情報漏えいの報告期限は、社長でなく現場が気づいた日から始まる｜建設会社の連絡表

たとえば月曜の朝、現場の担当者が、作業員の健康診断の結果の一覧を、まちがえて別の会社へメールしたとします。担当者はその日のうちに気づき、課長に伝えました。社長の耳に入ったのは木曜でした。

国への速報の目安は、社長が知った日からではなく、社内のどこかの部署が知った時点から、概ね3〜5日です。木曜には、もう目安の終わりが近づいています。

この記事の結論は1つです。漏えいが起きたとき、誰が・誰へ・いつまでに連絡するかを、1枚の連絡表に先に決めておきます。元請に「事故のときはどうするのか」と聞かれても、その1枚で答えられます。

この記事は、社員10〜100人ほどの建設会社の社長に向けて書いています。元請や一次下請として工事を持ち、情報システムの担当はおらず、総務がかねている会社です。

監修: 代表取締役 佐藤 望（建設業界30年・建設業経理士1級／記事末に経歴）
最終確認日: 2026年11月8日（法令と国の資料は、この日にe-Govと個人情報保護委員会の原文で確かめました）

現場では、作業員名簿や健康診断の書類、図面を、元請や協力会社とやりとりしています。

速報の目安は3〜5日。数えはじめは「社長が知った日」ではない

個人情報保護法の第26条は、個人データの漏えいなどが起きたときの報告を定めています（e-Gov法令検索）。本人の権利や利益を害するおそれが大きいときは、個人情報保護委員会への報告と、本人への通知が要ります。

報告が要るのは、次の4つのどれかに当たるときです。起きたときだけでなく、起きたおそれがあるときもふくみます（同法施行規則第7条）。

号	当たるとき	例（委員会・ガイドラインの例）
1	要配慮個人情報がふくまれる	従業員の健康診断の結果
2	不正に使われると、お金の被害が出るおそれがある	―
3	不正の目的で行われたおそれがある	不正アクセス、ランサムウェア、従業者の持ち出し
4	本人の数が1,000人をこえる	―

（表: 施行規則第7条と、個人情報保護委員会「漏えい等の対応とお役立ち資料」・ガイドライン通則編の例から当社が作成）

1〜3には人数の条件がありません。健康診断の結果なら、1人分でも当たりえます（高度な暗号化をしていた場合などを除く）。

期限は2段です。施行規則第8条は、まず「速やかに」速報し、知った日から30日以内に確報するよう定めています。3に当たるときの確報は60日以内です。

30日も、部署が知った日を1日目として、土日・祝日も入れて数えます。30日目が休日なら、翌日が期限です（ガイドライン通則編3-5-3-4）。

「速やか」の日数は、委員会のガイドライン（通則編）に目安があります。知った時点から概ね3〜5日以内で、会社なら「いずれかの部署が知った時点」から数えます。速報は、そのときにわかっていることを書けば足ります。

報告の4分の3超は「紙だけ」。現場の書類も対象になる

サイバー攻撃の話だと思われがちですが、数字は少しちがいます。

個人情報保護委員会の令和7年度の年次報告によると、漏えい等の報告の処理件数は17,139件でした。期間は2025年4月〜2026年3月で、前年度は19,056件です。

要配慮個人情報をふくむものが61.9%で最も多く、1件あたりの人数は1,000人以下が93.6%でした。漏えい等した情報の形は、紙だけのものが76.9%です。この割合は、委員会に直接報告された13,345件のうち10,263件です。

現場事務所にある健康診断の書類も、同じ報告の対象になりえます。なお、件数は委員会が処理した数で、起きた数そのものではありません。建設業だけの件数は、年次報告には見当たりませんでした。

サイバー攻撃で工事が止まったときのお金の話は、建設業のサイバー攻撃の被害額と、保険で埋まらない所で書いています。

元請が求めることのうち、事故のときに効くのは3つ。責任者・誓約書・すぐ報告

元請の側からも条件が来ます。ゼネコンなどが加盟する日本建設業連合会（日建連）は、情報セキュリティのガイドラインを出しています。元請会社向けと協力会社向けの2つで、どちらも2026年9月に直されました。

元請向けのガイドラインには、元請が協力会社に求めることがならんでいます。法律ではありませんが、元請から何を求められるかの手本になります。ほかに情報や機器の管理も求められますが、この記事では事故のときに効く3つにしぼります。

元請が求めること	ガイドラインの書きぶり（要点）
1 責任者を出す	情報セキュリティの責任者と担当者を選ぶ。規模によって兼任も可。「情報についての安全衛生責任者」のようなもの
2 誓約書を出す	発注者に求められた守秘義務と同じ内容の機密保持。工事が終わった後も有効なもの
3 すぐ報告する	問題が起きたときの元請への報告と対処が、責任者の主な役目
（あわせて）点検に答える	情報セキュリティのチェックシートに答える。最低年1回が望ましい

（表: 日建連「元請会社における情報セキュリティガイドライン」3.2から当社が要約）

協力会社向けのガイドラインも、事故の発生源になったときは、元請と影響のある取引先へ迅速に連絡するよう書いています。二次以降の会社で漏えいが起きても、自社や元請が責任を問われることがある、とも書いています。

元請から個人データの取り扱いを任されている（委託されている）ときは、委託元への通知で足りる場合があります。委員会に出す9項目のうち、その時点でわかっていることを、速やかに委託元へ知らせます（施行規則第9条）。

そうすれば、委員会への報告と本人への通知が免除されます。通知の目安は、知った時点から概ね3〜5日以内です（ガイドライン通則編3-5-3-5・3-5-4-1）。

元請向けのガイドラインは、施工体制図に各社の情報セキュリティの責任者を書き添える方法も示しています。安全の責任者と同じように、名前で答えられる形にしておきます。

日建連のガイドラインも、現場ごとの条件は発注者との合意が優先されると書いています。自分の会社の契約書と誓約書を、1度読みなおしてください。

連絡の順番は3段。社内、元請、国と本人

ここまでを1枚の連絡表にまとめます。協力会社向けのガイドラインも「どう対応するか」「だれに連絡するか」「連絡ルート」を先に決めておくよう求めています。

段	だれが	だれへ	いつまでに
1 社内	気づいた人	情報セキュリティの責任者と社長	その場で
2 元請・取引先	責任者	元請の現場所長、影響のある取引先（委託元）	すぐに。委託元へは9項目のわかる分を概ね3〜5日
3 国	社長が決め、責任者が出す	個人情報保護委員会（報告）	速報 概ね3〜5日／確報 30日（不正60日）
3 本人	社長が決め、責任者が出す	漏えいした個人データの本人（通知）	状況に応じて速やかに

（表: 連絡表の一例。日建連 協力会社編・個人情報保護法施行規則第8条〜第10条・ガイドライン通則編をもとに当社が作成）

段1では、まず記録を始めます。いつ、だれが気づき、何が何人分か。速報はわかっている範囲で足りるので、すべてそろうのを待ちません。

委員会へ出す項目は、施行規則第8条に9つならんでいます。概要、漏えいした項目、本人の数、原因、二次被害、本人への対応、公表、再発防止、その他です。記録の欄をこの順にしておくと、そのまま速報にうつせます。

本人への通知は、委員会への報告の期限とは別です。施行規則第10条は「状況に応じて速やかに」としています。通知でかえって被害が広がるおそれがあるときなど、その時点では通知しなくてよい例も、ガイドラインに挙がっています。

段3の報告が要るかは、先の4つに当たるかで決まります。迷うときは、委員会の漏えい等の対応のページを見るか、弁護士に相談します。

ランサムウェアなどの攻撃なら、警察のサイバー事案の相談窓口や、IPAの情報セキュリティ安心相談窓口にも相談できます。日建連の協力会社向けのガイドラインが挙げている窓口です。

当社でも、パスワードなどを誤ってチャットに貼ったときの手順を4つに決めています。消す・無効にする・発行し直す・記録するの順で、全員が同じように動きます。順番を先に決めておくと、まよう時間がへります。

自社の連絡表に抜けがないかは、建設会社向け 情報漏えいの点検チェックリストを受け取るから確かめられます。

情報システムの担当がいなくても、責任者は兼務で置ける

社員10〜100人の会社で、専任の担当を置くのはむずかしいはずです。日建連の元請向けのガイドラインも、規模によっては責任者と担当者の兼任を認めています。

連絡表に書く名前は3つです。責任者（総務の兼務でよい）、責任者が休みの日の代わり、報告するかを決める社長です。代わりがいないと、連絡は責任者が出社するまで止まります。

手順の書き方は、IPAの中小企業の情報セキュリティ対策ガイドライン（第4.0版・2026年3月）が手本になります。付録8が「セキュリティインシデント対応の手引き」です。

退職した人のIDが残っていると、そこから入られることもあります。止め方は退職者・協力会社のID管理｜人が抜けた日に止める4つの手順に書きました。

アプリバンクの統合最適化メソッドの3つの軸で、することを並べます。

軸	何をするか	測るもの
人材育成	責任者と代わりの2人に、連絡表の使い方を教える。現場には送り出し教育で伝える	連絡表を説明できる人の数
DX推進	連絡表と、元請・取引先の連絡先を1か所に置き、だれでも開けるようにする	連絡先を直した日
収益改善	元請に聞かれたとき、その場で連絡表を見せ、取引を続けてもらう	元請の点検での指摘の数

2人が使い方を覚えれば、連絡先の直しもれがへります。直した連絡表が、そのまま元請への答えになります。3つの軸は、この順でつながります。

明日やることは1つです。連絡表を1枚書き、責任者と代わりの名前を入れてください。

よくある質問

Q. 漏えいかどうか、まだはっきりしないときも報告しますか
施行規則は、漏えいが「発生したおそれがある」ときも報告の対象にしています。はっきりするまで待たず、わかっている範囲で速報を出すつもりで動きます。

Q. 二次の協力会社で漏えいが起きたら、うちも関係しますか
日建連の協力会社向けのガイドラインは、二次以降の会社で起きても、自社や元請が責任を問われることがあると書いています。二次を置くときは元請の承認を得て、渡した情報を台帳で管理し、契約が終われば回収か廃棄をするよう求めています。

Q. 元請から、ガイドラインとちがう条件を求められたら
日建連の元請向けのガイドラインも、現場の条件や発注者との合意が優先されるとしています。求められた条件は契約書か誓約書で確かめ、守れない条件は契約の前に相談します。

連絡表のほかの点検も1度にすませたいときに使えます。建設会社向け 情報漏えいの点検チェックリストを受け取る

関連記事

• 建設業のサイバー攻撃の被害額と、保険で埋まらない所
• 退職者・協力会社のID管理｜人が抜けた日に止める4つの手順
• 現場の共有タブレット管理｜なくした日・人が辞めた日の手順
• 生成AIで現場の道具を内製｜建設会社が先に決める3つ
• AIエージェントの守り｜建設会社が入れて穴を塞ぐ4つ

出典一覧（取得日 2026-11-08）

• 個人情報の保護に関する法律 第26条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/415AC0000000057
• 個人情報の保護に関する法律施行規則 第7条・第8条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/428M60020000003
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正。3-5-3-3・3-5-3-4・3-5-3-5）: https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」: https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「令和7年度 年次報告」: https://www.ppc.go.jp/aboutus/report/annual_report_2025/
• 日本建設業連合会「元請会社における情報セキュリティガイドライン」（2026年9月修正。1.1・1.2・3.2）: https://www.nikkenren.com/publication/detail.html?ci=338
• 日本建設業連合会「協力会社における情報セキュリティ対策について」（2026年9月修正。3.1・3.3）: https://www.nikkenren.com/publication/detail.html?ci=371
• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日公開）: https://www.ipa.go.jp/security/guide/sme/about.html
• 警察庁「サイバー事案に関する相談窓口」: https://www.npa.go.jp/bureau/cyber/soudan.html
• IPA「情報セキュリティ安心相談窓口」: https://www.ipa.go.jp/security/anshin/

本記事は一般的な情報提供です。報告が要るかどうかの個別の判断は、個人情報保護委員会の相談窓口か弁護士に、元請との契約の中身は弁護士にご確認ください。

監修

監修：佐藤 望（株式会社アプリバンク 代表取締役）。建設業界30年。大手ゼネコンで国内の大規模プロジェクトを担当し、海外では子会社の立ち上げと経営再建に従事。

保有資格は認定ファシリティマネジャー／日商簿記1級／建設業経理士1級／第一種衛生管理者。日本内部監査協会 会員、東京商工会議所 会員。

株式会社アプリバンクは、経済産業省「DX認定事業者」（DX-2026-06-0021-01）。建設業に特化し、人材育成・DX推進・収益改善を統合した支援（統合最適化メソッド）を提供。お問い合わせは無料経営相談または TEL 03-6826-0180 へ。