日本個資外洩後要通知本人與委託方嗎？通知本人寫 5 項、通知委託方寫 9 項，2026 年修法放寬尚未施行

外洩事態是否要向個人情報保護委員會報告，已有現網文章整理；本文只談報告義務成立之後的另一半：對客戶或員工「本人」要通知什麼、何時通知，以及自己是受託方時改向委託方通知的做法。依 e-Gov 的個人情報保護法、施行規則與個人情報保護委員會 2026 年 7 月 17 日的公布資料整理，查證日 2026-11-01；個案請洽日本律師，本文不判斷任何具體事故。報告義務本身（4 種必報事態、速報與確報期限）見日本個資法對台灣業者的 3 個重點：日本子公司傳資料回台灣要同意、外洩超過 1,000 人須報告、30 日內提確報。

條文：第 26 條第 2 項的通知本人

個人情報保護法第 26 條第 1 項是向委員會報告；第 2 項接著規定：發生第 1 項的事態時，個人情報取扱事業者（已依第 1 項但書通知委託方的人除外），要依委員會規則「當該事態が生じた旨」通知本人。例外只有一個：本人通知困難，且採取了保護本人權益所必要的替代措施時，不在此限。

這是兩條不同的線：報告是向行政機關，通知本人是向資料主體；報告義務成立時，原則上通知本人的義務也跟著成立，不看本人有多少人。

施行規則第 10 條：通知本人要寫哪 5 項、何時通知

施行規則第 10 條：依第 26 條第 2 項本文通知本人時，要在知道第 7 條各款事態之後，「當該事態の状況に応じて速やかに」，在保護該本人權益所必要的範圍內，通知第 8 條第 1 項第 1、2、4、5、9 款所列事項，共 5 項：

1. 概要。
2. 外洩等發生或可能發生的個人資料項目。
3. 原因。
4. 二次被害或其可能性的有無與內容。
5. 其他有助於本人的參考事項。

和向委員會報告的 9 項相比，通知本人省略了本人人數、對本人的對應狀況、公表狀況與再發防止措施（第 3、6、7、8 款）。條文用語是「必要な範囲において」，所以通知內容以保護本人權益所需為限。通知時點與報告的「速やかに」相同，但規則特別寫「事態の状況に応じて」。

自己是受託方：改通知委託方，可不必自己報告與通知本人

第 26 條第 1 項但書：受他人委託處理個人資料的事業者，依規則向委託的事業者通知事態時，不必自己向委員會報告；第 2 項又把這類已通知委託方的人，排除在通知本人的義務之外。施行規則第 9 條規定，要在知道第 7 條各款事態之後「速やかに」，向委託方通知第 8 條第 1 項各款事項，也就是報告用的 9 項，限於通知當時已掌握的內容（施行規則第 8 條第 1 項括弧）：概要、外洩等的個資項目、本人人數、原因、二次被害有無、對本人的對應狀況、公表狀況、再發防止措施、其他參考事項。

所以對外包商、雲端或客服公司來說，通知委託方要寫的內容比通知本人多；通知完成後，是否向委員會報告與通知本人，由委託方依自己的義務處理。

報告對象：不一定是個資保護委員會

施行規則第 8 條第 3 項：向委員會報告以線上系統方式提出；但依法第 150 條第 1 項，第 26 條第 1 項的權限被委任給「事業所管大臣」時，向該大臣以別記樣式第 1 的報告書提出。也就是說，所屬行業的主管大臣若被委任受理，報告對象就不是委員會；確認方式請看委員會網站「権限の委任」頁面與所管省廳的公告。

2026 年修法：本人通知將放寬，尚未施行

個人情報保護委員會 2026 年 7 月 17 日公告：「個人情報の保護に関する法律等の一部を改正する法律」在 2026 年 7 月 10 日的國會可決、成立，並於 7 月 17 日公布；除一部外，自公布日起 2 年內由政令所定日施行。委員會表示將研議政令、委員會規則與指引。

同日公布的修法概要寫明，與外洩等相關的一項修正是：「漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する。(第26条第２項)」。施行日尚未定，哪些情形屬於「欠けるおそれが少ない」，也待後續政令與委員會規則，因此本文講的第 26 條第 2 項與施行規則第 10 條，仍是現行規定。

算例（本站假設，非官方範例）

假設日本公司的會員電子報誤把 12,000 名會員的信箱填成 CC 寄出，若屬施行規則第 7 條第 4 款（本人超過 1,000 人），公司要先向委員會速報，再於知悉日起 30 日內確報；同時要向 12,000 名本人通知：概要、外洩的資料項目（信箱）、原因（BCC 誤填為 CC）、二次被害的可能（例如詐騙信）與參考事項共 5 項。若公司其實是電子報代發公司，受客戶（委託方）委託寄信，則先向客戶通知 9 項，客戶再依自己的義務處理。這個算例只示範通知內容的差別，不代表任何個案結論。

怎麼做

1. 事故發生當天就先判斷：我是自己蒐集資料的事業者，還是受他人委託處理資料的受託方。
2. 自己是事業者：報告與通知本人並行準備，通知本人的範本只寫 5 項（概要、資料項目、原因、二次被害有無、參考事項）。
3. 自己是受託方：先向委託方通知 9 項（以當時已掌握者為限）；通知後是否仍要自己報告，依委託契約與條文判斷。
4. 本人通知有困難時（例如沒有聯絡方式），先設計替代措施（本站舉例：在官網公告與設置諮詢窗口，非官方範例），並保存紀錄。
5. 要把資料交給海外團隊或委外時的規則，見日本公司把客戶資料交給台灣團隊或外包後，要持續做什麼？施行規則第 18 條的定期確認、停止提供與本人可求的 7 項資訊，委外前先在契約寫好通知方式。
6. 外洩的若是員工資料，名冊、薪資台帳與出勤紀錄的保存規則另見日本勞工名冊、薪資台帳、出勤紀錄的保存：勞基法寫 5 年，附則「當分の間」3 年，起算日各不同，違反罰 30 萬円以下，事故紀錄與員工資料紀錄要分開管理。

容易踩雷

• 只向委員會報告、不通知本人：第 26 條第 2 項原則上要通知本人。
• 通知本人時照抄 9 項報告：規則只要求 5 項，且限於保護本人權益所需範圍。
• 受託方以為通知了委託方就沒事：規則要求通知第 8 條第 1 項各款事項（限通知時已掌握者），且是「速やかに」。
• 把 2026 年修法當成已生效：施行日待政令，公布日起 2 年內。

常見問題

向委員會報告後，一定要通知本人嗎？

原則上要。第 26 條第 2 項規定要通知本人；例外是本人通知困難且採取了保護權益所需的替代措施，或自己是已通知委託方的受託方。

通知本人要寫哪些內容？

依施行規則第 10 條，是第 8 條第 1 項第 1、2、4、5、9 款的 5 項：概要、資料項目、原因、二次被害有無與內容、其他參考事項。

2026 年修法什麼時候開始放寬通知本人？

2026 年 7 月 17 日公布，自公布日起 2 年內由政令定施行日；目前未定。

來源

• 個人情報の保護に関する法律（e-Gov）（2026-11-01 查證）：ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
• 個人情報の保護に関する法律施行規則（e-Gov）（2026-11-01 查證）：当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。
• 個人情報保護委員会：「個人情報の保護に関する法律等の一部を改正する法律」の公布について（令和８年７月17日）（2026-11-01 查證）：改正法は、一部を除き、公布日から起算して２年以内で政令で定める日から施行されます。
• 個人情報保護委員会：個人情報保護法等の一部を改正する法律について（概要）（2026-11-01 查證）：漏えい等発生時について、本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和する。(第26条第２項)

資訊查核｜最後查證日：2026-11-01｜通則整理，非個案法律或稅務建議；實際規定以官方最新公告為準。

本文由「喵宇宙 Meow Universe」製作，過程使用 AI 工具協助整理與撰稿，未經逐篇人工覆核。