適用對象：想以數字確認日本資料外洩是否增加的人、想在報告或教育訓練中引用統計數字的人，以及決定優先修補事項的機構。本頁依據日本個人資訊保護委員會（下稱PPC或「委員會」）的年度報告與季度發布，並參考其他監管機關的公開資料。
各會計年度洩漏通報
以下為委員會年度報告中個人資料洩漏通報的件數。事業者（個人資訊處理事業者）與公部門（國家政府機關與地方政府）分開統計。日本會計年度為每年4月至次年3月。
橘色 = 強制通報前（至2021會計年度）／綠色 = 之後／藍色 = 僅2026年4月至6月
| 會計年度 | 事業者通報 | 公部門通報 | 統計方式 |
|---|---|---|---|
| FY2020 | 4,141 | — | 強制通報前。接獲的通報，包含經認可團體接獲的1,992件 |
| FY2021 | 5,846 | — | 強制通報前。接獲的通報，包含經認可團體接獲的2,418件 |
| FY2022 | 7,685 | 114 | 強制通報首年。已提交的通報 |
| FY2023 | 12,120 | 1,159（國家162、地方997） | 已處理的通報 |
| FY2024 | 19,056 | 1,951（國家221、地方1,730） | 已處理的通報。包含一家承包商單一事件的2,745件通報 |
| FY2025 | 17,139 | 2,278（國家248、地方2,030） | 已處理的通報 |
| FY2026 Q1 | 5,451 | 650（國家66、地方584） | 已處理的通報（4月至6月，初步數字） |
地方政府自2023年4月起適用該法的通報規定，因此公部門件數自2023會計年度起大幅上升。
2026會計年度第一季總數6,101件，為事業者5,451件加上公部門通報。若僅比較事業者，約較去年同季（5,007件）多9%。委員會指出，季度數字以發布時為準，年度報告中可能修正。
哪些必須通報，以及為何2022會計年度後件數上升
經修正的《個人資訊保護法》於2022年4月1日施行。此後，凡符合以下任一條件的洩漏（或可能的洩漏），都須向委員會通報，並通知受影響的當事人。
| 下列情形須通報 | 例子 | 2026會計年度第一季事業者通報 |
|---|---|---|
| 涉及敏感個人資訊 | 病歷、治療紀錄、處方 | 3,196（58.6%） |
| 若遭濫用可能造成財產損害 | 信用卡號、可用於轉帳或付款之服務的登入帳號與密碼 | 1,093（20.1%） |
| 可能出於不法意圖所致 | 未經授權存取、員工帶走資料 | 1,450（26.6%） |
| 影響逾1,000人 | 大型客戶名單 | 246（4.5%） |
一起案件可能符合多項條件，因此各項比例加總超過100%。初步通報應於發現後約3至5天內提出，確報應於30天內提出（如疑似出於不法意圖，則為60天內）。
涉及敏感個人資訊的洩漏即使只影響一人也須通報。 這就是為何醫院與藥局將其他病患的文件（例如醫療費用明細）交給錯誤的人，構成通報的大部分。委員會本身將2022會計年度的增加歸因於強制通報及對該制度認知的提高。比較2022年前後的件數，並據此認定「外洩增加一倍」，是一種誤讀。
原因：收件人錯誤占主導，未經授權存取則逐年波動
年度報告的附表提供直接向委員會提交通報的原因（不含經其他部會轉交者）。本站合併了洩漏發生地點（通報的公司、承包商或不明）各列數字，計算下列比例。
| 原因 | 2023會計年度（7,075件） | 2024會計年度（14,198件） | 2025會計年度（13,345件） |
|---|---|---|---|
| 交付給錯誤的人 | 62.7% | 40.0% | 48.3% |
| 寄送給錯誤的收件人 | 18.0% | 20.8% | 26.0% |
| 遺失 | 5.1% | 4.0% | 5.7% |
| 未經授權存取 | 6.3% | 27.3% | 9.4% |
| 不當處置、竊盜、內部人員不當行為 | 1.6% | 1.3% | 1.8% |
| 其他 | 6.4% | 6.6% | 8.8% |
未經授權存取在2024會計年度升至27.3%，最可能的原因是一家經營社會保險與人事行政系統的公司遭勒索軟體攻擊，其眾多客戶公司因而提交了通報。據委員會表示，2024會計年度的件數包含該單一事件的2,745件通報。
若扣除這些通報，2024會計年度約為16,300件，而2025會計年度的17,139件高於此數。2025會計年度的下降主要反映缺乏類似的單一大型事件，並不表示日常洩漏已減少。
本站觀點：計算通報件數與計算受影響人數，指向不同的優先事項
以通報件數計，影響1,000人或以下的案件占93.6%（2025會計年度），主要原因為紙本文件交給或寄給錯誤的人。以機構所公布事件的受影響人數計，則未經授權存取占主導（在下方東京商工研究的統計中，因惡意軟體或未經授權存取所致的事件平均約56萬人）。
因此，在櫃檯或透過郵寄處理個人資料的機構，可藉由收件人核對減少大部分通報。持有大型客戶資料庫的機構，即使此類事件較少，也應優先部署未經授權存取的防禦。請依自身較接近哪一類型來決定第一步。
在2025會計年度的1,256件未經授權存取通報中，328件（約26%）發生於承包商，395件來源不明。僅保護自身系統並不足夠；持有您個人資料的承包商也屬於應涵蓋的範圍。
上市公司揭露的事件（東京商工研究）
信用調查機構東京商工研究（Tokyo Shoko Research）以曆年統計上市公司及其子公司揭露的個人資料洩漏與遺失事件。2025年共有180起（涉及158家公司），僅次於2024年創紀錄的189起。約3,060萬人的資料遭洩漏或遺失，幾乎是前一年的兩倍。
惡意軟體感染與未經授權存取共造成116起事件，超過六成。此統計在範圍（僅含上市公司公開的事件）與方法（曆年、以事件計）上與提交給委員會的通報不同，因此兩組數字不應相加，也不宜直接比較。
根據東京商工研究的TSR數據洞察（2026年10月7日），截至2026年10月5日，2026年已有10起達100萬筆以上的事件，2025年全年則為6起。在截至2025年的14年間，洩漏達1,000萬筆以上的情況共發生3次，而僅2026年截至10月5日就已發生3次；其中最大的一起為KDDI的12,231,954個電子郵件地址。發布資料中部分事件以帳號計算，或曾被公布為可能的洩漏，因此這些數字未必等同於人數。
其他國家（供參考）
各國的通報條件與計算方式不同。以下數字無法與日本直接比較。
英國：向ICO提出的資料外洩通報
- 英國資料保護監管機關（ICO）每季公布其接獲的個人資料外洩通報資料
- 依已公布的資料（截至2025年第四季）統計，本站計算2025年約有13,500件通報
- 約四分之三為非網路事件，最常見的類型為「資料誤寄給錯誤收件人」（約2,500件）
美國：醫療保健外洩（HHS）
- HHS民權辦公室（OCR）公布每起影響500人或以上的健康資料外洩
- 一項私人統計（HIPAA Journal）計算2025年共有710起此類外洩通報
- 在截至2026年10月11日的調查中案件清單上，2026年通報的386起外洩中，有365起為「駭客／IT事件」
在英國，誤寄給錯誤收件人同樣是最常見的類型，因此與日本一樣，人為失誤占通報的大部分。美國醫療保健清單僅列出影響500人或以上的外洩，因此小型誤寄不會出現在其中，未經授權存取因此較為突出。
這些數字對您的意義
機構：交付或寄送文件時加入收件人核對
交付給錯誤的人與寄送給錯誤的收件人，合計約占直接向委員會提交通報的四分之三。在櫃檯，交付文件前請以姓名與出生日期等兩項資料確認身分；包裝郵件時，請由第二人核對地址與內容。若使用電子郵件，請設定將外部郵件保留數分鐘以供檢查；向多位外部人士同時發信時，請使用郵件系統，而非收件人（To）或副本（CC）欄位。
機構：為離開辦公室的筆記型電腦與儲存裝置加密
遺失每年約占5%。加密的筆記型電腦與隨身碟在遺失時較難被讀取（出差時的筆電安全）。
機構：修補面向網際網路的設備並加入多因素驗證
委員會列出其在未經授權存取案件中所見的原因：修復方案發布後仍未修補的VPN設備及其他軟體、容易猜到的帳號與密碼，以及設定錯誤（2024會計年度年度報告）。請為面向網際網路的設備建立清單並指定負責更新的人（VPN設備為何成為入侵點及如何防禦），並要求遠端存取與管理畫面須使用多因素驗證（如何選擇多因素驗證）。
機構：列出持有您個人資料的承包商
記錄哪些承包商持有哪些個人資料及涉及多少人，並在契約中約定其須在多快時間內通知您事件發生。即使洩漏發生於承包商，委託資料處理的公司也負有通報義務。整體優先事項請見機構資安基準。
機構：建立符合3至5天期限的通報流程
事先決定發現洩漏的人應通知誰，以及通知的順序。委員會亦已向通報明顯延遲的公司提供指引。
個人：依道歉通知採取行動前，先查看官方網站
請勿從外洩通知或「道歉」電子郵件中的連結登入；請自行開啟官方網站加以確認。若密碼可能已外洩，請於所有曾使用該密碼的服務中變更（如何檢查您的密碼是否已外洩）。
如何解讀這些數字
通報件數不等於事件件數
一起事件可能產生數件通報。個人資料處理外包時，委託資料的公司與承包商通常都須通報，因此一起承包商的事件可能帶來多家客戶公司的通報（2024會計年度的2,745件即為一例）。通報也可能提交給一個以上的部會。
不要混用會計年度與曆年。委員會以4月至3月計算；東京商工研究以1月至12月計算。委員會亦是在通報處理完成後才計入，這可能與事件發生的時間不同。
截至2021會計年度為止，通報並非強制，因此2022會計年度起統計基礎有所改變。年度報告的用語亦有不同：2022會計年度為「已提交的通報」，2023會計年度起則為「已處理的通報」。
涉及個人編號（日本的個人號碼，My Number）的資料洩漏，與上述數字分開統計（2025會計年度，委員會處理了392件通報，包括可能違反個人編號法的案件，其中74件為法定洩漏通報）。
資料來源與使用說明
本頁數字已於2026年10月11日對照下列官方文件進行核對（東京商工研究2026年10月7日發布之數字則於10月23日核對）。本頁會於委員會每季發布時更新（下次為2026會計年度第二季）。
- 個人資訊保護委員會，〈2026會計年度第一季洩漏通報之處理情形〉（2026年9月2日，日文）— ppc.go.jp
- 個人資訊保護委員會，〈2025會計年度年度報告〉（正文與附表，日文）— HTML / PDF
- 同上，2024會計年度 — HTML / PDF
- 同上，2023會計年度 — HTML / PDF
- 同上，2022、2021及2020會計年度 — 2022會計年度 / 2021會計年度 / 2020會計年度
- 個人資訊保護委員會，〈洩漏之應對〉（何時須通報及期限，日文）— ppc.go.jp
- 東京商工研究，〈2025年上市公司個人資料洩漏與遺失事件〉（2026年1月30日，日文）— tsr-net.co.jp
- 東京商工研究 TSR數據洞察：上市公司個人資料洩漏創紀錄步調，2026年已有10起100萬筆以上事件（2026年10月7日，日文）— tsr-net.co.jp
- ICO，〈資料安全事件趨勢〉（資料期間：2019年第一季至2025年第四季）— ico.org.uk
- 美國HHS民權辦公室，〈外洩入口網站〉— ocrportal.hhs.gov
- HIPAA Journal，〈2025年醫療保健資料外洩報告〉— hipaajournal.com
資料使用與出處
來源：個人資訊保護委員會網站（https://www.ppc.go.jp/aboutus/report/ 及 https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf ），存取日期為2026年10月11日。本頁的年度表格、圖表及原因比例由本站處理委員會的年度報告及其2026會計年度第一季洩漏通報資料製作，並非由委員會製作。委員會的內容依公共資料授權條款（第1.0版）（PDL1.0）使用。
英國數字由本站根據ICO公布的資料計算。包含依開放政府授權第3.0版（Open Government Licence v3.0）授權使用的公部門資訊。
更新紀錄
2026-10-23：加入東京商工研究 TSR數據洞察（2026年10月7日）中2026年洩漏達100萬及1,000萬筆以上的件數（截至10月5日）。
2026-10-11：首次發布。已對照PPC及東京商工研究文件核對各年度件數及其他數字。
延伸閱讀
- 2026年的重大事件：2026年資料外洩與網路攻擊時間軸
- 攻擊者如何入侵：日本2026年外洩的入侵點（跨案例分析）
- 面向機構：機構資安基準 / VPN設備防禦 / 如何選擇多因素驗證
- 面向個人：檢查您的密碼是否已外洩 / 若您的駕照資料外洩
- 名詞：什麼是勒索軟體 / 什麼是網路釣魚