A quién va dirigido: a quienes quieren comprobar con cifras si las filtraciones de datos en Japón están aumentando, a quienes desean citar los datos en informes o formación, y a las organizaciones que deciden qué corregir primero. Esta página se basa en los informes anuales y en las publicaciones trimestrales de la Comisión de Protección de Información Personal de Japón (la PPC, o "la comisión" más adelante) y en datos públicos de otros reguladores.
Informes de filtración por año fiscal
Estas son las cifras de informes de filtración de datos personales de los informes anuales de la comisión. Las empresas (operadores que manejan información personal) y los organismos públicos (organismos del gobierno nacional y gobiernos locales) se cuentan por separado. El año fiscal de Japón va de abril a marzo del año siguiente.
Naranja = antes de la notificación obligatoria (hasta el año fiscal 2021) / verde = después / azul = solo de abril a junio de 2026
| Año fiscal | Informes de empresas | Informes de organismos públicos | Forma de contar |
|---|---|---|---|
| FY2020 | 4.141 | — | Antes de la notificación obligatoria. Informes recibidos, incluidos 1.992 a través de organizaciones acreditadas |
| FY2021 | 5.846 | — | Antes de la notificación obligatoria. Informes recibidos, incluidos 2.418 a través de organizaciones acreditadas |
| FY2022 | 7.685 | 114 | Primer año de notificación obligatoria. Informes presentados |
| FY2023 | 12.120 | 1.159 (nacional 162, local 997) | Informes tramitados |
| FY2024 | 19.056 | 1.951 (nacional 221, local 1.730) | Informes tramitados. Incluye 2.745 informes de un único incidente en un contratista |
| FY2025 | 17.139 | 2.278 (nacional 248, local 2.030) | Informes tramitados |
| FY2026 T1 | 5.451 | 650 (nacional 66, local 584) | Informes tramitados (de abril a junio, preliminar) |
Los gobiernos locales quedaron sujetos a las normas de notificación de la Ley en abril de 2023, por lo que las cifras de organismos públicos aumentan a partir del año fiscal 2023.
El total del T1 del año fiscal 2026, 6.101, combina los 5.451 informes de empresas con los de organismos públicos. Si se comparan solo las empresas, son alrededor de un 9% más que en el mismo trimestre del año anterior (5.007). La comisión señala que las cifras trimestrales corresponden a la fecha de publicación y pueden revisarse en el informe anual.
Qué debe notificarse y por qué subió el número desde el año fiscal 2022
La Ley de Protección de Información Personal modificada entró en vigor el 1 de abril de 2022. Desde entonces, una filtración (o posible filtración) que cumpla cualquiera de las siguientes condiciones debe notificarse a la comisión y comunicarse a las personas afectadas.
| Es obligatorio informar cuando la filtración | Ejemplos | Informes de empresas en el T1 del año fiscal 2026 |
|---|---|---|
| Afecta a información personal sensible | Historial médico, registros de tratamiento, recetas | 3.196 (58,6%) |
| Podría causar perjuicios económicos si se utiliza indebidamente | Números de tarjetas de crédito, IDs de acceso y contraseñas de servicios que pueden enviar o pagar dinero | 1.093 (20,1%) |
| Podría haberse producido con intención dolosa | Acceso no autorizado, datos sacados por un empleado | 1.450 (26,6%) |
| Afecta a más de 1.000 personas | Una gran lista de clientes | 246 (4,5%) |
Un mismo caso puede cumplir varias condiciones, por lo que las proporciones suman más de 100%. Un informe preliminar debe presentarse en aproximadamente 3 a 5 días desde el descubrimiento, y un informe final en un plazo de 30 días (60 días cuando se sospecha intención dolosa).
La información personal sensible debe notificarse aunque afecte a una sola persona. Por eso, los hospitales y farmacias que entregan los documentos de otro paciente (como facturas médicas detalladas) a la persona equivocada representan una gran parte de los informes. La propia comisión atribuye el aumento del año fiscal 2022 a la notificación obligatoria y a una mayor concienciación sobre ella. Comparar las cifras antes y después de 2022 y concluir que "las filtraciones se duplicaron" es una interpretación errónea.
Causas: dominan los errores de destinatario, y el acceso no autorizado varía de un año a otro
Las tablas del anexo de los informes anuales indican las causas de los informes presentados directamente ante la comisión (excluidos los que se tramitan a través de otros ministerios). Este sitio combinó las filas según el lugar donde se produjo la filtración (la empresa que informa, un contratista o desconocido) para calcular las proporciones siguientes.
| Causa | FY2023 (7.075) | FY2024 (14.198) | FY2025 (13.345) |
|---|---|---|---|
| Entregado a la persona equivocada | 62,7% | 40,0% | 48,3% |
| Enviado al destinatario equivocado | 18,0% | 20,8% | 26,0% |
| Pérdida | 5,1% | 4,0% | 5,7% |
| Acceso no autorizado | 6,3% | 27,3% | 9,4% |
| Eliminación indebida, robo, mala conducta interna | 1,6% | 1,3% | 1,8% |
| Otros | 6,4% | 6,6% | 8,8% |
El acceso no autorizado subió al 27,3% en el año fiscal 2024, probablemente porque una empresa que gestionaba un sistema de administración de seguros sociales y recursos humanos fue atacada con ransomware, y muchas de sus empresas clientes presentaron informes. Según la comisión, en el recuento del año fiscal 2024 se incluyen 2.745 informes sobre ese único incidente.
Sin ellos, el año fiscal 2024 habría sido de alrededor de 16.300, y los 17.139 del año fiscal 2025 son superiores a esa cifra. La caída en el año fiscal 2025 refleja sobre todo la ausencia de un incidente único de gran tamaño similar; no demuestra que las filtraciones cotidianas hayan disminuido.
Opinión de este sitio: contar informes y contar personas apunta a prioridades distintas
Por número de informes, los casos que afectan a 1.000 personas o menos representan el 93,6% (año fiscal 2025), y las causas principales son documentos en papel entregados o enviados a la persona equivocada. Por número de personas afectadas en incidentes anunciados por empresas, domina el acceso no autorizado (en el recuento de Tokyo Shoko Research que figura a continuación, los incidentes causados por malware o accesos no autorizados afectaron, de media, a unas 560.000 personas cada uno).
Por tanto, las organizaciones que manejan datos personales en mostradores o por correo pueden reducir la mayoría de sus informes con controles de destinatario. Las organizaciones que mantienen grandes bases de datos de clientes en sus sistemas deberían priorizar las defensas contra el acceso no autorizado, aunque estos incidentes sean menos frecuentes. Decidan su primer paso según cuál de las dos situaciones se parezca más a la suya.
De los 1.256 informes de acceso no autorizado del año fiscal 2025, 328 (alrededor del 26%) se produjeron en un contratista y 395 tenían un origen desconocido. Proteger solo los sistemas propios no basta; los contratistas que custodian sus datos personales forman parte del alcance.
Incidentes comunicados por empresas cotizadas (Tokyo Shoko Research)
La firma de investigación crediticia Tokyo Shoko Research cuenta los incidentes de filtración y pérdida de datos personales comunicados por empresas cotizadas y sus filiales por año natural. En 2025 hubo 180 (en 158 empresas), solo por detrás de los 189 récord de 2024. Unos 30,6 millones de personas vieron sus datos filtrados o perdidos, casi el doble que el año anterior.
Las infecciones de malware y los accesos no autorizados representaron 116 de los incidentes, más del 60%. Este recuento difiere de los informes a la comisión en alcance (solo incidentes anunciados por empresas cotizadas) y en método (año natural, por incidente), por lo que ambas cifras no deben sumarse ni compararse directamente.
Según 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight, 7 de octubre de 2026), ya había 10 incidentes de 1 millón de registros o más en 2026 hasta el 5 de octubre, frente a 6 en todo 2025. Las filtraciones de 10 millones o más se produjeron 3 veces en los 14 años hasta 2025, y 3 veces en 2026 solo hasta el 5 de octubre; la mayor fue de 12.231.954 direcciones de correo electrónico de KDDI. Algunos incidentes del comunicado se cuentan por cuentas o se anunciaron como posibles filtraciones, por lo que las cifras no siempre son números de personas.
Otros países (como referencia)
Las condiciones de notificación y los métodos de recuento difieren según el país. Las cifras siguientes no pueden compararse directamente con las de Japón.
Reino Unido: informes de brechas de datos a la ICO
- El regulador británico de protección de datos (ICO) publica datos sobre los informes de brechas de datos personales que recibe cada trimestre
- Según los datos publicados (hasta el T4 de 2025), este sitio calcula alrededor de 13.500 informes en 2025
- Alrededor de tres cuartas partes no eran de origen ciberseguridad, y el tipo más común fue "datos enviados por correo electrónico a un destinatario incorrecto" (alrededor de 2.500)
EE. UU.: brechas en el sector sanitario (HHS)
- La Oficina de Derechos Civiles del HHS publica cada brecha de datos de salud que afecta a 500 personas o más
- Un recuento privado (HIPAA Journal) contabiliza 710 brechas de este tipo notificadas en 2025
- En la lista de casos en investigación a 11 de octubre de 2026, 365 de las 386 brechas notificadas en 2026 son "Hacking/IT Incident"
En el Reino Unido, el correo enviado al destinatario equivocado también es el tipo más común, por lo que los errores humanos explican gran parte de las notificaciones, como en Japón. La lista sanitaria de EE. UU. solo recoge brechas de 500 personas o más, por lo que los pequeños envíos postales erróneos no aparecen y el acceso no autorizado destaca.
Qué significan las cifras para usted
Organizaciones: añadan controles de destinatario al entregar o enviar documentos
Entregar a la persona equivocada y enviar al destinatario equivocado suman juntos alrededor de tres cuartas partes de los informes presentados directamente ante la comisión. En los mostradores, confirmen la identidad con dos datos, como el nombre y la fecha de nacimiento, antes de entregar documentos, y que otra persona compare la dirección con el contenido al preparar el correo. Para el correo electrónico, usen una configuración que retenga los mensajes externos durante unos minutos para revisarlos, y utilicen un sistema de envío masivo en lugar de los campos Para o CC al escribir a muchas personas externas a la vez.
Organizaciones: cifren los portátiles y los soportes de almacenamiento que salen de la oficina
Las pérdidas rondan el 5% cada año. Los portátiles y las memorias USB cifrados son mucho más difíciles de leer si se pierden (seguridad del portátil al viajar).
Organizaciones: parcheen los dispositivos expuestos a internet y añadan autenticación multifactor
La comisión enumera las causas que observó en los casos de acceso no autorizado: dispositivos VPN y otro software sin parchear tras publicarse las correcciones, IDs y contraseñas fáciles de adivinar, y configuraciones incorrectas (informe anual del año fiscal 2024). Mantengan una lista de dispositivos expuestos a internet con un responsable designado para las actualizaciones (por qué los dispositivos VPN se convierten en puntos de entrada y cómo defenderlos), y exijan autenticación multifactor para el acceso remoto y las pantallas de administración (cómo elegir la autenticación multifactor).
Organizaciones: enumeren los contratistas que custodian sus datos personales
Anoten qué contratistas tienen qué datos personales y de cuántas personas, y establezcan en el contrato con qué rapidez deben informarles de un incidente. Aunque la filtración se produzca en un contratista, la empresa que encomendó los datos también tiene el deber de notificar. Las prioridades generales se recogen en la base de seguridad para organizaciones.
Organizaciones: establezcan un flujo de notificación que cumpla el plazo de 3 a 5 días
Decidan de antemano quién debe ser informado por la persona que detecte una filtración y en qué orden. La comisión también ha ofrecido orientación a las empresas cuyos informes se retrasaron de forma significativa.
Particulares: consulten el sitio oficial antes de actuar ante un aviso de disculpa
No inicien sesión desde los enlaces de los avisos de filtración ni de los correos de "disculpa"; abran ustedes mismos el sitio oficial para comprobarlo. Si una contraseña pudo filtrarse, cámbienla en todos los servicios donde la utilizaron (cómo comprobar si su contraseña se ha filtrado).
Cómo leer estas cifras
Los recuentos de informes no son recuentos de incidentes
Un mismo incidente puede generar varios informes. Cuando el tratamiento de datos personales está externalizado, tanto la empresa que encomendó los datos como el contratista suelen tener que informar, por lo que un incidente en un contratista puede generar informes de muchas empresas clientes (los 2.745 del año fiscal 2024 son un ejemplo). Los informes también pueden remitirse a más de un ministerio.
No mezclen años fiscales y años naturales. La comisión cuenta de abril a marzo; Tokyo Shoko Research cuenta de enero a diciembre. Además, la comisión cuenta un informe una vez terminado su trámite, lo que puede diferir de la fecha en que se produjo el incidente.
La notificación no era obligatoria hasta el año fiscal 2021, por lo que la base cambió en el año fiscal 2022. Los informes anuales también lo expresan de forma distinta: "informes presentados" para el año fiscal 2022 e "informes tramitados" desde el año fiscal 2023.
Las filtraciones de datos que contienen Mi Número (el número individual de Japón) se cuentan por separado de las cifras anteriores (en el año fiscal 2025 la comisión tramitó 392 informes, incluidos casos de posibles infracciones de la Ley del Mi Número, de los cuales 74 fueron informes de filtración previstos legalmente).
Fuentes y uso de los datos
Las cifras de esta página se contrastaron con los documentos oficiales siguientes el 11 de octubre de 2026 (las cifras del comunicado de Tokyo Shoko Research del 7 de octubre de 2026 se contrastaron el 23 de octubre). La página se actualiza cuando la comisión publica cada trimestre (próxima: T2 del año fiscal 2026).
- Comisión de Protección de Información Personal, "Tramitación de informes de filtración en el T1 del año fiscal 2026" (2 de septiembre de 2026, en japonés) — ppc.go.jp
- Comisión de Protección de Información Personal, "Informe anual del año fiscal 2025" (texto y tablas del anexo, en japonés) — HTML / PDF
- Ídem, año fiscal 2024 — HTML / PDF
- Ídem, año fiscal 2023 — HTML / PDF
- Ídem, años fiscales 2022, 2021 y 2020 — año fiscal 2022 / año fiscal 2021 / año fiscal 2020
- Comisión de Protección de Información Personal, "Respuesta a las filtraciones" (cuándo es obligatorio informar y plazos, en japonés) — ppc.go.jp
- Tokyo Shoko Research, incidentes de filtración y pérdida de datos personales en empresas cotizadas en 2025 (30 de enero de 2026, en japonés) — tsr-net.co.jp
- 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight): filtraciones de datos personales en empresas cotizadas a un ritmo récord, con 10 incidentes de 1 millón o más ya en 2026 (7 de octubre de 2026, en japonés) — tsr-net.co.jp
- ICO, "Data security incident trends" (datos: T1 de 2019 a T4 de 2025) — ico.org.uk
- US HHS Office for Civil Rights, "Breach Portal" — ocrportal.hhs.gov
- HIPAA Journal, "2025 Healthcare Data Breach Report" — hipaajournal.com
Uso de los datos y atribución
Fuente: sitio web de la Comisión de Protección de Información Personal (https://www.ppc.go.jp/aboutus/report/ y https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf), consultado el 11 de octubre de 2026. La tabla anual, el gráfico y las proporciones de causas de esta página fueron elaborados por este sitio a partir de los informes anuales de la comisión y de su publicación del T1 del año fiscal 2026 sobre informes de filtración; no fueron elaborados por la comisión. El contenido de la comisión se utiliza bajo la Licencia de Datos Públicos (versión 1.0) (PDL1.0).
Las cifras del Reino Unido fueron calculadas por este sitio a partir de datos publicados por la ICO. Contiene información del sector público con licencia Open Government Licence v3.0.
Historial de actualizaciones
2026-10-23: Se añadieron los recuentos de 2026 de filtraciones de 1 millón y de 10 millones de registros o más (hasta el 5 de octubre) de 東京商工リサーチ TSRデータインサイト (7 de octubre de 2026).
2026-10-11: Primera publicación. Se contrastaron las cifras anuales y otros datos con los documentos de la PPC y de Tokyo Shoko Research.
Lecturas recomendadas
- Incidentes importantes de 2026: cronología de filtraciones de datos y ciberataques de 2026
- Cómo entraron los atacantes: puntos de entrada en las filtraciones de Japón de 2026 (análisis de casos cruzados)
- Para organizaciones: la base de seguridad para organizaciones / defensa de dispositivos VPN / cómo elegir la autenticación multifactor
- Para particulares: comprobar si su contraseña se ha filtrado / si se filtraron los datos de su permiso de conducir
- Términos: qué es el ransomware / qué es el phishing