個人情報の漏えい等が発生した場合、一定の要件に該当すると、個人情報保護委員会への報告および本人への通知が法律上の義務となります（個人情報保護法第26条）。障がい福祉・介護事業所は要配慮個人情報を多く扱うため、この報告義務の対象になりやすい業種といえます。本記事では、どのようなケースで報告義務が生じるのか、Q&A形式で整理します。
Q1. どのような場合に報告義務が生じるのか
個人情報保護委員会規則では、次のいずれかに該当する漏えい等が発生した場合に、委員会への報告義務が生じるとされています。
- 要配慮個人情報の漏えい等が発生し、またはそのおそれがある場合
- 不正に利用されることにより財産的被害が生じるおそれがある漏えい等（クレジットカード番号の漏えい等）
- 不正の目的をもって行われたおそれがある漏えい等（不正アクセス、標的型攻撃等）
- 1000人を超える個人データの漏えい等が発生した場合
障がい福祉・介護事業所が扱う利用者情報は、障がい区分や病歴などの要配慮個人情報を含むことがほとんどです。そのため、たとえ漏えいした人数が1人であっても、要配慮個人情報の漏えいに該当すれば報告義務の対象になり得る点に注意が必要です。「人数が少ないから大丈夫」という判断は誤りです。
Q2. 具体的にどのような事例が該当し得るか
| 事例 | 報告義務の可能性 |
|---|---|
| 利用者の記録を記載した書類を誤って外部に郵送してしまった | 要配慮個人情報を含む場合、対象になり得る |
| 記録システムがランサムウェア被害に遭い、データが暗号化・流出した | 不正アクセスに該当し対象になり得る |
| 職員が誤って生成AIに複数利用者の情報をまとめて入力し、意図せず外部に保存された | 要配慮個人情報の漏えいに該当し得るため個別に検討が必要 |
| 職員のメール誤送信で1名分の氏名・住所のみが漏れた（要配慮情報を含まない） | 要件に該当しない可能性もあるが個別判断が必要 |
Q3. 報告のタイミングと流れは？
報告は「速報」と「確報」の2段階で行うことが求められています。
- 速報：漏えい等の発生を知った後、概ね3〜5日以内を目安に、判明している範囲で個人情報保護委員会に報告
- 確報：発生を知った日から30日以内（不正の目的による行為の場合は60日以内）に、詳細な事実関係や再発防止策を含めて報告
あわせて、対象となる本人への通知も原則として必要です。ただし、本人への通知が困難な場合で代替措置を講じるときなど、一定の例外もあります。
「漏えいかもしれない」と気づいた時点で、判断に迷っていても構わないので、まず事実関係の記録（いつ・何が・どの範囲で発生したか）を始めることが重要です。事後的に正確な報告を行うためにも、初動の記録が土台になります。
Q4. 事業所として日頃から準備しておくべきことは？
- 漏えい等が発生した際の報告フロー（誰が・どこに・いつまでに報告するか）を文書化しておく
- 個人情報保護委員会への報告様式（オンライン報告フォーム等）の存在をあらかじめ確認しておく
- 委託先（記録システムベンダー、生成AIサービス事業者等）との契約に、漏えい発生時の通知義務を盛り込んでおく
- 要配慮個人情報を扱う業務を洗い出し、リスクの高い業務から優先的に安全管理措置を強化する
Q5. 生成AIサービスの利用と報告義務の関係は？
生成AIサービスに要配慮個人情報を誤って入力してしまい、その情報が学習データ等として意図しない形で保存・利用されてしまった場合、状況によっては漏えい等に該当すると評価される可能性があります。こうした事態を避けるためにも、要配慮個人情報を扱う業務には、データの取扱いが契約上明確な業務特化型サービスを利用することが望ましいといえます。
Hope Care AIでは、データの取扱い方針や安全管理の考え方をセキュリティページで公開しています。委託先としての体制を確認したい場合の参考にしてください。
おわりに
報告義務の該当性判断は、漏えいした情報の種類、件数、原因など個別の事情によって大きく変わります。実際に漏えい等が疑われる事態が発生した場合は、自己判断で「大丈夫だろう」と結論づけず、速やかに顧問弁護士や個人情報保護に詳しい専門家に相談し、報告要否を確認することを強くおすすめします。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。