個人情報の漏えい報告(速報・確報)をClaudeで下書きする際の注意点

個人情報保護委員会への漏えい等報告には、速報と確報の2段階があります。速報は事態を知った時点から概ね3〜5日以内、確報は知った日から30日以内(不正の目的によるおそれがある事態などは60日以内)が期限の目安です。両者は期限だけでなく記載事項の完成度も異なり、報告書に書く9項目のうち文章化が必要な部分はClaudeで下書きを作れます。ただし漏えいした個人データそのものは、下書きの材料として入力してはいけません。

個人情報保護委員会への漏えい等報告とは何か

個人情報保護法は、個人情報を取り扱う事業者が保有する個人データの漏えい等が一定の要件に該当する場合、個人情報保護委員会への報告と本人への通知を義務付けています。報告先は原則として個人情報保護委員会ですが、事業所管大臣に権限が委任されている業種では、委任先の府省庁への報告に代わります。委任先の府省庁は毎年更新されるため、報告の直前に最新の報告先を確かめる必要があります。

ただし、漏えい等報告に係る個人データが自社の雇用管理情報や株主情報に含まれるときは、権限委任の対象業種でも個人情報保護委員会に報告します。自社の従業員情報が含まれる場合は、この例外に当たるかを先に見ます。

報告は「速報」と「確報」の2段階に分かれます。速報はその時点で把握している内容を伝える一次報告で、確報は9項目すべてを埋める最終報告です。速報の時点で全項目が判明していれば、1回の報告で速報と確報を兼ねることもできます。

報告が義務になるケースと、ならないケース

漏えい等報告が義務になるのは、次の要件のいずれかに該当する場合です。各行とも、漏えい等が実際に発生した場合だけでなく、発生したおそれがある場合を含みます。5番目は地方公共団体の機関などの行政機関等だけが対象で、民間事業者には適用されません。

読み違えやすい点が3つあります。

• 人数は途中で超えうる。発覚当初は1,000人以下でも、調査の過程で対象者数が1,000人を超えた時点から報告義務が生じます。
• カード番号は全桁とは限らない。クレジットカード番号の下4桁と有効期限だけの漏えいなら、直ちには報告対象事態に該当しません。
• 不正の目的の主体は従業者に限らない。盗難など第三者による行為も含まれます。

報告を要しない例外もあります。高度な暗号化など「個人の権利利益を保護するために必要な措置」が講じられている個人データは、漏えい等が発生しても報告を要しません。暗号化の有無と強度は、報告要否を判断する前に確認しておく点です。

速報は3〜5日、確報は30日(60日)以内 — 何が違うか

速報と確報は、期限と記載事項の完成度の両方で性格が異なります。

期限の数え方には3つの決まりがあります。確報の日数は「知った日」を1日目とし、土日・祝日も含めて数えます。30日目や60日目が土日、祝日、年末年始閉庁日(12月29日〜1月3日)なら、翌日が期限です。60日になるのは、不正の目的の事態(表の3)だけでなく、それに表の1・2・4のいずれかも重なる場合です。なお、30日や60日は期限であり、可能なら早く出すことが望ましいとされています。

速報の「3〜5日」は個別の事案ごとに判断される目安で、法令が日数を固定しているわけではありません。

報告書の9項目とClaudeで下書きできる範囲

漏えい等報告フォームに記載する事項は、速報・確報共通で次の9項目です。

1. 概要(発生日・発覚日・発生事案・発見者・委託の有無・事実経過など)
2. 漏えい等が発生した個人データの項目(媒体や種類とともに)
3. 漏えい等の対象となる本人の数
4. 原因(発生した主体が報告者か委託先かとともに)
5. 二次被害またはそのおそれの有無・内容
6. 本人への対応の実施状況
7. 公表の実施状況
8. 再発防止のための措置(実施済みと今後実施予定に分けて)
9. その他参考となる事項

このうち1・4・5・6・7・8・9は、社内で判明している事実関係を文章に整える項目です。時系列メモを渡してClaudeに下書きさせる作業に向いています。一方の2・3は、実際に何が漏えいしたかという事実そのものと対象人数を記す項目で、Claudeの一般知識では埋められません。社内調査の結果をそのまま反映する項目だと考えてください。

項目8と項目4には書き分けの決まりがあるので、依頼文にそのまま入れると下書きがフォームに沿います。再発防止は実施済みの措置と予定の措置を分け、原因は発生した主体を添えます。

本人への通知と共通する項目

本人への通知は、報告とは別の義務です。通知する事項は報告の9項目のうち、概要・個人データの項目・原因・二次被害の有無と内容・その他参考となる事項の5つに限られます。報告に書いた詳細をそのまま本人に出すのではなく、本人が権利利益を守るのに必要な内容を選びます。通知は「事態の状況に応じて速やかに」行うもので、全項目が判明するまで待つ必要はありません。

提出した報告内容は、事実関係の確認や漏えい等事案の処理・分析のために利用されます。

委託先がある場合、報告義務は誰に生じるか

個人データの取扱いを外部に委託している場合、委託元と委託先の双方が個人データを取り扱っているため、報告対象事態に該当するなら原則として双方が報告義務を負います。委託元と委託先の連名で報告することもできます。

委託先には免除の道があります。報告義務を負う委託元に、9項目のうちその時点で把握しているものを通知すれば、委託先は報告義務を免除されます。この通知にも速報と同じ「概ね3〜5日以内」の目安があり、免除と同時に本人への通知義務も免除されます。免除されるのは委託先の義務だけで、委託元の報告義務はそのまま残ります。

委託元から見ると、委託先から通知を受けた時点が事態を知った時点になります。そこから速報、確報の期限が進み始めるため、委託先との連絡経路は平時のうちに決めておく必要があります。また、委託していない別の個人データで委託元だけに事態が起きた場合は、委託先は報告義務を負いません。

Claudeで下書きを作る手順

指示文は、埋める項目名・段階・分量の目安を1回の依頼に入れると、フォームの記載欄に収まる文章に整えやすくなります。次は速報の「原因」欄を依頼する場合の一例です(実際の出力は毎回内容によって変わります)。

下記の時系列メモをもとに、漏えい等報告フォームの「原因」欄に入る
300字程度の文章を作ってください。
- 報告の段階は速報です。メモに書かれている事実だけを使い、
  推測で補わないでください。
- 原因が生じた主体(自社か委託先か)を文頭に書いてください。
- 判明していない点は「調査中」と明記してください。
- 個人データそのものはメモに含めていません。
 
【時系列メモ】
(ここに貼り付ける)

「推測で補わない」「調査中と明記する」の2行は、速報で未確定の原因を断定調に整えてしまう下書きを避けるためのものです。

報告フォームの選び方と、共通様式の使いどころ

報告方法にも決まりがあります。ホームページに掲載されているWordの報告様式は社内検討用の参考資料で、実際の報告には使いません。報告は個人情報保護委員会のホームページの入力フォームから行い、「報告者の氏名又は名称」欄には、報告実務を担当する個人ではなく事業者等の名称を入力します。

フォームは、漏えいした情報の内容と事業者の業種で分かれます。

サイバー攻撃では、入力フォームとは別にExcel形式の共通様式をメールで提出する経路があります。ランサムウェア事案は令和7年10月1日以降、その他のサイバー攻撃等事案は令和8年10月1日以降に使えます。共通様式はマイナンバーを含む場合にも、権限委任業種や行政機関等の報告にも使えます。メールの件名は「【報告者組織名:報告日(送信日)】ランサムウェア事案(またはその他サイバー攻撃等事案)の報告について」の形です。

漏えいした個人データそのものを入力してはいけない理由

報告書の下書きを作る作業自体が、二次的な個人データの取扱いになり得ます。2・3の項目で必要なのは「氏名・メールアドレスが含まれる」といったデータの種類や人数であって、実際の氏名・メールアドレスの一覧ではありません。下書きの材料として実データをそのままチャットに貼り付ければ、報告のために新しい共有先が増えるだけで、漏えいの範囲を広げるリスクになります。

個人情報保護委員会は、生成AIサービスの利用に関する注意喚起を出しています。この注意喚起とClaudeの契約・設定の対応関係は個人情報保護委員会の生成AI注意喚起を、Claudeの契約・設定に対応づけるで扱っています。報告書の下書きに使う場面でも、生成AIサービスの利用である点は変わりません。

医師がClaudeで診療情報を扱う下書きも、機微な情報をどこまで材料にしてよいかが争点になる点で本記事と共通しています。医師がClaudeで紹介状・診療情報提供書を下書きする際の法的境界で、専門文書の下書きにおける法的な線引きを扱っています。

業務データをそもそもどこまでClaudeに渡してよいかという判断は、漏えいが起きる前の平時から必要です。渡す前の確認観点は業務データ漏洩対策チェックリストにまとめています。

よくあるつまずき

• ランサムウェア事案なのに、共通様式を使わず通常の入力フォームだけで済ませようとする。共通様式は選択肢の一つで、入力フォームでの報告も引き続き可能です。件名や提出先アドレスは所定の形式が決まっているので、メール提出を選ぶなら先に確かめます。
• 報告事項の「二次被害またはそのおそれの有無・内容」を、実際に二次被害が起きた場合しか書かなくてよいと誤解する。おそれの段階でも記載対象です。

まとめ

Claudeが担えるのは、調査で固まった事実を報告フォームの文に直す工程までです。何が漏えいし何人に及ぶかは調査が決めるため、下書きを頼む順番は調査より後になります。委託先がある事案では、委託先からの通知が期限の起点になるので、連絡経路を決めておくことが下書きの工夫より先に効いてきます。