個人情報が漏れたとき、会社がすること。報告・通知の義務と、かかる費用
執筆：保険デザインパートナーズ株式会社（損害保険代理店）／情報確認日：2026年11月12日
この記事の要点
一定の個人データの漏えいが起きたら、個人情報保護委員会への報告と本人への通知が義務です（2022年4月1日施行）。委員会への報告は概ね3〜5日以内が目安。調査・通知・お詫び・問い合わせ対応の費用は、サイバー保険の事故対応費用で備えられます。
報告と通知が必要になるのは、どんなとき？
次のいずれかにあたる漏えい等（「おそれ」を含みます）が対象です。
- 要配慮個人情報（病歴、健康診断の結果など）が含まれる
- 財産的被害が生じるおそれがある（クレジットカード番号など）
- 不正の目的をもって行われた（サイバー攻撃、従業員の持ち出しなど）
- 1,000人を超える
サイバー攻撃による漏えいは3つ目にあたるため、件数が少なくても報告の対象になり得ます。
漏れたかもしれないとき、まず何をする？
- 広げない感染した疑いのある機器をネットワークから切り離します。電源を切ったりデータを消したりすると調査の手がかりが失われることがあります。
- 連絡する保険に入っていれば、保険会社の事故窓口か代理店へ。専門会社の紹介を受けられる商品があります。
- 調べる何が、何件、誰の情報が漏れたかを専門家と確認します。
- 報告・通知する対象になる場合は委員会に報告し、本人へ通知します。
- 再発を防ぐ原因に応じて対策を見直します。
どんな費用がかかる？保険で出る？
調査、弁護士への相談、お詫び状の発送、コールセンター、見舞金、再発防止などの費用がかかります。サイバー保険の多くは、これらを「事故対応費用」として補償します。見舞金は「被害者1名あたり○円」のように上限が決まっていることが多く、例えば日新火災のサイバー・情報漏えい保険は個人1名1,000円・1法人10万円まで、三井住友海上のサイバープロテクターは個人1名1,000円・1法人5万円までです（公開情報より）。
よくある質問
個人情報の漏えいで、委員会への報告が必要なのはどんなときですか？
要配慮個人情報が含まれる、財産的被害のおそれがある、不正の目的による、1,000人を超える、のいずれかにあたる場合です（2022年4月1日施行）。
メールの誤送信による漏えいもサイバー保険の対象ですか？
サイバー攻撃以外の情報漏えい（誤送信、紛失など）も対象にしている商品が一般的です。対象範囲は商品ごとに確認が必要です。
漏えいの「おそれ」の段階でも費用は出ますか？
漏えいの「おそれ」の段階の調査費用などを補償する商品があります。
出典
※本記事は一般的な情報提供を目的としたもので、特定の保険商品をおすすめするものではありません。補償内容・引受条件は保険会社・商品によって異なります。ご契約の際は重要事項説明書・パンフレットをご確認ください。