報告の対象となる漏洩等（おそれを含む）を知ったときは、速報を知った時点から概ね3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）に、個人情報保護委員会に提出します。報告は、委員会のWebサイトの報告フォームから行います（権限が委任されている業種では所管官庁へ）。
報告が必要な4つのケース
| ケース | 例 |
|---|---|
| 要配慮個人情報 | 病歴・健康診断の結果などが漏れた（1人でも） |
| 財産的被害のおそれ | クレジットカード番号、ネットバンキングのID・パスワード（1人でも） |
| 不正の目的のおそれ | 不正アクセス、ランサムウェア、従業員による持ち出し（1人でも） |
| 1,000人を超える | 上記以外で、1,000人分を超える漏洩 |
確報までにまとめること
- 概要、漏洩した項目、本人の数
- 原因、二次被害のおそれ
- 本人への対応、公表の状況
- 再発防止策