近年、世界中でデータ漏えいの記録更新が相次いでおり、日本も例外ではありませんでした。しかし2025年度（令和7年度）、日本は3年連続で更新されていた漏えい等報告の過去最多数に歯止めがかかりました。個人情報保護委員会への法定漏えい等報告の処理件数は前年度比7.6％減の19,417件となり、報告が義務化された2022年以降で初めての減少となりました。民間部門の報告は10.1％減の17,139件です。ただし、楽観は禁物です。公的部門の漏えい等報告は16.8％増と、引き続き増加しています。
「データ漏えい」と聞くと、サイバー攻撃や電子データの世界を想起しがちですが、興味深いことに、日本の漏えい事案の大半は「紙」で発生しています。報告事案の76.9％は紙媒体のみで発生しており、電子媒体のみで発生した事案は15.0％にとどまります。主な発生原因は書類等の誤交付（45.5％）と誤送付（21.6％）です。病院や薬局の窓口で要配慮個人情報を含む書類を別の患者に手渡してしまう、クレジットカード関連の郵便物を誤送するといった事案が典型例です。一方、不正アクセスは報告全体の約9.5％、内部不正は1％未満にすぎません。
事案の多くは小規模ながら機微性の高いものでした。93.6％は漏えい等した対象者の数が1,000人以下であり、83.9％は顧客情報を、61.9％は医療情報などの要配慮個人情報を含むものでした（要配慮個人情報の漏えいは、報告義務の該当事由として最も多みられます）。このほか、不正アクセス等、不正の目的で行われたおそれのある事案が22.3％、財産的被害が生じるおそれのある事案が20.6％を占めました。
公的部門の状況も同様ですが、民間部門以上にアナログな傾向がみられます。人為的ミス（誤交付、誤送付、誤廃棄、紛失）が原因となった事案は、国の行政機関等では54.8％、地方公共団体では69.0％を占めました。また、紙媒体のみで発生した事案は、それぞれ60.9％、68.1％に達しています。
漏えい等した情報の内容をみると、要配慮個人情報を含む事案の割合は国の行政機関等で64.9％、地方公共団体で74.1％でした。また、漏えい等した本人の数が1,000人以下であった事案は、いずれも87％を超えており、多くは小規模ながら機微性の高い事案であったことがうかがえます。
公的部門における報告件数の増加は、主として地方公共団体において生じています。地方公共団体からの報告は前年度の1,730件から2,030件へ増加した一方、国の行政機関等からの報告は248件にとどまりました。
マイナンバー法違反またはそのおそれのある事案として392件が処理されました。うち同法第29条の4第1項に基づく法定報告は、行政機関等から7件（国3件・地方4件）、事業者から67件です。事業者の事案には、個人番号を含む従業員情報を保存するデータベースがサイバー攻撃により不正アクセスを受けたものなどが含まれます。このほか、立入検査は定期8件、地方公共団体に対する選択的検査38件、報告徴収が41件、指導・助言が83件が行われました。
委員会の報告書は、サイバー攻撃、すなわち外部の悪意ある主体による行為を直接の原因とする事案を、漏えいの主要な要因の一つとして指摘しています。
委員会が指導を行った不正アクセス事案において確認された代表的な原因は、次のとおりです。
もっとも、行政処分は引き続き限定的でした。2025年度に委員会が発出したのは、最も重い処分である命令1件と勧告2件であり、いずれも名簿業者に対するものです。命令は2025年5月の緊急命令で、提供先が特殊詐欺グループである可能性を認識しながら名簿の提供を続けていた業者に対して行われました。これは漏えい事案ではなく、個人情報保護法第19条（不適正な利用の禁止）違反の事案です。同社に対しては第三者提供に係る記録の作成義務違反についての勧告も併せて行われ、また、別の名簿業者に対しても同年9月に同様の趣旨の勧告が行われました。それでも、勧告1件・命令0件であった前年度と比べれば、執行は一歩前進したといえます。処分に至る手前の段階では、委員会は行政指導をを中心に対応しており、2025年度は事業者に対する指導・助言が455件、公的部門に対しては194件行われました。この中には、保険代理店を介して保険契約者の個人データを本人の同意なく他社と共有していた大手損害保険4社に対する、社名公表を伴う指導も含まれています。
https://www.enforcementtracker.com/statistics データ漏えい件数と制裁措置との間に生じている乖離は、日本に限ったことではありません。世界各国の規制当局は、いずれも調査リソースに制約を抱えているためです。
DLA Piperの2026年1月公表の調査によると、30のEEA加盟国・地域（英国はEU離脱後、独自のUK GDPR制度を運用）を対象とするGDPRの下で、直近1年間に組織から規制当局へ届け出られた個人データ漏えいは、1日当たり443件、年間では約16万2,000件に達し、前年から22％増加しました。2018年以降の累積届出件数は100万件に迫っています。
もっとも、日本の19,417件との単純比較には注意が必要です。その差の一部は、報告対象となる事案の定義の違いによるものです。GDPRでは、個人の権利および自由に対するリスクを生じさせる可能性のある個人データ漏えいについて、原則として72時間以内の届出が義務付けられています。一方、日本では、法律で定められた4つの類型に該当する場合に限り、報告義務が発生します。
また、人的ミスが主要な発生要因であるという傾向は、海外でも共通してみられます。英国情報コミッショナー事務局（ICO）の最新の四半期統計によると、報告されたインシデントの77％は「非サイバー」に分類されており、その主な原因は個人情報を誤った受信者に電子メールで送信したことでした。これは、日本で多くみられる「誤送付」と同種の事案であり、郵送ではなく電子メールによるものであった点が異なります。
制裁措置の状況については、その差はさらに顕著です。欧州の規制当局は2025年だけで約12億ユーロのGDPR違反に対する制裁金を科しており、このうち最大の案件はTikTokに対する5億3,000万ユーロの制裁です。2018年以降の累計制裁額は71億ユーロに達しています。これに対し、日本では命令1件、勧告2件が行われたものの、金銭的な制裁は科されていません。
一方で、この差は今後縮小する可能性があります。2026年4月7日に国会へ提出された個人情報保護法（APPI）改正案では、日本で初めてとなる課徴金制度の導入が盛り込まれています。
出典：
著者のご紹介
ウオリック・マセウス
ウオリック・マセウス(Warwick Matthews)
最高技術責任者 兼 最高データ責任者
複雑なグローバルデータ、多言語MDM、アイデンティティ解決、「データサプライチェーン」システムの設計、構築、管理において15年以上の専門知識を有し、最高クラスの新システムの構築やサードパーティプラットフォームの統合に従事。 また、最近では大手企業の同意・プライバシー体制の構築にも携わっている。
米国、カナダ、オーストラリア、日本でデータチームを率いた経験があり、 最近では、ロブロー・カンパニーズ・リミテッド（カナダ最大の小売グループ）および米国ナショナル・フットボール・リーグ（NFL）のアイデンティティ・データチームのリーダーとして従事。
アジア言語におけるビジネスIDデータ検証、言語間のヒューリスティック翻字解析、非構造化データのキュレーション、ビジネスから地理のIDデータ検証など、いくつかの分野における特許の共同保有者でもある。