适合人群：想通过数字判断日本数据泄露是否在增加的人、希望在报告或培训中引用相关数据的人，以及需要决定优先修复哪些问题的机构。本页基于日本个人信息保护委员会（PPC，以下简称“委员会”）的年度报告和季度发布内容，以及其他监管机构的公开数据。
按财年统计的泄露报告
以下为委员会年度报告中的个人数据泄露报告数量。企业（个人信息处理经营者）与公共机构（国家机关和地方政府）分开统计。日本财年从4月开始，至次年3月结束。
橙色 = 强制报告前（至2021财年）/ 绿色 = 强制报告后 / 蓝色 = 仅2026年4月至6月
| 财年 | 企业报告 | 公共机构报告 | 统计方式 |
|---|---|---|---|
| FY2020 | 4,141 | — | 强制报告前。收到的报告，包括通过认定组织收到的1,992份 |
| FY2021 | 5,846 | — | 强制报告前。收到的报告，包括通过认定组织收到的2,418份 |
| FY2022 | 7,685 | 114 | 强制报告首年。已提交的报告 |
| FY2023 | 12,120 | 1,159（国家机关162，地方政府997） | 已处理的报告 |
| FY2024 | 19,056 | 1,951（国家机关221，地方政府1,730） | 已处理的报告。包括一家承包商单一事件产生的2,745份报告 |
| FY2025 | 17,139 | 2,278（国家机关248，地方政府2,030） | 已处理的报告 |
| FY2026 Q1 | 5,451 | 650（国家机关66，地方政府584） | 已处理的报告（4月至6月，初步数据） |
地方政府自2023年4月起适用该法的报告规定，因此公共机构报告数量从2023财年起大幅增加。
2026财年第一季度的总数6,101份，是企业报告5,451份与公共机构报告之和。仅就企业而言，比去年同期（5,007份）约多9%。委员会指出，季度数据以发布时为准，可能会在年度报告中作出修订。
哪些情况必须报告，以及2022财年后数量增加的原因
经修订的《个人信息保护法》于2022年4月1日施行。此后，符合以下任一条件的泄露（或可能的泄露）须向委员会报告，并通知相关当事人。
| 泄露符合以下情形时须报告 | 示例 | 2026财年第一季度企业报告数 |
|---|---|---|
| 涉及敏感个人信息 | 病历、诊疗记录、处方 | 3,196（58.6%） |
| 被滥用可能造成财产损失 | 信用卡号，可转账或付款的服务的账号和密码 | 1,093（20.1%） |
| 可能出于恶意行为 | 未经授权访问，员工带走数据 | 1,450（26.6%） |
| 影响超过1,000人 | 大型客户名单 | 246（4.5%） |
一个案例可能符合多个条件，因此各项比例相加超过100%。初步报告应在发现后约3至5天内提交，最终报告应在30天内提交（如怀疑存在恶意行为，则为60天内）。
涉及敏感个人信息的泄露即使只涉及一人也须报告。 因此，医院和药房把其他患者的文件（如医疗费用明细单）交给错误的人，在报告中占很大比例。委员会自身将2022财年的增长归因于强制报告制度及对该制度认知度的提高。若因2022年前后的数量对比就得出“泄露翻倍”的结论，则是误读。
原因：收错人或发错人占主导，未经授权访问逐年波动
年度报告附表列出了直接提交给委员会的报告（不包括经其他部委转交的报告）的原因。本站合并了泄露发生地（报告企业、承包商或不明）各行的数据，计算出以下比例。
| 原因 | FY2023（7,075） | FY2024（14,198） | FY2025（13,345） |
|---|---|---|---|
| 交给了错误的人 | 62.7% | 40.0% | 48.3% |
| 发送给了错误的收件人 | 18.0% | 20.8% | 26.0% |
| 丢失 | 5.1% | 4.0% | 5.7% |
| 未经授权访问 | 6.3% | 27.3% | 9.4% |
| 不当处置、盗窃、内部人员不当行为 | 1.6% | 1.3% | 1.8% |
| 其他 | 6.4% | 6.6% | 8.8% |
2024财年未经授权访问升至27.3%，很可能是因为一家运营社会保险及人事行政系统的公司遭到勒索软件攻击，其众多客户公司随之提交了报告。据委员会介绍，2024财年的统计数中包括针对该单一事件的2,745份报告。
若去掉这些报告，2024财年约为16,300份，而2025财年的17,139份高于这一数字。2025财年数量下降，主要反映的是没有出现类似的单一大型事件，并不表明日常泄露有所减少。
本站观点：按报告数量与按受影响人数看，优先事项不同
按报告数量计，涉及1,000人或以下的案例占93.6%（2025财年），主要原因是纸质文件被交给或发送给错误的人。按企业公布事件中的受影响人数计，未经授权访问占主导（在下文东京商工研究的统计中，恶意软件或未经授权访问导致的事件平均每起涉及约56万人）。
因此，在柜台或通过邮寄处理个人数据的机构，通过核对收件人可以减少大部分报告。持有大型客户数据库的机构，即使此类事件较少，也应优先加强未经授权访问的防护。请根据自身情况判断应优先采取哪一步。
在2025财年1,256份未经授权访问报告中，328份（约26%）发生在承包商处，395份来源不明。仅保护自身系统是不够的，持有你们个人数据的承包商也属于防护范围。
上市公司披露的事件（东京商工研究）
信用调查机构东京商工研究按自然年度统计上市公司及其子公司披露的个人数据泄露和丢失事件。2025年共180起（涉及158家公司），仅次于2024年创纪录的189起。约3,060万人的数据被泄露或丢失，几乎是前一年的两倍。
恶意软件感染和未经授权访问共导致116起事件，超过六成。该统计与提交给委员会的报告在范围（仅统计上市公司公布的事件）和方法（自然年度、以事件为单位）上均不同，因此两者的数字不应相加，也不宜直接比较。
据東京商工リサーチ TSRデータインサイト（东京商工研究，TSR数据洞察，2026年10月7日）介绍，截至2026年10月5日，2026年已发生10起涉及100万条及以上记录的事件，而2025年全年为6起。在截至2025年的14年间，泄露1,000万条及以上记录的事件发生过3次，仅截至2026年10月5日，2026年已发生3次；其中最大的一起是KDDI的12,231,954个电子邮件地址。该报告中的部分事件按账户数统计，或被公布为可能的泄露，因此数字并不总是人数。
其他国家（供参考）
各国的报告条件和统计方法不同，以下数据不能与日本直接比较。
英国：向ICO提交的数据泄露报告
- 英国数据保护监管机构（ICO）每季度公布其收到的个人数据泄露报告数据
- 根据已公布的数据（截至2025年第四季度），本站统计2025年约有13,500份报告
- 约四分之三为非网络类事件，最常见的类型是“数据通过电子邮件发送给错误的收件人”（约2,500份）
美国：医疗数据泄露（HHS）
- 美国卫生与公众服务部民权办公室（HHS Office for Civil Rights）公布每起涉及500人及以上的医疗数据泄露
- 一家民间机构的统计（HIPAA Journal）显示，2025年报告了710起此类泄露
- 在2026年10月11日的调查案件清单中，2026年报告的386起泄露中有365起为“黑客/IT事件”
在英国，发错收件人的电子邮件同样是最常见的类型，因此与日本一样，人为失误占报告的很大一部分。美国医疗清单只列出500人及以上的泄露，因此少量误投的邮件不会出现在其中，未经授权访问则较为突出。
这些数字对你意味着什么
机构：递交或发送文件时核对收件人
交错人与发错收件人合计约占直接提交委员会报告的四分之三。在柜台，递交文件前应用姓名和出生日期等两项信息确认身份；打包邮件时，由另一人核对地址与内容。对于电子邮件，可设置将外部邮件保留数分钟以供审核；向大量外部人员同时发信时，应使用邮件群发系统，而不是收件人或抄送栏。
机构：对离开办公室的笔记本电脑和存储设备加密
丢失情况每年约占5%。加密的笔记本电脑和U盘丢失后更难被读取（出差时的笔记本安全）。
机构：修补面向互联网的设备并启用多因素认证
委员会列出了其在未经授权访问案例中发现的原因：发布修复补丁后未更新的VPN设备及其他软件、容易猜测的账号和密码，以及配置错误（2024财年年度报告）。请保存一份面向互联网的设备清单，并指定负责人进行更新（VPN设备为何成为入口及如何防护）；远程访问和管理界面须启用多因素认证（如何选择多因素认证）。
机构：列出持有你们个人数据的承包商
写明哪些承包商持有哪些个人数据、涉及多少人，并在合同中约定其发生事件后须多快通知你们。即使泄露发生在承包商处，委托数据的企业同样负有报告义务。整体优先事项请参见机构安全基线。
机构：建立符合3至5天时限的报告流程
提前确定发现泄露的人应先通知谁、按什么顺序通知。委员会还曾向报告严重延迟的企业发出指导。
个人：在根据道歉通知采取行动前先核实官方网站
不要通过泄露通知或“致歉”邮件中的链接登录；请自行打开官方网站进行核实。如果密码可能已泄露，请在所有曾使用该密码的服务上修改（如何检查密码是否已泄露）。
如何理解这些数字
报告数不等于事件数
一起事件可能产生多份报告。个人数据处理外包时，委托数据的企业和承包商通常都须报告，因此一起承包商的事件可能带来众多客户公司的报告（2024财年的2,745份即为例证）。报告也可能被提交给不止一个部委。
不要混用财年与自然年度。委员会按4月至次年3月统计，东京商工研究按1月至12月统计。委员会还在报告处理完毕后才计入，这可能与事件发生的时间不同。
2021财年及之前报告并非强制，因此统计口径在2022财年发生了变化。年度报告的表述也不同：2022财年为“已提交的报告”，2023财年起为“已处理的报告”。
涉及个人编号（My Number，日本个人编号）的泄露与上述数字分开统计（2025财年，委员会处理了392份报告，其中包括可能违反个人编号法的案例，其中74份为法定泄露报告）。
来源与数据使用
本页数据已于2026年10月11日对照以下官方文件进行核对（东京商工研究2026年10月7日发布的数据已于10月23日核对）。本页会在委员会每季度公布数据时更新（下一次：2026财年第二季度）。
- 个人信息保护委员会，《2026财年第一季度泄露报告的处理情况》（2026年9月2日，日文）— ppc.go.jp
- 个人信息保护委员会，《2025财年年度报告》（正文及附表，日文）— HTML / PDF
- 同上，2024财年 — HTML / PDF
- 同上，2023财年 — HTML / PDF
- 同上，2022财年、2021财年及2020财年 — 2022财年 / 2021财年 / 2020财年
- 个人信息保护委员会，《泄露应对》（何时须报告及时限，日文）— ppc.go.jp
- 东京商工研究，《2025年上市公司个人数据泄露和丢失事件》（2026年1月30日，日文）— tsr-net.co.jp
- 東京商工リサーチ TSRデータインサイト（东京商工研究，TSR数据洞察）：上市公司个人数据泄露创纪录增长，2026年已有10起100万条及以上事件（2026年10月7日，日文）— tsr-net.co.jp
- ICO，《数据安全事件趋势》（数据：2019年第一季度至2025年第四季度）— ico.org.uk
- 美国HHS民权办公室，《泄露门户》（Breach Portal）— ocrportal.hhs.gov
- HIPAA Journal，《2025年医疗数据泄露报告》— hipaajournal.com
数据使用与出处
来源：个人信息保护委员会网站（https://www.ppc.go.jp/aboutus/report/ 及 https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf ），访问日期为2026年10月11日。本页的年度表格、图表及原因比例由本站处理委员会的年度报告及其2026财年第一季度泄露报告发布内容而制作，并非委员会制作。委员会内容依据公共数据许可（第1.0版）（PDL1.0）使用。
英国数据由本站根据ICO公布的数据统计。包含依据开放政府许可v3.0授权使用的公共部门信息。
更新记录
2026-10-23：补充了東京商工リサーチ TSRデータインサイト（2026年10月7日）发布的2026年泄露100万条及1,000万条及以上记录事件的数量（截至10月5日）。
2026-10-11：首次发布。已对照个人信息保护委员会及东京商工研究的文件核对年度数据及其他数字。
延伸阅读
- 2026年重大事件：2026年数据泄露与网络攻击时间线
- 攻击者如何侵入：日本2026年泄露事件的入口（案例综合分析）
- 面向机构：机构安全基线 / VPN设备防护 / 如何选择多因素认证
- 面向个人：检查密码是否已泄露 / 驾照数据泄露后怎么办
- 术语：什么是勒索软件 / 什么是网络钓鱼