ホームページへの不正アクセスやフォームの改ざんで個人情報が漏れた（漏れたおそれがある）ときは、件数が少なくても個人情報保護委員会への報告の対象になり得ます。報告は2段階で、速報はおおむね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）です。期限は「会社のどこかの部署が知った時点」から数えます。あわせて、本人への通知も原則として必要です。
この記事は、ホームページ（特にWordPress）を運営していて、「フォームの中身が漏れたら、何をいつまでにすればいいのか」を知っておきたい人向けです。サイトで起きること全体はWordPressが攻撃されたら何が起きる？に任せ、ここでは法律上の報告と通知に絞ります。
結論：攻撃による漏えいは、件数が少なくても報告の対象になり得る
個人情報保護法は、個人データの漏えいなどのうち「個人の権利利益を害するおそれが大きいもの」が起きたとき、個人情報保護委員会への報告と、本人への通知を義務づけています（法第26条）。どんな場合がこれに当たるかは、施行規則の第7条が4つ定めています。
大事なのは、そのうち1つが「不正の目的をもって行われたおそれがある行為による漏えい」で、これには件数の条件がないことです。サイトへの不正アクセスやフォームの改ざんによる漏えいは、多くがこれに当たり得ます。「数件だから」と自分だけで判断して済ませないことが大切です。
ホームページの「個人情報」はどこにあるか
「うちのサイトは個人情報なんて持っていない」と思っていても、実際には次のような場所に残っていることがあります。漏えいが疑われたとき、まずどこに何があったかを答えられるかどうかで、対応の速さが変わります。
| 場所 | 中身の例 | 見落としやすい点 |
|---|---|---|
| フォームの送信データ | 名前、メールアドレス、電話番号、相談内容 | メールで届くだけと思っていても、データベースにためている場合がある（例：Contact Form 7と組み合わせるFlamingoは、送信内容をサーバーのデータベースに保存すると説明しています） |
| WordPressのユーザー | 管理者・編集者・会員のメールアドレス、ログイン名 | 辞めた人や制作会社のアカウントが残っている |
| ネットショップ・予約 | 住所、注文履歴、決済に関わる情報 | カード番号をサイトで扱っていなくても、入力ページが改ざんされると抜き取られることがある |
| サーバー上のファイル | 書き出した名簿、バックアップ | 作業のために置いたファイルを消し忘れている |
入力ページそのものも大事です。ガイドラインは、サイトの入力ページが改ざんされ、入力した情報が第三者に送られた場合も、報告の対象になる例として挙げています。データベースから盗まれていなくても、これから受け取るはずだった情報が横取りされれば、漏えいとして扱われ得るということです。
報告が必要な4つのケース
施行規則第7条の4つのケースを、ホームページで起きそうな例に置きかえると次のようになります。どれか1つに当たれば報告の対象です。
| ケース（規則第7条） | ホームページで起きそうな例 | 件数の条件 |
|---|---|---|
| ① 要配慮個人情報を含む | 病院・薬局・介護事業者のサイトの相談フォームに、病歴や健康状態が書かれていた | なし |
| ② 不正に使われるとお金の被害が出るおそれ | ネットショップの入力ページからカード番号が抜き取られた。決済できるサービスのIDとパスワードの組み合わせが漏れた | なし |
| ③ 不正の目的によるおそれ | WordPressに不正アクセスされ、フォームの保存データが盗まれた。フォームや「お問い合わせはこちら」のボタンが改ざんされ、偽の入力ページに送られた | なし |
| ④ 1,000人を超える | 設定ミスで、会員の一覧がネット上で誰でも見られる状態になっていた | 1,000人超 |
- ③の「不正の目的」をもつ人には、外部の攻撃者だけでなく、従業者も含まれます。
- ③の対象には、委託先や、サイトの持ち主が使っている外部のサービスに対する不正な行為も含まれるとされています（後述）。
- ④の人数は、最初は1,000人以下でも、調べて1,000人を超えた時点で対象になります。人数が確定できないときは、最大で1,000人を超えるおそれがあれば対象です。
- 4つに当たらない漏えいでも、委員会に任意で報告することはできます。
「漏れたおそれ」の段階でも対象になる
報告の対象は、漏えいが確定した場合だけではありません。条文は「発生し、又は発生したおそれがある事態」と書いています。ガイドラインは、サイバー攻撃で「おそれ」に当たり得る例を挙げています。サイトの持ち主の言葉に置きかえると、次のような場面です。
- 個人データを置いているサーバーや、そこにログインできるパソコンに、外からデータを持ち出された跡が見つかった
- そのサーバーやパソコンに、情報を盗むことが分かっている不正なプログラムが入っていた
- 不正なプログラムに指令を出すサーバーとして知られている宛先への通信が見つかった
- 入力フォームのページを作っているファイルに、入力内容を抜き取るような書き換えの跡が見つかった
- 公的機関、セキュリティの会社、専門家などから、根拠を示して「漏れているおそれがある」と連絡を受けた
WordPressの乗っ取りでは、「何を持ち出されたか」まですぐには分からないことがよくあります。確証を待っていると期限が過ぎるおそれがあるため、疑いの段階で専門家に相談し、報告の要否を判断することが大切です。乗っ取りに気づくための確認方法はWordPressの乗っ取りを確認する方法にまとめています。
報告の期限：速報と確報
委員会への報告は2回に分かれます。期限は施行規則第8条とガイドラインで決まっています。
| 報告 | 期限 | 中身 |
|---|---|---|
| 速報 | 知った後「速やかに」。目安はおおむね3〜5日以内 | その時点で分かっている事項だけでよい |
| 確報 | 知った日から30日以内。③（不正の目的によるおそれ）に当たる場合は60日以内（③と他のケースの両方に当たるときも60日） | 決められた9つの事項すべて |
報告する9つの事項は、①概要、②漏れた（おそれがある）個人データの項目、③本人の数、④原因、⑤二次被害やそのおそれの有無と内容、⑥本人への対応の状況、⑦公表の状況、⑧再発防止策、⑨その他参考になること、です。
期限の数え方で間違えやすい点
- 「知った」のは、会社のいずれかの部署が知った時点です。社長や担当役員に話が上がった日ではありません。お客さまからの電話を受けた日や、サーバー会社からの連絡を受けた日が起点になり得ます。
- 確報の期限は、知った日を1日目として数え、土日・祝日も含めます。30日目・60日目が土日・祝日・年末年始（12月29日〜1月3日）にあたるときは、その翌日が期限です。
- 速報の時点で9つの事項が全部分かっていれば、1回で速報と確報を兼ねられます。
報告は、原則として個人情報保護委員会のサイトにある報告フォームから行います。ただし、委員会の権限が事業所管大臣に委任されている業種では、報告先がその省庁になります。どこに出すかは、委員会のサイトの「権限の委任」のページで確かめてください。また、委員会のサイトによると、2026年10月1日以降は「ランサムウェア事案」と「その他サイバー攻撃等事案」による漏えいについて、関係省庁の申合せに基づく共通の様式で報告することもできます。
本人への通知
報告の対象になる場合は、原則として漏れた（おそれがある）情報の本人にも知らせる必要があります（法第26条第2項、規則第10条）。
| 項目 | 決まり |
|---|---|
| いつ | 「事態の状況に応じて速やかに」。全部分かるまで待つ必要はない一方、初期対応が終わる前に知らせるとかえって被害が広がるような場合は、その時点で知らせる必要があるとはいえないとされている |
| 何を | 概要、漏れた情報の項目、原因、二次被害やそのおそれの有無と内容、その他参考になること（本人が自分を守るためにとれる行動など）。本人を守るのに必要な範囲でよい |
| どうやって | 決まった様式はない。郵便やメールなど、本人に確実に伝わる方法で、分かりやすく |
| 知らせられないとき | 連絡先を持っていない、連絡先が古いなどで通知が難しい場合は、事案の公表や、問い合わせ窓口を設けて公表するなどの「代わりの措置」をとる |
偽の入力ページに入力した人は、誰なのか分からないことがあります。その場合は、サイト上での公表と問い合わせ窓口の設置が中心になります。
制作会社・サーバー会社・フォームサービスに任せている場合
小さな会社のサイトでは、管理を制作会社に任せていたり、フォームを外部のサービスで作っていたりすることがよくあります。この場合の考え方は、ガイドラインに次のように書かれています。
- 個人データの取扱いを委託している場合、原則として委託元（サイトの持ち主）と委託先の両方が報告と本人への通知の義務を負う。連名で報告してもよい。
- 委託先が、報告の義務を負う委託元に、把握している事項をすみやかに（目安はおおむね3〜5日以内）知らせた場合は、委託先の報告と通知の義務はなくなり、委託元が報告する。
- ③（不正の目的）のケースでは、サイトの持ち主が使っている第三者のサービスへの不正な行為で漏れた場合も、サイトの持ち主にとっての対象になり得る。
つまり、「管理は任せていたから、うちは関係ない」とはなりません。委託先から早く正確に情報をもらえるようにしておく必要があります。制作会社と連絡が取れない場合は、制作会社と連絡が取れないときの手順で、先に管理の権限を取り戻しておいてください。
小さな会社のサイトでも対象になるか
報告の義務を負うのは「個人情報取扱事業者」です。法律は、これを個人情報データベース等を事業に使っている者と定めています（法第16条第2項。国の機関や地方公共団体などは除く）。この定義には、扱う人数の下限は書かれていません。
問い合わせの送信内容を保存して名前などで検索できるようにしていれば、個人情報データベース等に当たり得ます。「うちは小さいから関係ない」と決めつけないことが大切です。自社が当てはまるかどうかは、委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）や専門家に確かめてください。
気づいてから最初の数日でやること
ガイドラインは、漏えい（またはそのおそれ）が分かったときに必要な措置として、社内での報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策、委員会への報告と本人への通知を挙げています。ホームページの場合に置きかえると、次の順番になります。
- 知った日時を記録し、責任者に知らせる
「いつ、誰が、何を見て気づいたか」を書き残します。 - 被害が広がらないようにする
改ざんされたフォームを止める、パスワードを変えるなど。ログやファイルは消さずに残します（手順は被害に気づいたら最初にやること）。 - 委託先と専門家に連絡する
委託先には調査への協力とログの保存を頼み、報告の要否を弁護士や委員会の相談窓口に相談します。 - 何が、誰の分、どの期間、漏れたおそれがあるかを洗い出す
上の表の場所ごとに、項目・人数・期間を確かめます。 - 速報を出す
対象に当たるなら、おおむね3〜5日以内に、分かっている範囲で出します。 - 本人への通知・公表を準備する
本人ができること（パスワードの変更など）も添えます。 - 原因をふさぎ、確報を出す
30日（③なら60日）以内に、原因と再発防止策を含めて出します。
2026年の法改正で変わること
2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました。委員会の資料によると、漏えい時の対応については次のような見直しが示されています。
- 本人への通知の緩和：本人の権利利益の保護に欠けるおそれが少ない場合（それだけではほぼ意味を持たない社内の識別番号だけが漏れた場合などを想定）は、代わりの措置を認める。
- 報告の合理化：第三者の確認を受けることなどを前提に、一定の範囲で速報を免除できるようにする。
- 対象の追加：違法な第三者提供も報告の対象にする。重大な違反には課徴金の制度も設けられる。
具体的な範囲は、これから政令・委員会規則・ガイドラインで決まります。施行は原則として公布から2年以内で、委員会のロードマップでは2028年（令和10年）春以降の見通しです。今、漏えいが起きた場合は、今の決まりで対応します。
漏れる前にできる備え
- サイトのどこに個人情報があるかを一覧にしておく（フォームの保存先、ユーザー、ショップ、バックアップ）
- 要らない個人情報は持たない。フォームの送信内容をサイトのデータベースにためる必要がなければ、保存しない設定にし、古いデータは消す
- 辞めた人や制作会社のアカウントを残さない
- WordPress本体・プラグイン・テーマ・PHPを最新に保ち、使っていないものは消す
- 委託先との契約に、漏えいに気づいたら何日以内に、何を知らせてもらうかを書いておく
- 「誰が気づいたら、誰に知らせ、誰が報告フォームを出すか」を決めておく
更新を続けるのが負担なら、ページは静的サイトにしてフォームだけ別の仕組みで受け付けるなど、守る場所の少ない作りに変える方法もあります（受け取った個人情報への責任は残ります）。日ごろの対策はWordPressのセキュリティ対策にまとめています。
よくある質問
問い合わせフォームの名前とメールアドレスが数件漏れただけでも、報告が必要ですか？
不正アクセスやフォームの改ざんなど、不正の目的で行われたおそれがある漏えいなら、件数にかかわらず報告の対象になり得ます。一方、設定ミスなど不正の目的によらない漏えいで、病歴などの要配慮個人情報やクレジットカード番号なども含まず、1,000人以下であれば、報告の義務はありません（任意で報告することはできます）。どちらに当たるかの判断は、個人情報保護委員会の相談窓口や弁護士に相談してください。
漏れたかどうか、まだはっきりしません。それでも報告するのですか？
報告の対象には「漏れたおそれがある」場合も含まれます。ガイドラインでは、分かっている事実から漏えいが疑われるものの確証がない場合が「おそれ」に当たるとされています。調べた結果、対象ではなかったと分かれば、本人への通知は不要とされています。
速報の時点では、原因も件数も分かりません。何を書けばよいですか？
速報は、その時点で把握している事項だけでかまいません。確報（30日以内、不正の目的によるおそれがある場合は60日以内）で全部の事項を報告し、それでも合理的な努力をして分からない事項は、分かった時点で追加します。
サイトの管理を制作会社に任せていました。報告するのは誰ですか？
原則として、委託元（サイトの持ち主）と委託先の両方が報告の義務を負います。委託先が委託元にすみやかに状況を知らせた場合は、知らせを受けた委託元が報告します。任せていた作業の中身で変わるため、契約を確かめて専門家に相談してください。
データを暗号化していれば、報告しなくてよいのですか？
ガイドラインでは、漏れた個人データに高度な暗号化などの秘匿化がされているなど、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」がとられている場合は報告を要しないとされています。ただ、その措置が「高度な」ものに当たるかどうかは状況によって判断が分かれるため、自己判断で済ませず相談することをおすすめします。
参照元
- e-Gov法令検索：個人情報の保護に関する法律（第16条、第26条）（確認日：2026年11月6日）
- e-Gov法令検索：個人情報の保護に関する法律施行規則（第7条〜第10条）（確認日：2026年11月6日）
- 個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（通則編）（3-5 個人データの漏えい等の報告等。確認日：2026年11月6日）
- 個人情報保護委員会：漏えい等の対応とお役立ち資料（報告の期限、報告が必要な場合、報告フォーム、サイバー攻撃時の共通様式。確認日：2026年11月6日）
- 個人情報保護委員会：令和８年 改正個人情報保護法について（改正法の概要、今後の取組とロードマップ。確認日：2026年11月6日）
- 個人情報保護委員会事務局：ウェブサイトを運営している事業者の皆様への注意喚起（PDF）（確認日：2026年11月6日）
- WordPress.org：Flamingo（送信内容をサーバーのデータベースに保存する旨の説明。確認日：2026年11月6日）
- 最終確認日：2026年11月6日
URLを送るだけで、外から確認できる範囲で、フォームや管理画面まわりの危険度をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
