更新日：2026年9月23日
個人データの漏えいが疑われる場合、まず発見時刻、影響を受けるシステムとデータ、アクセスの経路を記録し、証拠を保全します。「72時間」という数字だけを先に覚えるのではなく、法律上の起算点、報告主体、宛先と対象となる事象を確かめる必要があります。調査が完了するまで何もしない運用では、期限内の通知を難しくします。
委託先との連絡と並行作業
処理を受託する事業者は、管理者への初報に必要な期限と情報を契約で定めておきます。管理者側は事故の概要、判明時刻、影響、対応策など法令が求める情報を整理し、追加情報の更新を管理します。同時に、侵入経路の遮断、ログの保全、影響の限定、本人への対応、社内連絡を進めます。一つの事故が個人データ、サイバーセキュリティ、業種別規制にまたがることもあります。
復旧後は原因、対応時刻と判断根拠を残し、影響評価書、委託契約、権限設定、保管期間を見直します。根拠は個人データ保護法91/2025/QH15、政令356/2025/NĐ-CP、サイバーセキュリティ法116/2025/QH15です。
