事業や老人福祉の事業などを行う介護関係事業者です。障害福祉の事業だけを行う事業所には、通則ガイドラインの同じ手順が当たります。

期限は「いずれかの部署が知った時」から動くので、1の「直ちに」が後の全部を決めます。事業所の決まりには、気づいた職員が管理者に伝える手段と、管理者が不在の時に代わる人を書いておきます（私たちの提案）。生成AIに入れる情報の決まりと一緒に作るなら、生成AIと利用者情報のルールの記事に1枚の例があります。

出典: 個人情報保護委員会 FAQ「医療・介護関係事業者において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。」（Q3-7）（https://www.ppc.go.jp/all_faq_index/faq3-qb3-7/）、通則ガイドライン 3-5-2、厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月1日最終改正）PDF p.6（https://www.mhlw.go.jp/content/001470633.pdf）

令和8年の法改正で変わる予定のこと

令和8年7月17日に、個人情報保護法の改正法が公布されました。委員会の資料では、漏えい等の時に本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和するとしています。あわせて、本人の数が1名の誤交付・誤送付のような場合は確報を一定期間ごとにまとめて出すことを認める、体制・手順を第三者が確かめることなどを前提に一定の範囲で速報を免除できるようにする、という方向も示されています。施行は原則として公布の日から2年を超えない範囲内で、細かな中身は今後の政令・規則で決まります。それまでは、この記事の決まりで動きます。

出典: 個人情報保護委員会「令和８年 改正個人情報保護法について」（https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/）、同「個人情報保護法等の一部を改正する法律について」（令和8年7月）PDF p.6・p.14（https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf）
この記事は個人情報保護委員会と厚生労働省の公表資料を読んで整理したものです。報告対象に当たるか、報告の方法と期限は、個人情報保護委員会の案内で確認してください。
資料2点を、メールで受け取る（無料）
「通知が来てから当日までの段取り表」と「確認される書類の一覧（7サービス）」を、メールアドレスだけで受け取れます（数分以内にURLをお届けします）。
資料2点を、メールで受け取る（無料）
運営指導の、通知が来てからの段取り表と、確認される書類の一覧（7サービス）。
Happiter株式会社（代表 茂呂史生）からメールで届きます。制度改定と道具の新着のお知らせ（月2回まで）も届きます。止めたい時は、届いたメールに返信するだけです。
入力はメールアドレスだけ。このメール欄からお電話をすることはありません。名簿の管理とメールの送信には Google と Make の仕組みを使い、それ以外の第三者には渡しません。個人情報の取り扱い
「うちの職員はパソコンが苦手で…」で、止まっていませんか。
議事録も計画書も、最後は職員が打ちます。その職員が怖がらずに道具を使い始める入口の60分を、研修の第1回「ICTって何？ 怖がらずに使える"道具"の話」そのまま・無料で。11月16日（月）10:00〜11:00・Zoom。顔出し・発言は任意、聞くだけでも大丈夫です。参加しても、研修の申し込みは義務ではありません。
11/16（月）の無料体験会に申し込む →
AI×ICT伴走研修（全20回）
全20回（各60分・1事業所単位・半年〜1年）の伴走研修を行っています。共有の仕方を決めてファイルの置き場を整える回は、第8回「共有フォルダを使って"ファイル迷子"をなくす方法 ～Googleドライブ×現場のチーム運用のはじめ方～」です。20回のタイトルと料金は研修のページに。
20回のタイトルと料金を見る →
茂呂史生
茂呂史生　Happiter株式会社 代表。2005年から訪問介護・放課後等デイサービス・グループホーム・就労支援を自分の手で立ち上げ、4社を経営。著書『世界を変える子どもたち』。

この記事は、国の公表資料をもとにHappiter株式会社が要約したものです。漏えい等の報告の要否と方法は、個人情報保護委員会の案内を確認してください。誤りを見つけた方は お問い合わせ からお知らせください。