先に答え： 2日目にやることは3つです。①個人情報保護委員会へ速報を出す（発覚からおおむね3〜5日以内が目安。2日目に出せば余裕があります）、②公表するか・いつするかを決める、③取引先・カード会社・委託元に連絡する。全部そろっていなくて構いません。「分かっていること」と「調査中のこと」を分けて書けば、速報は30分で出せます。
2日目の位置づけ：1日目に集めたメモを「外に出す形」にする日
第1回で「止める・残す・集める」をしました。2日目は、集めたメモを報告書と社外への文章に変える日です。この日の判断が遅れると、3日目の本人通知と公表がずれ込み、「隠していた」と受け取られます。
「速報」と「確報」とは？
速報とは、漏えい等を知ってから速やかに（個人情報保護委員会の目安ではおおむね3〜5日以内）出す第1報です。分かっている範囲でよく、未確定の項目は「調査中」と書けます。
確報とは、原因と全体像を確定させて出す最終報告です。期限は30日以内。不正アクセスなど不正の目的による場合は60日以内です。
| 区分 | 期限（発覚日から） | 内容 | 提出先 |
|---|---|---|---|
| 速報 | 速やかに（おおむね3〜5日以内） | 分かる範囲。9項目のうち埋まるところだけ | 個人情報保護委員会（Webの報告フォーム） |
| 確報 | 30日以内／不正の目的は60日以内 | 9項目すべて。原因・再発防止策を含む | 同上 |
| 本人への通知 | 事態に応じて速やかに（第3回） | 漏えいした項目、原因、二次被害のおそれ、相談窓口 | 本人（困難なら公表＋窓口で代替） |
※ 業種によっては、報告の権限が所管の大臣に委任されています（例：金融庁長官に権限が委任されている金融機関は金融庁の担当課室へ。法第150条）。自社がどこに出すかは、速報を書く前に確認してください。
24〜48時間にやる3つのこと
1. 決める（24〜30時間）：公表するか、いつ、誰の名前で
結論：「本人に個別に連絡できるか」で決まる。連絡できない人が1人でもいるなら、公表が必要になる。
公表は法律上の義務ではありません。しかし本人への通知が難しい場合（メールアドレスしか無い、退会済み、連絡先が古い）、公表と問い合わせ窓口の設置が「代替措置」として求められます。2026年秋の事案で公表が相次いだのは、アプリ会員や退会者を含む大規模なものが多く、個別通知が事実上できなかったからです。
決めること（対策本部で30分）：
- 公表するか：対象者全員に個別連絡できるなら「通知のみ」も選べる。できないなら公表する
- いつ：本人通知と同じ日か、その前。通知より後に公表すると「先にSNSで知った」が起きる
- 誰の名前で：代表取締役名。担当者名・個人メールは出さない
- どこに：自社サイトのトップから1クリックの位置。アプリならアプリ内のお知らせにも
- 何を書くか：第1報の骨子は次の6つ──①お詫び ②発生した事実（いつ・何が） ③対象の範囲と件数（「最大〇件」） ④現在の対応（停止・調査・警察・個人情報保護委員会への報告） ⑤お客様へのお願い（不審なメール・電話への注意） ⑥問い合わせ窓口（第3回で設置）
2. 報告する（30〜40時間）：個人情報保護委員会へ速報を出す
結論：未確定は「調査中」と書いて出す。完璧を待たない。
- 個人情報保護委員会のサイトの漏えい等報告フォームを開く（事業者の情報と担当者の連絡先を入力する。記入例が同じページにある）
- 第1回の「9項目メモ」を転記する。件数は「最大〇人（対象データベースの登録者数）」
- 原因は「外部からの不正アクセスの疑い。詳細は調査中」で可
- 二次被害のおそれは、漏れた項目から素直に書く（メール→フィッシング、カード→不正利用、免許証画像→なりすまし）
- 送信した控え（受付番号・日時）を保存し、対策本部の記録に残す
- 速報の内容を、公表文・本人通知文と同じ言葉にそろえる（ここがずれると「報告と説明が違う」と指摘される）
3. 連絡する（30〜48時間）：取引先・カード会社・委託元・保険会社
結論：「自社の口から先に伝える」。相手がニュースで知るのが最悪。
| 連絡先 | いつ | 何を |
|---|---|---|
| 委託元（自社が他社のデータを預かっている場合） | 最優先、当日中 | 事実・範囲・対応。委託元が報告義務を負うため、委託元の速報期限に間に合わせる |
| 決済代行・カード会社 | カード情報が関わるなら当日 | 不正利用のモニタリング依頼。カード情報が自社に無い場合も「決済代行に保存、自社は非保持」を確認して公表文に書く |
| 主要取引先・販売パートナー | 公表の前日まで | 公表予定日時と、取引先のお客様への影響の有無 |
| サイバー保険・損害保険会社 | 当日 | 調査費用・窓口費用・通知費用の補償範囲の確認。約款で「事故発生時の速やかな通知」が条件になっていることが多く、連絡が遅れると補償されないことがある（自社の約款を確認） |
| 顧問弁護士・社労士 | 当日 | 公表文・通知文のチェック、従業員情報が含まれる場合の対応 |
| 従業員 | 公表の前 | 公表内容と、問い合わせを受けたときの対応（「窓口へご案内」の一言で統一） |
2日目に「やらない」3つのこと
- 「調査が終わってから報告する」と決めること。速報の期限は待ってくれません。
- 件数を小さく見せること。「最大〇件」で出し、確定したら減らす方が信頼されます。増える訂正は致命的です。
- 公表文を担当者1人で書くこと。責任者・対外・お客様担当の3人で読み、「お客様が最初に知りたいこと」が先頭にあるか確認します。
2026年の事案から学べること
- MrMax（2026年10月6日公表）：「最大1,735,154人」と、対象の定義（10月3日時点の会員登録者）を明記しました。件数の出し方の参考になります（公表時点の数字）。
- タイムズモビリティ（2026年9月25日・28日・29日公表）：9月25日に検知し、26日までに遮断。退会済みの会員も対象（約660万アカウント）になり、運転免許証画像などの本人確認書類（約160万件）が含まれました。本人の生活への影響が大きい漏えいでは、「含まれる情報」を回ごとに正確に区切って公表することが求められます（数字は公表時点）。
よくある質問（FAQ）
Q1. 速報の期限は正確に何日ですか？
A. 法令上は「速やかに」で、個人情報保護委員会は目安を「おおむね3〜5日以内」としています。発覚日を0日目として、2日目のうちに出せば余裕があります。
Q2. 原因が分からないまま報告してよいのですか？
A. 構いません。速報は分かっている範囲で出し、未確定の項目は「調査中」と書きます。確報（30日以内、不正の目的の場合は60日以内）で確定させます。
Q3. 公表は義務ですか？
A. 法律上の義務ではありません。ただし本人に個別通知できない人がいる場合、公表と問い合わせ窓口の設置が「代替措置」として求められます。実務上は、会員サービスやアプリの漏えいでは公表が標準です。
Q4. 件数が確定していないとき、どう書けばよいですか？
A. 「最大〇件（〇月〇日時点の登録者数）」と、対象の定義を添えて書きます。あとで減らすのは問題ありませんが、増える訂正は信用を落とします。
Q5. 委託先のシステムで漏えいが起きました。報告は委託先がしてくれますか？
A. 原則は委託元（データを預けた自社）に報告義務があります。委託先は委託元へ通知すれば足ります。委託先の連絡を待たず、自社の速報期限で動いてください。
連載の他の回
- 第1回：最初の24時間で「止める・残す・集める」
- 第3回：48〜72時間で「知らせる・支える」──本人への通知文、公表文、お問い合わせ窓口の立ち上げ
Zationパートナーズができること
公表と同時に鳴り始める電話とメールを、専用窓口として即日で引き受けます。FAQとトークスクリプトの作成から対応します。詳しくは お問い合わせ窓口・コールセンター代行へ。
執筆：田村佳則（パートナーズタイムス編集長） 監修：田村佳則 編集長
公開：2026年10月20日 更新：2026年10月20日
本記事は現行の個人情報保護法（第26条・施行規則第8条）に基づきます。2026年7月17日公布の改正法は本稿時点で施行前です。期限の数字は公開前に個人情報保護委員会サイトで再確認しています。
出典
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」「漏えい等報告フォーム」
- 株式会社ミスターマックス・ホールディングス「不正アクセスによる情報流出に関するお詫びとお知らせ」（2026年10月6日）
- タイムズモビリティ株式会社「タイムズカー」Webシステムへの不正アクセスについて 第1報（9月25日）・第2報（9月28日）・第3報（9月29日）https://share.timescar.jp/news/2026/0928/1815.html
- 個人情報保護委員会 Q&A「金融分野の事業者の報告先」https://www.ppc.go.jp/all_faq_index/faq2-q4-7 ／ 金融庁「漏えい等報告の提出先」
- 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）https://www.tsr-net.co.jp/data/detail/1203305_1527.html
