「個人情報保護委員会って、具体的に何をしている組織なの？」「漏えいが起きたら必ず報告しなければいけないの？」――そんな疑問をお持ちではないでしょうか。個人情報保護委員会の役割は、個人情報保護法を所管し、民間企業や行政機関等による個人情報の取扱いを監視・監督することです。また、マイナンバー法に基づき、特定個人情報の適正な取扱いについても監視・監督を行っています。

2026年7月には個人情報保護法の改正法が成立・公布され、重大な違反行為に対して委員会が課徴金の納付を命じる制度が新たに盛り込まれました。改正法は一部を除き、公布から2年以内に政令で定める日から施行される予定です。

この記事では、次のポイントを順に解説します。

• 個人情報保護委員会の基本的な位置づけと組織
• 法律で定められた所掌事務と監督権限
• 漏えい等報告の義務と最新の報告件数
• 2026年改正で強化される委員会の役割
• 企業が取るべき対策と社内研修の進め方

個人情報保護委員会とは？基本的な位置づけ

内閣府の外局として設置された独立性の高い機関

個人情報保護委員会（英語略称：PPC）は、2016年1月1日に、特定個人情報保護委員会を改組して発足しました。内閣府設置法第49条第3項および個人情報保護法第130条に基づき設置された合議制の行政機関で、同法第133条により、委員長と委員は独立して職権を行使することが定められています。

組織構成と委員の任命

委員会は、委員長1名と委員8名の合計9名で構成されています。委員長と委員は、国会の同意を得て内閣総理大臣が任命し、任期は5年です。委員には、法律・情報処理技術・消費者保護・民間企業の実務などに通じた専門家が選ばれます。

項目	内容
設置	2016年1月1日（特定個人情報保護委員会を改組）
位置づけ	内閣府の外局（独立して職権を行使する合議制の機関）
構成	委員長1名＋委員8名（合計9名）
任命	国会の同意を得て内閣総理大臣が任命
根拠法令	個人情報保護法を所管。マイナンバー法（所管はデジタル庁）に基づく特定個人情報の監視・監督も担う
監督対象	民間事業者、国の行政機関、独立行政法人、地方公共団体等

委員会の業務内容は、個人情報保護委員会の公式サイト「個人情報保護委員会について」で確認できます。

個人情報保護委員会の役割と所掌事務

法律が定める任務

個人情報保護法第131条は、委員会の任務を「個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること」などと定めています。つまり、個人情報保護委員会の役割は「守る」だけでなく、データの利活用とのバランスを取ることにもあるのです。

主な所掌事務の一覧

第132条などに基づく主な事務は次のとおりです。

1. 個人情報保護に関する基本方針の策定・推進
2. 民間事業者に対する監督、行政機関等に対する監視
3. 苦情の申出に関するあっせん等
4. 認定個人情報保護団体に関する事務
5. 特定個人情報（マイナンバーを含む個人情報）の取扱いの監視・監督
6. 特定個人情報保護評価に関する事務
7. 広報・啓発、調査・研究、国際協力

2022年4月以降は国の行政機関や独立行政法人、2023年4月以降は地方公共団体にも個人情報保護法が適用され、官民を一元的に監督する体制へと移行しました。

個人情報保護委員会が持つ監督権限

民間事業者に対する段階的な措置

民間の個人情報取扱事業者等に対して、委員会は報告徴収・立入検査、指導・助言、勧告、命令などの権限を持っています。なお、行政機関等に対する監視については、別途、資料提出の要求や実地調査、勧告などの仕組みが設けられています（詳しくはガイドライン（行政機関等編）を参照）。

権限（民間事業者向け）	内容	違反した場合
報告徴収・立入検査	資料の提出を求めたり、事業所に立ち入って検査したりする	50万円以下の罰金
指導・助言	適切な取扱いに向けて指導・助言を行う	―
勧告	違反行為の中止や是正措置を勧告する	正当な理由なく従わない場合は命令へ
命令・緊急命令	勧告に従わない場合や、重大な権利侵害が差し迫る場合に命令する	1年以下の拘禁刑または100万円以下の罰金（法人は1億円以下の罰金）

命令に違反した場合は、その旨が公表されることもあります。実際に、特殊詐欺につながる可能性を認識しながら名簿を提供した事業者に対し、2025年に緊急命令や勧告が出されています。

マイナンバーに関する監視・監督

マイナンバー法に基づき、委員会は特定個人情報の取扱いについても監視・監督を行います。2024年7月には、埼玉県熊谷市とその委託先事業者等に対し、同法に基づく行政上の対応を行ったことが報道発表資料で公表されています。

漏えい等報告と個人情報保護委員会の役割

報告が義務となるケース

2022年4月の改正法施行により、一定の漏えい等が発生した場合、または発生した「おそれ」がある場合の委員会への報告と本人への通知が義務化されました。民間事業者の主な対象は次のとおりです。

• 要配慮個人情報（病歴や犯罪歴など、特に配慮が必要な情報）の漏えい等
• クレジットカード番号など、財産的被害のおそれがある漏えい等
• 不正アクセスなど、不正の目的によるおそれがある漏えい等
• 1,000人を超える本人の個人データの漏えい等（行政機関等では100人超）

報告は、発覚から速やか（おおむね3〜5日以内）に行う「速報」と、原則30日以内（不正目的の場合は60日以内）に行う「確報」の2段階です。本人への通知が困難な場合は、代替措置も認められています。詳しくは漏えい等の対応とお役立ち資料を確認しましょう。

最新データで見る漏えい等報告の推移

では、実際にどのくらいの報告が寄せられているのでしょうか。

年度	民間事業者等の漏えい等報告の処理件数	備考
令和5年度（2023年度）	12,120件	―
令和6年度（2024年度）	19,056件	過去最多
令和7年度（2025年度）	17,139件	官民合計では19,417件

令和6年度の増加には、人事労務システムを提供する事業者へのランサムウェア攻撃に関連し、多数の委託元から寄せられた2,745件の報告が含まれています。処理件数の増加が、そのまま独立した事故の増加を意味するわけではない点に注意しましょう。

また、令和7年度に委員会が直接受け付けた報告では、「紙媒体のみ」の事案が76.9％を占めました。これは情報の形態別の割合ですが、デジタル対策だけでなく、紙の誤送付・誤交付への対策も重要であることがうかがえます。最新の数値は令和7年度年次報告で確認できます。

2026年改正で個人情報保護委員会の役割はどう変わる？

課徴金制度の導入

改正法は2026年7月10日に成立し、7月17日に公布されました。大きな変更点は、違法な取扱い等によって財産上の利益を得た事業者に対し、委員会が課徴金の納付を命じる制度の新設です。対象は、大量の個人情報を扱う経済的誘因のある悪質な違反行為などで、違反すれば一律に課されるものではありません。政令・規則の整備状況は、令和8年 改正個人情報保護法についてで随時公表されています。

データ利活用と保護の両立

統計情報等の作成のみに利用されることが担保されている場合に、一定の条件のもとで本人同意を不要とする特例も設けられました。統計作成等と整理できるAI開発なども対象となり得ます。顔特徴データなどへの新たな規律や、16歳未満の子どもの情報保護の強化も盛り込まれています。

個人情報漏えいを防ぐために企業内研修が重要な理由

漏えいの多くは「人」の行動から起きる

誤送付や紛失といったミスは、どれほど高度なシステムを導入しても、従業員一人ひとりの意識が伴わなければ防げません。あなたの会社では、全従業員が「どの情報が個人情報にあたるのか」「漏えいに気づいたら誰に報告するのか」を即答できるでしょうか？

企業内研修の徹底で「行動」を変える

アクセス権限の管理や委託先管理などの対策と組み合わせたうえで、企業内研修を徹底することが、人為的な漏えいを減らす解決の鍵になります。期待できる効果は次のとおりです。

• 個人情報保護法の基本ルールと個人情報保護委員会の役割を全社員が共有できる
• 誤送付・紛失を防ぐダブルチェックなどの手順が現場に定着する
• 漏えい時の初動対応と社内報告ルートが明確になり、速報期限に間に合う
• 2026年改正による課徴金制度など、最新の法改正に対応できる

全社向けの基礎研修に加え、個人情報を多く扱う部署向けの実践研修や、実際の事例を題材にしたケーススタディを年1回以上実施すれば、組織全体の対応力が着実に高まります。

まとめ：個人情報保護委員会の役割を理解し、今日から対策を

個人情報保護委員会の役割は、個人情報保護法を所管し、官民の個人情報の取扱いを監視・監督すること、そしてマイナンバー法に基づき特定個人情報の取扱いも監視・監督することです。

• 委員会は委員長と委員8名で構成される、独立性の高い行政機関
• 民間事業者には、報告徴収・立入検査から勧告・命令まで段階的な権限を持つ
• 一定の漏えい等（おそれを含む）が起きた場合は、委員会への報告と本人通知が義務
• 民間の漏えい等報告の処理件数は年間1万7千件を超える
• 2026年改正で課徴金制度の新設が決まり、施行に向けた準備が進む

まずは自社の取扱いルールと報告体制を見直し、全従業員を対象とした企業内研修の計画を立てることから始めてみませんか？ 改正法の施行まで、準備に使える時間は限られています。