--- type: guideline title: （別添２）特定個人情報の漏えい等に関する報告等（事業者編） source: 個人情報保護委員会 category: personal-info-protection updated: 2025-06-01 source_url: https://www.ppc.go.jp/legal/policy/my_number_guideline_jigyosha/ --- # （別添２）特定個人情報の漏えい等に関する報告等（事業者編） ## 【目次】 要点 １　特定個人情報の漏えい等の考え方 Ａ　「漏えい」の考え方 Ｂ　「滅失」の考え方 Ｃ　「毀損」の考え方 ２　漏えい等事案が発覚した場合に講ずべき措置 Ａ　事業者内部における報告及び被害の拡大防止 Ｂ　事実関係の調査及び原因の究明 Ｃ　影響範囲の特定 Ｄ　再発防止策の検討及び実施 Ｅ　委員会への報告及び本人への通知 ３　委員会への報告（番号法第29条の４第１項関係） Ａ　報告対象となる事態 Ｂ　ガイドラインに基づく報告 Ｃ　報告義務の主体 Ｄ　速報（規則第３条第１項関係） Ｅ　確報（規則第３条第２項関係） Ｆ　委託元への通知の例外（規則第４条関係） ４　本人への通知（番号法第29条の４第２項） Ａ　通知対象となる事態及び通知義務の主体 Ｂ　通知の時間的制限 Ｃ　通知の内容 Ｄ　通知の方法 Ｅ　通知の例外 > **要点** > - 〇　特定個人情報を取り扱う事業者は、漏えい等事案が発覚した場合は、漏えい等事案の内容等に応じて、２ＡからＥに掲げる事項について必要な措置を講じなければならない。 > - 〇　個人番号利用事務等実施者は、３(1)から(4)までに掲げる事態を知ったときは、委員会に報告しなければならない。 > - 〇　個人番号利用事務等実施者は、３(1)から(4)までに掲げる事態を知ったときは、本人への通知を行わなければならない。 > - 〇　特定個人情報を取り扱う事業者は、３(1)から(4)までに掲げる事態に該当しない漏えい等事案においても、委員会に報告するよう努める。 > > > > （関係条文） > - 番号法　第29条の４ > - 行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（以下「規則」という。） **１　特定個人情報の漏えい等の考え方** **Ａ　「漏えい」の考え方** 特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。 **【特定個人情報の漏えいに該当する事例】** - ＊　特定個人情報が記載された書類を第三者に誤送付した場合 - ＊　特定個人情報を含むメールを第三者に誤送信した場合 - ＊　システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合 - ＊　特定個人情報が記載又は記録された書類・媒体等が盗難された場合 - ＊　不正アクセス等により第三者に特定個人情報を含む情報が窃取された場合 なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。 **Ｂ　「滅失」の考え方** 特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。 **【特定個人情報の滅失に該当する事例】** - ＊　特定個人情報ファイルから出力された氏名等が記載された帳票等を誤って廃棄した場合（※１） - ＊　特定個人情報が記載又は記録された書類・媒体等を社内で紛失した場合（※２） なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人番号利用事務等実施者が合理的な理由により特定個人情報を削除する場合は、滅失に該当しない。 - （※１）当該帳票等が適切に廃棄されていない場合には、特定個人情報の漏えいに該当する場合がある。 - （※２）社外に流出した場合には、特定個人情報の漏えいに該当する。 **Ｃ　「毀損」の考え方** 特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。 **【特定個人情報の毀損に該当する事例】** - ＊　特定個人情報の内容が改ざんされた場合 - ＊　暗号化処理された特定個人情報の復号キーを喪失したことにより復元できなくなった場合 - ＊　ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合（※） なお、上記事例２つ目及び３つ目の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。 （※）同時に特定個人情報が窃取された場合には、特定個人情報の漏えいにも該当する。 **２　漏えい等事案が発覚した場合に講ずべき措置** 特定個人情報を取り扱う事業者は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次のＡからＥに掲げる事項について必要な措置を講じなければならない。 **Ａ　事業者内部における報告及び被害の拡大防止** 責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。 **Ｂ　事実関係の調査及び原因の究明** 漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。 **Ｃ　影響範囲の特定** 上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。 **Ｄ　再発防止策の検討及び実施** 上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。 **Ｅ　委員会への報告及び本人への通知** **３**（委員会への報告）、**４**（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。 **３　委員会への報告（番号法第29条の４第１項関係）** **Ａ　報告対象となる事態** > **番号法第29条の４（第１項）** > 個人番号利用事務等実施者は、特定個人情報ファイルに記録された特定個人情報の漏えい、滅失、毀損その他の特定個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を委員会に報告しなければならない。ただし、当該個人番号利用事務等実施者が、他の個人番号利用事務等実施者から当該個人番号利用事務等の全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人番号利用事務等実施者に通知したときは、この限りでない。 > > **規則第２条** > 番号法第29条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。 > > - （1）次に掲げる特定個人情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態 > - イ　情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報 > - ロ　個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報 > - ハ　行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報 > - （2）次に掲げる事態 > - イ　不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態 > - ロ　不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態 > - ハ　不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態 > - （3）個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態 > - （4）次に掲げる特定個人情報に係る本人の数が100人を超える事態 > - イ　漏えい等が発生し、又は発生したおそれがある特定個人情報 > - ロ　番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報 > - ハ　番号法第19条の規定に反して提供され、又は提供されたおそれがある特定個人情報 個人番号利用事務等実施者は、次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告しなければならない（※１）。 - （1）次に掲げる特定個人情報の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態（規則第２条第１号関係） - イ　情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報 - ロ　個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報 - ハ　行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報 - （2）次に掲げる事態（規則第２条第２号関係） - イ　不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態 - ロ　不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態 - ハ　不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態 「不正の目的をもって」イからハに該当する事態を発生させた主体には、第三者のみならず、従業者も含まれる。 **【報告を要する事例】** - ＊　不正アクセスにより特定個人情報が漏えいした場合（※2） - ＊　ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合 - ＊　特定個人情報が記載又は記録された書類・媒体等が盗難された場合 - ＊　業務に関係なく、マイナンバーを利用し、住所等を検索・取得した場合 - ＊　従業者が特定個人情報を不正に持ち出して第三者に提供した場合（※3） - （3）個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態（規則第２条第３号関係） **【報告を要する事例】** - ＊　システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっている場合 - （4）次に掲げる特定個人情報に係る本人の数が100人を超える事態（規則第２条第４号関係） - イ　漏えい等が発生し、又は発生したおそれがある特定個人情報 - ロ　番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報 - ハ　番号法第19条の規定に反して提供され、又は提供されたおそれがある特定個人情報 「特定個人情報に係る本人の数」は、当該個人番号利用事務等実施者が取り扱う特定個人情報のうち、イからハに該当する特定個人情報に係る本人の数をいう。「特定個人情報に係る本人の数」について、事態が発覚した当初100人以下であっても、その後100人を超えた場合には、100人を超えた時点で規則第２条第4号に該当することになる。本人の数が確定できないイからハに該当する事態において、当該事態が発生したおそれがある特定個人情報に係る本人の数が最大100人を超える場合には、規則第２条第４号に該当する。 **【報告を要する事例】** - ＊　第三者に誤送付・誤送信した特定個人情報に係る本人の数が100人を超える場合 - ＊　個人番号利用事務と関係のない顧客管理のためのＩＤとして利用していたマイナンバーの数が100人を超える場合 - ＊　マイナンバー部分にマスキング処理することを失念して、特定個人情報を取り扱わない委託事業者等に提供した特定個人情報に係る本人の数が100人を超える場合 - （※１）報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。 - （※２）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。 - （ア）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合 - （イ）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合 - （ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（Ｃ＆Ｃサーバ）が使用しているものとして知られているＩＰアドレス・ＦＱＤＮ（Ｆｕｌｌｙ　Ｑｕａｌｉｆｉｅｄ　Ｄｏｍａｉｎ　Ｎａｍｅ の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合 - （エ）不正検知を行う公的機関、セキュリティ・サービスプロバイダ、専門家等の第三者から、漏えい等のおそれについて、一定の根拠に基づく連絡を受けた場合 - （※３）従業者による特定個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。 なお、特定個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。 **Ｂ　ガイドラインに基づく報告** 報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努める（特定個人情報について、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合を除く。）。 **Ｃ　報告義務の主体** 漏えい等報告の義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。 特定個人情報の取扱いを委託している場合においては、委託元と委託先の双方が特定個人情報を取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（３Ｆ参照）（※）。 また、委託元から委託先にある特定個人情報（特定個人情報Ａ）の取扱いを委託している場合であって、別の特定個人情報（特定個人情報Ｂ）の取扱いを委託していないときには、特定個人情報Ｂについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。 - （※）　報告対象事態に該当しない漏えい等事案において、特定個人情報の取扱いを委託している場合、委託元と委託先の双方が報告するよう努める。この場合、委託元及び委託先の連名で委員会に報告することができる。 **Ｄ　速報（規則第３条第１項関係）** > **規則第３条第１項** > 個人番号利用事務実施者及び個人番号関係事務実施者（以下「個人番号利用事務等実施者」という。）は、番号法第29条の４第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。 > > - （1）概要 > - （2）特定個人情報の項目 > - （3）特定個人情報に係る本人の数 > - （4）原因 > - （5）二次被害又はそのおそれの有無及びその内容 > - （6）本人への対応の実施状況 > - （7）公表の実施状況 > - （8）再発防止のための措置 > - （9）その他参考となる事項 個人番号利用事務等実施者は、報告対象事態を知ったときは、速やかに、委員会に報告しなければならない。 報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人番号利用事務等実施者が当該事態の発生を知った時点から概ね３日～５日以内である。 委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。 - （1）「概要」 当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第２条各号該当性、委託元及び委託先の有無、事実経過等を報告する。 - （2）「特定個人情報の項目」 特定個人情報の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。 - （3）「特定個人情報に係る本人の数」 特定個人情報に係る本人の数について報告する。 - （4）「原因」 当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。 - （5）「二次被害又はそのおそれの有無及びその内容」 当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。 - （6）「本人への対応の実施状況」 当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。 - （7）「公表の実施状況」 当該事態に関する公表の実施状況について報告する。 - （8）「再発防止のための措置」 漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。 - （9）「その他参考となる事項」 上記の⑴から⑻の事項を補完するため、委員会が事態を把握する上で参考となる事項を報告する。 **Ｅ　確報（規則第３条第２項関係）** > 規則第３条第２項 > 個人番号利用事務等実施者は、当該事態を知った日から30日以内（当該事態が前条第２号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。 個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え（※１）、30日以内（規則第２条第２号の事態においては60日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合も60日以内。）に委員会に報告しなければならない。 30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。 報告期限の起算点となる「知った」時点については、速報と同様に、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の期限の算定（※２）に当たっては、その時点を１日目とする。 確報においては、**３**Ｄ⑴から⑼までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。 - （※１）速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。 - （※２）確報の報告期限（30日以内又は60日以内）の算定にあたっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～１月３日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。 **F　委託元への通知の例外（規則第４条関係）** > **規則第４条** > 個人番号利用事務等実施者は、番号法第29条の４第１項ただし書の規定による通知をする場合には、第２条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。 委託先は、委員会への報告義務を負っている委託元に対し、３Ｄ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。 委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。 この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。 なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。 **４　本人への通知（番号法第29条の４第２項）** > **番号法第29条の４第２項** > 前項に規定する場合には、個人番号利用事務等実施者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。 > > **規則第５条関係** > 個人番号利用事務等実施者は、番号法第29条の４第２項本文の規定による通知をする場合には、第２条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。 **Ａ　通知対象となる事態及び通知義務の主体** 個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。 通知義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。 特定個人情報の取扱いを委託している場合においては、委託元と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ通知の対象事態に該当する場合には、原則として委託元と委託先の双方が通知する義務を負う。この場合、委託元及び委託先の連名で通知することができる。 漏えい等した特定個人情報の本人に対して円滑に通知を行う観点から、委託元及び委託先は連携するなどして、適切な方法で通知を行うことが望ましい。 なお、特定個人情報の取扱いを委託している場合において、委託先が、報告義務を負っている委託元に３Ｄ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。 **Ｂ　通知の時間的制限** 個人番号利用事務等実施者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。 「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。 **【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】** - ＊　インターネット上の匿名掲示板等に漏えいした複数の特定個人情報がアップロードされており、個人番号利用事務等実施者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合 - ＊　漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合 （※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。 **Ｃ　通知の内容** 本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第３条第１項第１号）、「特定個人情報の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（４Ｂ（通知の時間的制限）参照）。 本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。そのため、通知によって被害が拡大するおそれがある場合には、その時点で通知を要するものではないが、そのような場合であっても、当該おそれがなくなった後は、速やかに通知する必要がある。 また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。 **【本人の権利利益を保護するために必要な範囲において通知を行う事例】** - ＊　不正アクセスにより特定個人情報が漏えいした場合において、その原因を本人に通知するに当たり、委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。 - ＊　漏えい等が発生した特定個人情報の項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。 （※）規則第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項については、３Ｄ参照。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。 **Ｄ　通知の方法** 「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。 また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。 **【本人への通知の方法の事例】** - ＊　文書を郵便等で送付することにより知らせること。 - ＊　電子メールを送信することにより知らせること。 **Ｅ　通知の例外** 本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。 **【本人への通知が困難な場合に該当する事例】** - ＊　保有する特定個人情報の中に本人の連絡先が含まれていない場合 - ＊　連絡先が古いために通知を行う時点で本人へ連絡できない場合 **【代替措置に該当する事例】** - ＊　事案の公表（※2） - ＊　問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個人情報が対象となっているか否かを確認できるようにすること。 - （※１）代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。 - （※２）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。