お問い合わせ

資料ダウンロード

資料DL

GDPR 72時間ルールを"運用"できていますか — 個人データ漏えい対応のタイムライン設計

    2026/9/4

    この記事の著者

    プライバシーエキスパート

    栗原 宏平

    【免責事項】  本記事は筆者個人の見解に基づき執筆したものであり、筆者は弁護士資格を有しておりません。法律上のアドバイスを目的としたものではありませんので、あらかじめご了承ください。

    はじめに

    GDPR（General Data Protection Regulation：一般データ保護規則）では「72時間ルール」と俗に呼ばれる非常に厳しい報告義務が求められます。昨今の情報漏洩の増加を見ると、企業にとっては正確な報告を当局に実施するだけでなく、事前にリスクとなりうる要因を把握しておくことが必要です。

    ※欧州では複雑なデジタル規制の見直しを行う欧州デジタルオムニバス法案でGDPRの見直しについても議論されており、2026年2月11日に提出された欧州データ保護監督機関（EDPS）及び欧州データ保護委員会（EDPB）による共同意見書の中で、72時間を96時間に延長することを支持する声明も出されているため、今後実務的な報告義務制限についても変更になる可能性があります。

    また、限られた時間で報告を行うためにも、事後的にリスク対応を検討するのではなく、事前に起こりうるリスクを把握し、かつ自社で対応できるか否かを含めた評価を実施しておくことが必要になります。

    GDPRで求められる72時間ルールって一体何？

    GDPRの33条では企業がデータ漏洩を把握してから、72時間以内に該当する個人データ保護当局へ報告を行う義務が定められています。この「72時間」という短い期間での報告義務が発生することから「72時間ルール」と呼ばれるようになりました。

    GDPRが2016年5月に法律として制定されるまでは、1995年10月に制定された欧州データ保護指令の下で、企業は情報漏洩の際に報告することを推奨されていました。

    但し、通信事業者に適用される法律の下で、特定の企業に対しての報告義務を課すようなケースやアイルランドのようにCodes of Practiceを求めるような国もあり、欧州域内でも情報漏洩の報告義務が統一された企業の責任として整理されていませんでした。

    GDPRが施行されて以降、情報漏洩が起きた際には規制当局への報告だけでなく、個人の権利を侵害する可能性がある場合については、当該個人に対しても報告を行うことが必要になりました。リスクの高い情報漏洩が発生した場合には、企業だけでなく、情報を漏洩した個人に対して詐欺電話を始めとした2次被害、もしくは3次被害が起こりうる可能性があります。

    そのため、企業は規制当局への報告だけに止めることなく、当該個人が自らリスクを回避することができるように、個人に対しても報告を実施することが必要になるのです。

    この72時間という短い時間を報告義務としている理由として、特に当該個人が企業からの報告を通じてリスクを理解し、時にはリスクを回避、最小化できるように必要な情報を報告の際には伝達することが求められます。

    ここまで「72時間ルール」について、報告義務が設置された背景を合わせて説明してきましたが、企業にとってはアカウンタビリティを実現するために、情報漏洩以前の対策も非常に重要ではありますが、情報が漏洩してしまった後の対応についても厳しく求められることになりました。

    情報漏洩が起こった際に求められる対応手順

    では、情報漏洩が起きてしまったと仮定して、企業はどのような対応を行えば良いのでしょうか。

    欧州データ保護委員会（EDPB）は2023年4月に情報漏洩が起きた際の報告に関する手順をガイドラインと要約文書にして公表しています。要約文書の中では、企業が取り組むべき情報漏洩の報告手順について分かりやすく説明してくれています。

    以下の図は、欧州データ保護委員会の公表物を下に、筆者が作成した内部確認の手続きの流れを示しています。

    情報漏洩が起きた際にやるべき手順フェーズ1

    情報漏洩に関する記録をドキュメントへ記載（情報漏洩登録）

    • まずは企業内で情報漏洩が発生したことを認知する必要があります。そのために、企業内でどのような情報漏洩が起きて、企業が取り組んできた対策と発生しうるリスクについて記録します。

    情報漏洩により個人の権利を侵害するリスクがあるかを評価

    • 欧州データ保護委員会（現在のEDPB）の前身に当たる、欧州第29条作業部会では2017年10月に採用されたガイドラインで、情報漏洩を3つのタイプに分類しており、発生したリスクをガイドラインの分類に合わせて整理し、リスクを評価します。

    情報漏洩が起きた際にやるべき手順フェーズ2（漏洩した情報のリスクが高い場合）

    初期に全ての情報を把握していなくても関連する規制当局への報告が必要

    • 漏洩した情報のリスクが高いことがわかった場合には、該当する規制当局への報告が必要になります。欧州データ保護委員会がサイト上で各国の規制当局の報告窓口をまとめてくれているため、対象の連絡先もしくはフォームにて報告を行います。

      ※欧州域内の多くの国では電子フォームからの情報漏洩報告を採用していますが、今後各国の規制当局の意向によっては国ごとに報告内容に違いがでる可能性があるので、現時点では欧州データ保護委員会が公表しているフォーマットやテンプレート（後述）に沿った形で状況を整理し、内部で報告できる対応を整備しておくことをお勧めします。

    情報漏洩により個人の権利を侵害するリスクが非常に高いか評価

    • 同時に、漏洩したことに限らず、漏洩した情報が個人の権利を侵害するリスクがあるか否かについても評価を実施する必要があります。情報漏洩の通知に関するガイドラインには、「個人の自由や権利を侵害するリスクが高い」場合を通知の基準としています。

    情報漏洩が起きた際にやるべき手順フェーズ3（個人への与えるリスクが高い場合）

    迅速に個人への通知が必要

    • リスクを評価した結果、「個人の自由や権利を侵害するリスクが高い」場合については、SMSやDM等の適切な手段を用いて当該個人が情報漏洩によって被りうるリスクを把握できるように通知することが求められます。

    ここまで情報漏洩が発生した際に企業が実施すべき対応手順の流れを紹介してきました。

    情報漏洩報告が遅れた場合には、どのような罰則がありうるのか

    企業の実務に関わる方からすると、情報漏洩した際にやるべき手順は理解できたけど、実際に漏洩報告が遅れた場合や、その他の義務を果たせなかった場合にどのような罰則を課されることになるのか気になったと思います。

    今回は、ノルウェーで起きたアメリカのアルゴン・メディカル・デバイス社への罰則のケースを参考事例として紹介します。

    このケースは情報漏洩が発覚してから72時間以内に報告を実施しなければいけないところ、当該企業は67日間報告を実施しておらず、最終的に250万クローネ（約4260万円）の制裁金を課されることになりました。

    事の発端は2021年5月21日〜6月14日にかけて、サイバー攻撃を受けたことでノルウェーを含む欧州域内での従業員データが漏洩したことに始まります。この攻撃は認証されていない第三者が従業員データへアクセスできてしまったことが原因でしたが、6月14日に攻撃を受けたことが判明した時点では米国本社のみが対象であるとして調査を実施していました。

    その後、調査過程で7月19日に欧州域内でも情報漏洩が発生していることがわかり、GDPRに準拠した形で漏洩による評価を実施したところ、最終的な報告が9月24日となってしまいました。

    ノルウェーの規制当局からは7月19日以降も、追加の情報提供を求めてきましたが、最終的に企業が報告を実施した日が9月24日となってしまったため、期限となる72時間を大幅に超過してしまった点が制裁金を課すべきか否かの争点になってしまったケースです。

    実務的な観点から考えると、今回のケースについては以下のポイントが学びとなります。

    1. 適切な情報漏洩把握の手順と漏洩報告の手順を設計しておく

      - 対象の企業では情報漏洩の状況把握を全て行った上で、漏洩報告を実施する手順を設計していたため、72時間という限られた時間内で必要な報告を実施すべきであるにも関わらず、社内の体制設計が規制に準拠したものになっていなかった

    2. 継続して情報漏洩の報告を行いながら対策を実施していく

      - 72時間以内に報告を行うことで、企業は規制当局から必要な情報を得ることができ、お互いに現在の状況を把握することができる

    3. 欧州域外の企業であっても、欧州の個人の情報が漏洩したことで個人にリスクが起こり得ることを理解しておく

      -米国や日本の法律だけに準拠していると、漏洩報告が遅れてしまうことになる可能性もあるため、地域の規制に合わせた手順で対策を実施する

    アメリカ企業がGDPR違反したケースとして紹介しましたが、特に欧州域外に本社や拠点があり、欧州地域の意思決定も本社が行なっている場合には情報漏洩が発生した場合の報告対応が後手に回る可能性があるため、十分に気をつけておく必要があります。

    欧州政府が公表している報告用のテンプレートを確認しよう

    ここまで、情報漏洩が起きた際の対応手順と実際に罰則金を課されることになったケースについて紹介してきました。実務者からすると、情報漏洩が起きた際に一番困るのは、どのような内容を報告すれば良いのかという点ではないかと思います。

    欧州データ保護委員会は今年の6月10日〜8月5日の期間で、欧州域内各国の規制当局に報告する際のテンプレートについてパブリックコメントを募集しています（現時点では正式に採用されたものではなく、各国の規制当局からの意見募集を行った上で、アップデートがある予定です）。

    このテンプレート（パブリックコメント募集時点：2026年6月10日公表）は、126の項目と7つのセクションで構成されていて、各項目の報告義務についての必要性について記載しています。

    7つのセクションに合わせて、それぞれ記載すべき内容について以下の表にまとめています。

    セクション

    実施内容

    1. 情報漏洩が起きた際に報告が必要な情報

    漏洩報告を行う際に、初期段階の報告であるか、追加又は最終報告であるのかを記載します。加えて、規制当局側で過去の報告内容と照合するために必要な報告IDについても記載します。

    2. データ管理者と報告者の情報

    報告を実施する企業及び企業が所属する業界や事業に関する情報を記載します。また、報告の責任者の情報についても記載します。

    3. 情報漏洩報告に必要な初期の情報

    情報漏洩が起きた日時や情報、漏洩状況等について細かく記載します。また、初期段階の報告で情報漏洩が起きた理由についても把握できていれば、情報漏洩が起きた際の状況と発生した被害状況、対象の被害者等についての情報も記載します。

    4. 情報漏洩報告に必要な追加の情報

    情報漏洩によって対象となる個人に対してどのような影響が起こり得るのかをリスク評価した結果を記載します。加えて、今後漏洩が起きた時に実施する対策についても記載します。

    5. 情報が漏洩した個人とのコミュニケーション対応

    個人の権利を侵害する可能性がある場合に、当該個人とどのようにコミュニケーションを取っているのかについて、実施している内容を記載します。

    6. その他の問題

    データ保護の規制当局以外にも報告を実施している場合については、その状況についても記載します。また、国を越えて情報漏洩が起きている場合については、越境での漏洩状況についても記載します。

    7. 参考添付資料

    情報漏洩が起きたと証明する資料や当該個人とのメールでの記録等について添付します。

    報告用のテンプレート項目を見ていくと、初期対応と継続対応に分けつつ、当該個人に対しての対応についても記載を求めていることがわかります。企業が実務的に取り組むべきこととしては、できる限り初期段階で情報漏洩による影響を把握し、関係各所に対して報告を実施できるような体制を作ることが必要になります。

    また、追加の情報を報告する際には必要な項目を見落とすことが内容に、事前に報告項目を把握した上で、いざ情報漏洩が起きた場合に迅速に状況把握ができるような体制づくりを平時の際から作っておくことが必要になります。

    ここまでGDPRで求められる「72時間ルール」と、実務的な対応について紹介してきました。日本の企業であったとしても、対象が欧州の個人であった場合に現地の規制で求められる条件に準拠して対応する必要があるため、まずはテンプレートを読みつつ、自社内でどこまで漏洩報告体制が整えられているのかを見直すことをお勧めします。

    参考資料


    この記事の著者

    プライバシーエキスパート

    栗原 宏平

    大学在学時に政治家の事務所で働き、卒業後は楽天に入社。2年間の営業経験を経て起業。国外のデジタルサービスの日本展開や国内のサービスの国外展開を支援。2017年より米国の非営利法人Government Blockchain Associationの日本代表を務める。

    その後、スタートアップの創業に関わる傍ら、ユネスコを始めとした国際会議でブロックチェーン関連で登壇を経験。2020年に一般社団法人Privacy by Design Labを立ち上げ、プライバシーに関するアドボカシー活動を中心に国際的な場づくりに取り組む。専門領域は、データ保護（個人情報保護）、デジタルマーケティング、ブロックチェーン。国内外のプライバシー業界のリーダーへ直接お話を聞くインタビューメディア“Privacy Talk”を運営。

    この記事をシェア

    facebookシェアボタンXシェアボタン
    keyboard_backspace

    お役立ち記事一覧

    おすすめ記事

    障害対応ツールは「内製」できる？

    2026.03.16

    インシデント管理フローの構築方法｜検知から解決まで7ステップ実践ガイド

    2026.03.17

    特徴

    arrow_forward

    機能

    arrow_forward

    導入事例

    arrow_forward

    ご利用の流れ

    arrow_forward

    FAQ

    arrow_forward

    お知らせ

    arrow_forward

    お問い合わせ

    資料ダウンロード