日本PPC公布令和8年度第一季度监管数据：泄露等报告6,101件创近年新高，指导141件，漏洞放任与委托方监督为两大失分项

2026年9月2日，日本个人信息保护委员会（PPC）公布令和8年度第1季度（2026年4—6月）《监视・监督权限行使状况概要》与《泄露等报告处理状况》。 一、泄露报告件数创近年新高。本季度处理个人信息泄露等报告**6,101件**，高于令和7年度同期的5,652件，亦显著高于令和7年度四个季度（4,528／4,635／4,602件）与其季度折算均值4,854件。按主体分：个人信息处理事业者5,451件、国家行政机关等66件、地方公共团体等584件；特定个人信息（マイナンバー）113件，其中报告对象事态22件。 二、执法动作。本季度**无公开事案**，但依《个人信息保护法》第147条或第157条作出指导・助言共**141件**（民间事业者98件），并对泄露等报告提交迟延单独作出**45件指导**。 三、成因高度集中。PPC逐案列明的反复成因是：①**已公开漏洞被放任**——VPN设备、EC网站构建应用等漏洞已披露且应对方法已发布，事业者仍未处置，多个案件均表现为"VPN漏洞→勒索病毒感染→文件加密→个人数据泄露或泄露之虞"；②ID与密码过于易被推测；③配置失误导致数据库未作适当访问控制。攻击手法以暴力破解、SQL注入为主，勒索攻击15件。此外，含"要配虑个人信息"的泄露仍多发，且**损害保险业者的误交付（误发）**成为新的突出类型，不再局限于医院与药局。 四、指导事项排序。"防止外部不正访问等"的技术安全管理措施21件（最多）；"访问者的识别与认证"不备14件；**委托方监督不备12件**；"伴随信息系统使用的泄露防止"3件。 五、实务意义。三条明确的执法信号：①**漏洞管理留痕是第一位的安全管理措施**，须建立漏洞情报接收、定级、修补期限与例外审批的完整台账；②**委托方（供应商）监督是第二高频失分项**，须核实与在日受托方的数据处理协议、再委托限制、审计权与泄露通报链路；③**报告及时性本身即独立指导理由**（45件），实体情节轻微亦不豁免。在修订法后续引入课征金制度的背景下，上述三项很可能由"指导"升级为罚款认定基础。