介護事業所の個人情報漏えいの報告手順｜速報3〜5日・確報30日の期限、本人への通知、市町村への事故報告【2026年】

報告が必要になるのはどんなとき：4つの事態

個人情報保護委員会への報告が義務になるのは、個人データの漏えい・滅失・毀損（まとめて「漏えい等」）が、施行規則第7条の4つの事態のどれかにあたるときです。実際に起きたときだけでなく、「発生したおそれがある」ときも含みます。

要配慮個人情報とは、病歴や心身の障害などの、取扱いに特に配慮を要する情報です。厚生労働省のガイダンスは、医療機関や介護関係事業者で想定されるものとして、障害（身体障害、知的障害、精神障害等）の事実などを挙げています。介護の記録や計画書はこれらを含むのがふつうなので、第1号により、人数にかかわらず1件でも報告の対象になります。なお、第1号の対象から「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」は除かれます。

期限：速報は概ね3〜5日以内、確報は30日以内

報告は、まず速報、あとから確報の2回に分けて出します（施行規則第8条）。

報告する9項目は、①概要 ②漏えい等が発生した（おそれがある）個人データの項目 ③本人の数 ④原因 ⑤二次被害またはそのおそれの有無とその内容 ⑥本人への対応の実施状況 ⑦公表の実施状況 ⑧再発防止のための措置 ⑨その他参考となる事項です。

期限の起算点は、事業者が事態を「知った」時点です。法人の場合は、どこか1つの部署が知った時点が基準になります（通則編3-5-3-3）。現場の職員が気づいた日ではなく、管理者に報告が上がった日から数える、という扱いはできません。確報の30日・60日は、知った日を1日目として数えます。

報告フォームは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページから入ります。マイナンバーを含む漏えいは別のフォームになるので、ページの案内に従って選びます。

初動の順番：止める→調べる→範囲を確かめる→報告→通知

通則編は「漏えい等事案が発覚した場合に講ずべき措置」として、①事業者内部の報告と被害の拡大防止 ②事実関係の調査と原因の究明 ③影響範囲の特定 ④再発防止策の検討と実施 ⑤個人情報保護委員会への報告と本人への通知、の5つを挙げています。これに運営基準の事故報告を重ねると、介護事業所の初動は次の順になります。

速報の段階で全部が分かっている必要はありません。人数や原因が確定していなくても、「いま分かっていること」で速報を出し、確報で埋めます。期限を過ぎてから正確な報告を出すより、期限内に分かっている範囲を出す方が制度の求めに合っています。

本人への通知

報告の対象になる事態が起きたときは、本人にも通知します（法第26条第2項）。時期は「事態の状況に応じて速やかに」で（施行規則第10条）、通知する内容は、概要、個人データの項目、原因、二次被害またはそのおそれの有無とその内容、その他参考となる事項の5つです。

本人への通知が難しいときは、代わりの措置をとることが認められています。通則編（3-5-4-5）は、事案の公表や、問合せ窓口を用意して連絡先を公表し、本人が自分の個人データが対象かどうかを確認できるようにすることを、代替措置の例に挙げています。

委託先（介護ソフトの提供元など）で起きたとき

介護ソフトやクラウドの提供元に記録や請求のデータの取扱いを委託していて、その提供元で漏えいが起きたときは、委託元である事業所が個人情報保護委員会に報告します。法第26条第1項のただし書きと施行規則第9条により、委託先は、委託元に速やかに通知すれば自分の報告義務を免れます。厚生労働省のガイダンスも、委託元と委託先の双方が報告義務を負うこと、連名で報告できること、委託先が委託元に通知したときは委託先の義務が免除されることを書いています。

クラウドの提供元が、契約上は預かったデータの中身を取り扱わないことになっている場合（委託にあたらない場合）も、報告義務を負うのは利用する事業所です。個人情報保護委員会のQ&A（Q6-22）は、この場合に事業所が自分の報告を提供元に代行させることはできるとし、提供元には契約等に基づいて事業所へ通知するなどの対応を求めています。

事業所にとって大事なのは、速報の期限が「委託先から通知を受けて知った時点」から数え始まることです。提供元が事故を把握してから事業所に連絡するまでに時間がかかれば、その分、事業所の対応は後ろにずれます。契約前に、提供元が事故を把握してから何日以内に連絡するかを確かめておく理由はここにあります。確かめる項目は介護ソフトの委託先のセキュリティで確かめる項目の記事にまとめました。

市町村への事故報告（運営基準）

個人情報保護委員会への報告とは別に、介護保険の運営基準は、事故が起きたときに市町村、利用者の家族、居宅介護支援事業者などに連絡し、必要な措置を講じ、事故の状況と処置を記録することを事業所に求めています（たとえば訪問介護では、指定居宅サービス等の運営基準第37条。多くの居宅サービスで準用、または同じ趣旨の規定があります）。

個人情報の漏えいをこの事故報告の対象にするかどうかは、市町村によって違います。国の通知（介護保険最新情報Vol.1332）が原則すべて報告するよう求めているのは、死亡に至った事故と、医師の診断を受けて治療が必要になった事故の2つで、それ以外は各自治体の取扱いによります。たとえば船橋市は、報告する事故の例として「利用者等の個人情報の紛失や漏洩など」を挙げ、事故発生後速やかに、遅くとも5日以内を目安に報告するよう求めています。自分の事業所がある市町村の要綱か取扱要領で、個人情報の漏えいが対象に含まれるか、期限と様式はどうかを確かめてください。事故報告の様式と期限の全体は事故報告書の記事にあります。

記録のしかたによって、漏えいの範囲を確かめる時間は変わります。紙の記録は、どの利用者の何枚が無くなったかを突き合わせるのに時間がかかり、介護ソフトならアクセスの記録から範囲を絞れます。介護ソフトの比較では、各製品のページに公式サイトで確かめたセキュリティの項目を載せています。

よくある質問

利用者1人分の記録を紛失しただけでも報告が必要ですか

必要です。介護の記録は病歴や障害の事実（要配慮個人情報）を含むため、施行規則第7条第1号により、人数にかかわらず報告の対象になります。例外は、高度な暗号化などの措置を講じたデータの場合だけです。紙の記録の紛失は「滅失」として漏えい等に含まれます。

漏えいしたかどうか分からない段階でも報告しますか

します。報告の対象は「発生したおそれがある事態」を含むので、不正アクセスの痕跡があるが流出が確定していない、という段階でも速報を出します。速報は判明している範囲でよく、確報の時点でも分からない項目は判明次第の追完が認められています。調べた結果、漏えいが無かったと分かったときは、確報でその旨を報告します。

介護ソフトの提供元が個人情報保護委員会に報告してくれれば、事業所は報告しなくてよいですか

事業所の報告は要ります。委託先（提供元）が委託元（事業所）に通知したときに免除されるのは委託先の方で、委託元の義務は残ります。双方が義務を負う場合は連名で報告することもできます。

本人が認知症などで、通知の内容を理解できないときはどうしますか

通則編は、本人への通知が困難な場合に、事案の公表や問合せ窓口の設置などの代替措置をとることを認めています。家族への連絡を本人への通知に代えられるかは事案ごとの判断になるので、迷うときは個人情報保護委員会に確かめてください。運営基準に基づく家族への連絡は、本人への通知とは別の義務として行います。