第１ 本記事の対象と結論
１ 対象
令和８年１０月，Webサイト作成サービス「Studio」の運営会社（以下「Studio社」という。）は，同社が利用するクラウド環境への不正アクセスにより，同サービスで作られたサイトのフォームに送信された内容が外部に流出した可能性があると公表した。
フォームで問い合わせ，予約，採用応募等を受け付けていた事業者は，送信者への本人通知を検討することになるが，送信者の中には，殺害予告を送ってきた者や，営業メールを繰り返し送ってきた者も含まれ得る。
本記事は，このような送り主にも個人情報保護法２６条２項の本人通知が必要か，通知することが危険なときにどう扱うかを，条文，個人情報保護委員会の通則編ガイドライン及びQ&A並びにStudio社の公表資料に沿って整理する。
特定の事業者に通知義務があるかどうかを判断するものではない。
２ 結論
① 送信の目的や内容が営業やスパムであることだけを理由に，本人通知の対象外とすることはできない。
氏名やメールアドレス等によって特定の個人を識別できる回答であれば，原則として通知の対象になる。
② 法２６条２項ただし書の「本人への通知が困難な場合」について，通則編ガイドラインが挙げる例は，連絡先が含まれていない場合と，連絡先が古いために連絡できない場合である。
通則編ガイドライン及びQ&Aで「通知が困難」に触れる箇所には，通知すると事業者側に危害が及ぶおそれがある場合を「困難」に当たるとした記載は見当たらない。
③ 危険な相手への通知は，まず通知の時期と方法で調整する。
施行規則１０条は「当該事態の状況に応じて速やかに」通知するとしており，警察への相談，通知の名義，通知事項の範囲を検討したうえで通知する方法がある。
④ それでも直接の通知が危険な場合に，「困難」と整理して公表等の代替措置で対応する考え方もあるが，明文の裏付けがないので，危険の根拠と判断の経過を記録しておく必要がある。
⑤ 委託元が国の行政機関や地方公共団体の機関である場合は，法６８条２項が適用され，民間事業者とは例外の定め方が異なる。
⑥ 令和８年改正法の施行後も，「本人への通知が困難な場合」の枠組みは維持され，これに加えて，本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合にも代替措置によることができるようになる。
３ 基準日と資料
本記事は，令和８年１０月２５日時点で，e-Gov法令検索で取得した個人情報保護法及び同法施行規則の現行条文，個人情報保護委員会の通則編ガイドライン（令和８年６月一部改正）及びQ&A（令和７年７月１日更新）に基づく。
Studio社の対応は，同社の「Studioにおける不正アクセスに関するご案内」の令和８年１０月２０日１２時３０分の更新までの記載による。
同社の調査は続いており，今後の続報によって事実関係が変わる可能性がある。
第２ Studio事案で公表されていること
１ 不正アクセスと流出のおそれがある情報
Studio社の案内によれば，令和８年９月３０日から１０月１日にかけて，第三者が同サービスの一部機能の脆弱性を悪用して不正にアクセスし，環境内のデータを外部から取得できる状態にしており，この状態は同月１４日に同社が対処するまで続いた。
同社は，実際に第三者に取得された事実は確認できていないが，取得されたものとみなして対応を進めているとしている。
流出した可能性がある情報には，同サービスの利用者のアカウント情報のほか，各サイトのフォームに送信された内容が含まれる。
暗号化して保存していたものについても，復号に必要な鍵が同じ不正アクセスで読み出されたため，内容を知られた可能性があるとされている。
フォームに添付されたファイルは，ファイル名だけが対象とされている。
２ サイト運営者とStudio社の関係
同社は，フォームの送信内容について，「弊社は、運営者からの委託を受けて、送信内容の保管などを行っています。」と説明している。
この説明によれば，送信者の個人情報を取得し，その利用目的を決めているのは各サイトの運営者であり，Studio社はその保管等を受託している立場である。
同社は，令和８年１０月１７日にフォーム機能の利用者へ個人情報保護委員会への報告の保留を依頼した後，同月２０日，同委員会と協議した結果として，運営者が個別に報告するか，同社が取りまとめて運営者と同社の連名で報告するかを選べると案内した。
同委員会と協議の上決定した方法で連名報告をした場合については，「本件事案に限り、速報の目安の期間を超過した場合でも報告遅延としては取り扱わないこととなりました。」としているが，これは同社の案内による説明である。
また，同社は，連名報告に含まれるのは個人情報保護委員会への報告だけであり，サイトの利用者への通知は含まれないとしている。
３ 本人通知についての同社の案内
同社は，令和８年１０月１９日，営業目的やスパムの送信，安全上の懸念がある内容を含む回答について，本人への通知が必要かという問いへの回答を追加した。
その回答は，「送信の目的や内容だけを理由に、通知の対象外とすることはできません。」とし，氏名やメールアドレス等の特定の個人を識別できる情報が含まれる場合は原則として本人への通知が必要であるとする。
他方，機械的に送信された意味のない文字列だけの回答等，特定の個人を識別できない場合は，そもそも通知の対象にならないことがあるとする。
同じ回答は，連絡先が含まれていない，又は連絡がつかない等通知が困難な場合は公表等の代わりの措置で対応できるとし，「殺害予告など安全上の懸念がある場合は、通知の方法や時期について、弁護士等の専門家や警察にご相談ください。」としている。
また，同社は，サイトの利用者への通知が義務かという別の問いへの回答に置いた確認項目について，参考情報であり，通知の要否・内容・方法は各運営者が法令・ガイドラインと利用状況を踏まえて判断するよう求めている。
第３ 本人通知が必要になる場面
１ 報告対象事態と本人通知
個人情報保護法２６条１項は，個人データの漏えい，滅失，毀損その他の個人データの安全の確保に係る事態であって，個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときに，個人情報保護委員会への報告を義務付けている。
同条２項本文は，その場合に，個人情報取扱事業者が本人に対し，当該事態が生じた旨を通知しなければならないとしている。
施行規則７条は，報告対象となる事態として，①要配慮個人情報が含まれる個人データの漏えい等，②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等，③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（事業者が取得し，又は取得しようとしている個人情報であって，個人データとして取り扱われることが予定されているものを含む。）の漏えい等，④本人の数が千人を超える漏えい等（いずれも発生したおそれがある事態を含む。）を定めている。
不正アクセスによる漏えいのおそれは③に当たり得るので，本人の数が千人を超えなくても，対象者が１人であっても，報告と本人通知の対象となり得る。
同条は，高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データを対象から除いているが，Studio社は，暗号化して保存していた送信内容についても，復号に必要な鍵が読み出されたとしている。
通則編ガイドライン３－５－３－１は，③の行為の相手方に，事業者が個人データを取り扱うに当たって利用している第三者のサービスの提供者も含まれるとしている（同ガイドライン６１頁）。
個人情報保護委員会は，漏えい等報告及び本人通知の義務化を説明するマンガ形式の動画（令和４年３月時点の内容）を，令和６年９月１０日に公開している。
２ フォームの回答は個人データか
本人通知の対象は，個人データの漏えい等である。
Studio社の案内は，氏名や連絡先等の個人を特定できる情報を含む回答が同社のダッシュボードに保存されている場合は，運営者が別に一覧を作っていなくても，通常は個人データに当たると考えられるとしている。
送信者が氏名を書かず，自由記述欄にも氏名等が書かれていない回答や，意味のない文字列だけの回答は，特定の個人を識別できるかを個別に確かめる。
通則編ガイドライン２－１は，メールアドレスだけの情報であっても，特定の個人を識別できるメールアドレスは個人情報に当たる例として挙げている（同ガイドライン５頁）。
３ 委託先やクラウド事業者が関わる場合
個人データの取扱いを委託している場合について，通則編ガイドライン３－５－３－２は，委託元と委託先の双方が報告対象事態に該当するときは，原則として双方が報告義務を負い，「この場合、委託元及び委託先の連名で報告することができる。」としている（同ガイドライン６３頁）。
委託先が，報告義務を負う委託元に施行規則９条の通知をしたときは，委託先は報告義務を免れ（法２６条１項ただし書），本人への通知義務も負わない（同条２項括弧書）。
これに対し，クラウド事業者が個人データを取り扱わないこととなっている場合は，委託に当たらず（Q&A７－５３），報告義務は利用者が負う（Q&A６－２２）。
Studio社は委託を受けて保管していると説明しているが，各運営者は，自社の契約と実際のアクセスの状況から，どちらの型に当たるかを確かめておく必要がある。
委託先で漏えい等が起きた場合の委託元の対応は「外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督」で，クラウド事業者が被害を受けた場合の利用者の義務は「クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ」で扱っている。
第４ 送り主の目的や内容で通知の対象外にできるか
１ 営業メールやスパムの送り主
法２６条２項本文は，報告対象事態が生じたときに「本人に対し」通知することを求めており，通知の相手方を送信の目的や内容で限定していない。
営業目的の問い合わせや，繰り返し送られてくる迷惑な送信であっても，特定の個人を識別できる個人データとして保存されていれば，その送信者も漏えい等に係る本人であり，原則として通知の対象になる。
通知の手間が大きいことや，送信者と取引をする意思がないことは，通則編ガイドラインが挙げる「困難」の例に当たらず，それだけで通知を省くことはできないと考えられる。
２ 法人の担当者が送信した場合
営業目的の送信は，法人の担当者が会社の名義で送ってくることがある。
通則編ガイドライン２－１は，法人等の団体そのものに関する情報は個人情報に当たらないとする一方，役員や従業員等に関する情報は個人情報に当たるとしている（同ガイドライン６頁）。
送信された回答に担当者の氏名や個人のメールアドレスが含まれていれば，その担当者を本人として通知の要否を検討する。
第５ 危険な相手への通知と「本人への通知が困難な場合」
１ 条文とガイドラインの例
法２６条２項ただし書は，「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。」と定めている。
通則編ガイドライン３－５－４－５は，本人への通知が困難な場合に該当する事例として，「保有する個人データの中に本人の連絡先が含まれていない場合」と「連絡先が古いために通知を行う時点で本人へ連絡できない場合」を挙げている（同ガイドライン７０頁）。
Q&A６－３０は，本人の連絡先を複数保有している場合には，１つの手段で連絡ができなかったとしても，直ちに「本人への通知が困難である場合」に該当するものではないとしている。
これらの例は，いずれも通知が本人に届かない場面であり，通知すると事業者やその従業者に危害が及ぶおそれがある場面を挙げたものではない。
２ 他の規定との比較
個人情報保護法には，通知や公表によって危害が及ぶおそれがある場合について，明文で手当てをした規定がある。
法２１条４項１号は，利用目的を本人に通知し，又は公表することにより「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」には，取得に際しての利用目的の通知等の規定を適用しないとしている。
行政機関の長等（法６３条）の漏えい等の本人通知を定める法６８条２項は，１号で通知が困難な場合の代替措置を定めるほか，２号で，保有個人情報に法７８条１項各号の不開示情報が含まれるときにも通知を要しないとしている。
これに対し，民間事業者に適用される法２６条２項ただし書には，通知が困難な場合の代替措置のほかに例外が定められていない。
同項本文の括弧書は，委託元に通知をした委託先を通知義務者から除くものであり，通知の相手方についての例外ではない。
そのため，民間事業者が危険な相手への個別の通知を控えようとする場合は，同項ただし書の「本人への通知が困難な場合」に当たるかという解釈の問題になる。
第三者提供の制限では，通則編ガイドライン３－６－１が参照する３－１－５の事例として，事業者間で暴力団等の反社会的勢力の情報や意図的に業務妨害を行う者の情報を共有する場合が挙げられており，これは法２７条１項２号（人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき）の例である（同ガイドライン３７頁～３８頁，７３頁）。
本人の関与を求めることが不適当な相手について，法が配慮している例ではあるが，同号は同意を得ることの困難を要件とする別の規定であり，その解釈をそのまま法２６条２項に持ち込めるわけではない。
３ 身の危険を「困難」と整理する見解
弁護士の中には，直接に連絡すると事業者側に被害が及ぶおそれがあるのであれば，「本人への通知が困難な場合」と整理し，代替措置としてサイトでの公表で対応してよいとする見解を示す者もいる（出典欄の第１０の３②）。
「困難」の文言は，物理的に連絡できない場合に限ると書かれているわけではなく，ガイドラインの事例も「該当する事例」として挙げられたものであるから，実質的に通知できない状況を含めて解釈する余地はある。
もっとも，通則編ガイドライン及びQ&Aで「通知が困難」に触れる箇所にも，この解釈を示した記載は見当たらず，Q&A６－３０は，「困難」を広げる方向ではなく，複数の連絡手段を尽くすことを求める方向の説明をしている。
そのため，この整理は，次の４で述べる時期と方法の調整を検討しても，なお直接の通知が危険な場合に限って用いるべきものと考えられる。
４ 先に検討すべき通知の時期と方法
施行規則１０条は，本人への通知について，「当該事態の状況に応じて速やかに」，本人の権利利益を保護するために必要な範囲において，概要，個人データの項目，原因，二次被害又はそのおそれの有無及びその内容並びにその他参考となる事項を通知するとしている。
通則編ガイドライン３－５－４－２は，通知の時点を，本人への通知を行うことで生じる弊害等を勘案して判断するとし，その時点で通知を行う必要があるとはいえないと考えられる事例として，掲示板等にアップロードされた個人データの削除依頼等の初期対応が完了しておらず，本人に通知することで「かえって被害が拡大するおそれがある場合」等を挙げつつ，「当該事態の状況に応じて速やかに」通知を行うべきことに変わりはないとしている（同ガイドライン６８頁～６９頁）。
危険な相手への通知では，次のような工夫により，通知そのものは行いつつ危険を抑えることが考えられる。
① 殺害予告等を受けている場合は，通知の前に警察に相談し，相談した日時と内容を記録する。
② 担当者個人の氏名や直通の連絡先ではなく，会社の代表の連絡先や，委任を受けた弁護士の名義で通知する。
③ 通知事項を施行規則１０条の範囲に絞り，相手とのやり取りを促す記載を必要以上に設けない。
④ 問合せの窓口は，担当者が相手と直接やり取りしなくて済む形式にする。
通知の時期と通知事項の範囲の考え方は施行規則１０条と通則編ガイドライン３－５－４－２・３－５－４－３（同ガイドライン６８頁～６９頁）に基づくが，①②④は通則編ガイドライン及びQ&Aに示された方法ではなく，同条の「状況に応じて」「必要な範囲において」の枠内で通知の方法を工夫する例である。
５ 「困難」と整理するときの記録
時期と方法を工夫しても直接の通知が危険と判断し，「困難」と整理して代替措置をとる場合には，後に説明を求められたときに備え，判断の根拠を残しておく必要がある。
具体的には，危険の根拠となった送信の内容と日時，警察への相談の有無と内容，検討した通知の方法とそれを採らなかった理由，代替措置として行った公表の場所と日時を記録しておくことが考えられる。
施行規則８条１項６号は「本人への対応の実施状況」を個人情報保護委員会への報告事項としているので，報告の際にも，個別の通知をしなかった本人がいることと，その理由及び代替措置を記載することが考えられる。
第６ 代替措置としての公表
１ 代替措置の例
通則編ガイドライン３－５－４－５は，代替措置に該当する事例として，事案の公表と，「問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること」を挙げている（同ガイドライン７０頁）。
問合せ窓口には，常設している個人情報の取扱いに関する相談窓口を利用することもできる（Q&A６－３１）。
漏えい等の事案の公表は，本人への通知の代替措置として行う場合を除いて義務ではないが，事案の内容等に応じて公表することが望ましいとされている（Q&A６－３３）。
２ どこに何を公表するか
通則編ガイドライン２－１５は，「公表」を「広く一般に自己の意思を知らせること」とし，事業の性質及び個人情報の取扱状況に応じ，合理的かつ適切な方法によらなければならないとして，「自社のホームページのトップページから1回程度の操作で到達できる場所への掲載」等を例に挙げている（同ガイドライン２７頁）。
フォームの送信者に向けた公表であれば，送信者が実際に利用した，そのフォームのあるサイトに掲載するのが，送信者の目に触れやすい方法の一つと考えられる。
公表の内容は，本人へ通知すべき内容を基本としつつ，特定の個人が識別されるおそれがある事項は公表しないようにすることが考えられる（Q&A６－３２）。
殺害予告等を理由に個別の通知を控えた場合も，公表の文面に，その相手を推知させる記載をしないよう注意する。
第７ 委託元が行政機関等である場合
国の行政機関や地方公共団体の機関が，外部のサービスでイベントの申込みや問い合わせを受け付けていた場合，その情報が当該機関の保有個人情報に当たるときは，漏えい等の本人通知に法２６条ではなく法６８条が適用される。
法６８条２項は，ただし書の２号で，「当該保有個人情報に第七十八条第一項各号に掲げる情報のいずれかが含まれるとき」にも本人通知を要しないとしている。
法７８条１項は，開示請求者の生命，健康，生活又は財産を害するおそれがある情報（同項１号）や，開示請求者以外の個人に関する情報（同項２号）等を不開示情報として列挙しており，本人通知の場面でこれらをどう当てはめるかは個別の検討を要する。
同項１号・２号は本人や他の個人の権利利益を守るための号であり，職員に危害が及ぶおそれがあることそのものを定めた号ではないが，行政機関等の場合は，民間事業者よりも明文で例外を検討できる場面があり，どの号に当たるかは個別に確かめる必要がある。
地方公共団体の機関については，法７８条２項による読替えもある。
第８ 令和８年改正法の施行後
令和８年７月１７日に公布された個人情報保護法等の改正法により，法２６条２項ただし書は，「本人への通知が困難な場合又は本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。」と改められる。
個人情報保護委員会が公表した法律案要綱は，この改正を，本人への通知が困難な場合に加えて，本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合も，代替措置をとることができるものとする趣旨と説明しており，この説明によれば，「困難」の場合の扱いは変わらない。
法６８条２項１号も同じ趣旨で改められる。
新たに加わる類型は，本人の権利利益の保護に欠けるおそれが少ない場合であり，通知すると事業者側に危険が及ぶという事情は，これとは別の問題である。
e-Gov法令検索は，この改正後の規定を「公布の日から起算して二年を超えない範囲内において政令で定める日」に施行される未施行の版として収録しており，新たな類型の具体的な内容は委員会規則で定められるので，現在の事故対応は現行の法２６条２項により判断する。
令和８年改正法への社内規程の対応は，「令和８年改正個人情報保護法に基づき，民間企業の個人情報保護規程で対応が必要な事項」で扱っている。
第９ 関連記事
①外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督
②クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ
③タイムズカー約６６０万アカウントの個人情報漏えいから考える本人通知―退会者・入会未完了者・法人会員の登録運転者
④脆弱なPHPを使っていただけで漏えい等報告は必要か―PHP2Shellと個人情報保護法２６条，施行規則７条３号の「おそれ」及び本人通知
⑤個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額
第１０ 出典
１ 法令
①個人情報の保護に関する法律２１条，２６条，２７条，６３条，６８条，７８条（e-Gov法令検索で令和８年１０月２５日に確認）
②個人情報の保護に関する法律施行規則７条から１０条まで（同日に確認）
③令和８年改正後の個人情報の保護に関する法律２６条２項，６８条２項（e-Gov法令検索の未施行の改正後版で同日に確認）
④個人情報保護委員会「「個人情報の保護に関する法律等の一部を改正する法律」の公布について」（令和８年７月１７日）
２ 個人情報保護委員会の資料
①個人情報の保護に関する法律についてのガイドライン（通則編）（令和８年６月一部改正版PDF）２－１，２－１５，３－１－５，３－５－３－１，３－５－３－２，３－５－４－２，３－５－４－３，３－５－４－５，３－６－１
②「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ（令和７年７月１日更新）Q６－２２，Q６－３０，Q６－３１，Q６－３２，Q６－３３，Q７－５３
③個人情報の保護に関する法律等の一部を改正する法律案要綱
④個人情報保護委員会「マンガで学ぶ令和2年改正個人情報保護法「漏えい等報告・本人通知」編」（YouTube，令和６年９月１０日公開）https://www.youtube.com/watch?v=xbskQPWIcXA
３ 事業者の公表資料等
①Studio Inc.「Studioにおける不正アクセスに関するご案内」（令和８年１０月２０日１２時３０分最終更新，同月２５日確認）
②足立昌聰弁護士のX投稿（令和８年１０月１９日）https://x.com/MasatoshiAdachi/status/2112022719332303145