患者の情報が漏れたとき、いつ誰に報告するか

2026年10月9日2026年10月19日

患者の情報が外に出たとき、歯科医院には2段階の報告と、本人への通知が待っています。しかも先に出すほうには、日数の期限が書かれていません。「速やかに」とだけあります。人数の線が引かれていない類型もあります。この記事は、法律と規則から、その順番と期限を並べます。

義務の本体は、1つの条文にあります

個人情報の保護に関する法律第26条第1項が本体です。対象になるのは、取り扱う個人データの漏えい・滅失・毀損のほか、条文が「その他」で受けている、個人データの安全の確保に係る事態。そのうち、本人の権利利益を害するおそれが大きいと規則が定めた類型に当たるものが起きたときに、個人情報保護委員会への報告が義務になります。

ただし書きが1つ付いています。ほかの個人情報取扱事業者や行政機関等から、その個人データの取扱いを委託されていた場合に、規則の定めに従って委託元へ通知したときは、委員会への報告を要しない、という内容です。同項のただし書きが外しているのは、委託を受けていた側が委託元へ通知したときに限られます。

第2項は本人への通知です。第1項が当てはまる場面では、本人にも事態を知らせる義務が生じます。外れるのは、さきほどのただし書きで委託元へ通知した側だけです。ここにもただし書きがあり、本人への通知が困難で、なおかつ本人の権利利益を守るために必要な代替の措置をとるときは、この限りでない、とされています。

どんなときに報告するかは、規則の4つの号にあります

その類型を書いているのが同法施行規則第7条です。号は4つあり、どれか1つに当たれば報告の対象になります。

第1号 ── 要配慮個人情報を含む個人データについて、漏えい等が起きた事態と、起きたおそれがある事態。この号の括弧書きは、高度な暗号化をはじめ、本人の権利利益を守るために必要な措置を講じたものを対象から外しています
第2号 ── 不正に利用されると財産的な被害が生じるおそれのある個人データについての、同じ事態
第3号 ── その事業者に対して、不正の目的で行われたおそれのある行為が原因となった、同じ事態
第4号 ── 本人の数が1,000人を超える、同じ事態

歯科医院にとって効いてくるのは第1号です。要配慮個人情報とは何かは同法第2条第3項にあり、列挙されているものの中に「病歴」が入っています。ほかに挙がっているのは、人種、信条、社会的身分、犯罪の経歴、犯罪により害を被った事実です。条文はここで「その他」を使い、不当な差別や偏見といった不利益を生まないよう特に配慮がいるものとして政令が定める記述等まで、まとめて含める書き方をしています。

そして人数に注目してください。第4号だけが1,000人という線を持っていて、第1号には人数の条件が書かれていません。括弧書きで除かれているのは、高度な暗号化などの措置を講じたものです。人数ではありません。

報告は、2段階に分かれています

同規則第8条第1項が先に出すほうです。第7条の号に当たる事態を知ったあと、速やかに出します。中身は9つの事項ですが、括弧書きで範囲が絞られていて、報告しようとする時点で「把握しているものに限る」とされています。

概要
その個人データの項目
関係する本人の数
原因
二次被害の有無・おそれの有無と、その中身
本人への対応の実施状況
公表の実施状況
再発防止のための措置
その他参考となる事項

ここが読みどころです。同項は括弧書きで、その時点で把握しているものに限る、と断っています。原因が分からないうちは報告できない、という作りにはなっていません。分かっている範囲で、速やかに出す形です。

あとから出すほうが同条第2項です。事態を知った日から30日以内に、第1項の各号に定める事項を報告することとされています。括弧書きで例外が1つ置かれていて、その事態が第7条第3号に定めるものである場合は60日以内です。同項によれば、期限の起算点は「知った日」であって、事故が起きた日ではありません。

出し方も第3項が決めています。委員会へ報告する場合の原則は、電子情報処理組織を使う方法。電気通信回線の故障や災害などで、それが難しいと認められるときの逃げ道として、別記様式第一の報告書を出す方法が置かれています。

本人への通知は、報告と別に動きます

第10条が本人への通知です。起点は同じで、第7条の各号に定める事態を知った後。そこから、事態の状況に応じて速やかに通知します。どこまで伝えるかにも条件が付いていて、本人の権利利益を守るのに必要な範囲で、とされています。

通知する事項は、報告の9項目のうち、第1号（概要）、第2号（項目）、第4号（原因）、第5号（二次被害またはそのおそれ）、第9号（その他参考となる事項）です。同条が本人向けに挙げているのは、9つのうちの5つです。本人の数、本人への対応の実施状況、公表の実施状況、再発防止のための措置は、この5つには入っていません。

起きてからでは、決められないこと

以下は、上に並べた条文から当社が整理した、先に決めておける項目です。条文がこの順序を定めているわけではなく、これですべてでもありません。

誰が「知った日」を記録するか ── 30日の起算点になります
患者の情報がどこにあるかの一覧 ── 第1項第2号の「項目」を書くための材料です
電子情報処理組織を使う担当を決めてあるか
委託している業者の側で起きた場合の連絡の道筋 ── 第26条第1項ただし書が関わります
患者への連絡手段 ── 第2項ただし書がいう「困難な場合」に当たるかの前に、まず手段の有無です
暗号化の状況 ── 第7条第1号の括弧書きに関わります

まとめ ── 速報に、期限は書かれていません

先に出すほうは、知った後速やかに、把握している範囲で。あとから出すほうは、知った日から30日以内、第7条第3号の事態なら60日以内。本人への通知は、状況に応じて速やかに、5つの事項について。期限が日数で書かれているのは、あとから出すほうだけです。先に出すほうと本人への通知は「速やかに」とだけあります。数字がないほうが緩い、とは読めません。決め方を先に用意していない医院ほど、この「速やかに」が長くなります。

参考にした情報源

デジタル庁 e-Gov法令検索個人情報の保護に関する法律（平成十五年法律第五十七号） ── 第2条、第26条
デジタル庁 e-Gov法令検索個人情報の保護に関する法律施行規則（平成二十八年個人情報保護委員会規則第三号） ── 第7条、第8条、第10条

この記事は、法律と規則に書かれている報告・通知の手順と期限を並べたものです。個人情報保護委員会は通則編のガイドラインとQ&Aを公表しており、実務ではそちらもあわせて読むことになります。医療分野には別途の指針もあります。条文は改正で変わります。実際に事態が起きたときは、個人情報保護委員会の案内と、顧問の専門家にご確認ください。