個人情報
個人情報の漏えい報告
対象の4類型・期限・本人通知の例文
結論から書きます。 個人データの漏えい・滅失・毀損（そのおそれを含む）が、①要配慮個人情報を含む ②財産的被害のおそれ ③不正の目的によるおそれ ④本人の数が1,000人を超えるのどれかに当たれば、個人情報保護委員会への報告と本人への通知が必要です。報告は2段階で、速報は知った後速やかに（ガイドラインの目安は概ね3～5日以内）、確報は知った日から30日以内（③は60日以内）。この記事では、判定の手順、報告する9項目、本人通知の書き方を、イベント運営で実際に起きる場面に当てはめて整理します。
結論
個人情報保護法第26条第1項は、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときに委員会への報告を、第2項は本人への通知を義務づけています。対象の事態は規則第7条、報告の時期と事項は規則第8条、本人に通知する事項は規則第10条が定めています。
まず結論：報告・通知の要点が1枚でわかる表
| 項目 | 内容 | 根拠 |
|---|---|---|
| 報告が要る事態 | 漏えい・滅失・毀損が発生し、又は発生したおそれがある事態のうち、規則第7条第1号～第4号のいずれかに当たるもの | 法第26条第1項、規則第7条 |
| 速報 | 事態を知った後、速やかに。その時点で把握している事項だけでよい。日数の目安は概ね3～5日以内（ガイドライン） | 規則第8条第1項 |
| 確報 | 知った日から30日以内（第3号＝不正の目的によるおそれがある事態は60日以内）。9項目すべてを報告 | 規則第8条第2項 |
| 報告の方法 | 原則は委員会ホームページの報告フォーム（電子情報処理組織）。使えない事情があるときは別記様式第一の報告書 | 規則第8条第3項 |
| 本人への通知 | 事態の状況に応じて速やかに。概要・項目・原因・二次被害・その他参考事項を通知。困難なら代替措置（公表、問合せ窓口） | 法第26条第2項、規則第10条 |
| 委託を受けている場合 | 委託元へ速やかに通知すれば、委託先の委員会への報告義務と本人への通知義務は免除 | 法第26条第1項ただし書・第2項、規則第9条 |
Point
「おそれ」の段階で対象になります。 漏れた確証がなくても、その時点で判明している事実から漏えい等が疑われれば「発生したおそれがある事態」に当たりえます（ガイドライン）。確定を待ってから動く、は順番が逆です。
注意
4類型に当たらない事案でも、委員会に任意で報告することはできます（ガイドライン）。
報告が必要な4類型と、イベントで当たりうる例
規則第7条の4つの号を、イベント運営の現場に置き換えた例と並べます。右列は当サイトが作った例で、該当するかは個別の事実関係で判断されます。
| 号 | 規則第7条の事態（要旨） | イベントで当たりうる例 |
|---|---|---|
| 第1号 | 要配慮個人情報が含まれる個人データの漏えい等（高度な暗号化等の措置を講じたものを除く） | 健康状態や障害に関する申告（配慮の申し出）を含む参加者名簿の紛失・誤送信 |
| 第2号 | 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 | 申込時に受け取ったクレジットカード番号の流出／決済機能のあるマイページのIDとパスワードの流出 |
| 第3号 | 不正の目的をもって行われたおそれがある行為による漏えい等（取得しようとしている個人情報を含む） | 申込フォームへの不正アクセス／受付PC・名簿の盗難／スタッフによる名簿の持ち出し／申込ページの改ざん |
| 第4号 | 個人データに係る本人の数が千人を超える漏えい等 | 大型展示会の来場者（1,000人超）全員にCcで一斉送信してアドレスが見えた／共有リンクの設定ミスで来場者リストが誰でも閲覧できた |
数え方と例外で迷いやすい点
- 本人の数：発覚した当初は1,000人以下でも、その後超えたら超えた時点で第4号に当たります。数が確定できないときは、おそれがある最大の数で判断します（ガイドライン）。
- 第3号の不正行為の主体には、外部の第三者だけでなく従業者も含まれます。委託先や、利用しているサービスの提供者に対する行為も対象です（ガイドライン）。
- 第3号は「取得しようとしている個人情報」も対象：申込フォームが改ざんされ、入力された情報が第三者に送られた場合も、データベースに入れる予定だったなら当たります（ガイドライン）。
- 高度な暗号化等の秘匿化がされている場合は、報告を要しません（規則第7条第1号括弧書、ガイドライン）。括弧書は「以下この条…において同じ」と定めており、第1号だけでなく第2号～第4号の判定にもかかります。自社の措置がこれに当たるかは、専門家に確認してください。
「漏えい」「滅失」「毀損」の区別
第26条は漏えいだけでなく、滅失（なくなる）と毀損（壊れる・使えなくなる）も対象にしています。ガイドラインの定義を、イベントの場面に当てはめます。
| 区分 | ガイドラインの定義 | イベントでの例 | 当たらない場合 |
|---|---|---|---|
| 漏えい | 個人データが外部に流出すること | 名簿の誤送付・メールの誤送信、受付名簿の盗難、閲覧設定ミスでの公開 | 第三者に閲覧されないうちに全部回収した場合 |
| 滅失 | 個人データの内容が失われること | アンケートの回収箱を誤って廃棄、名簿を社内で紛失 | 同じデータが他に保管されている場合（社外に出たら漏えい） |
| 毀損 | 意図しない形で変更される、または利用不能になること | 申込データの改ざん、ランサムウェアで暗号化され復元できない | 同じデータが他に保管されている場合（同時に窃取されたら漏えいにも当たる） |
Point
イベントの紙の名簿は「控えがない」ことが多い。 紙だけで管理していた来場者アンケートを紛失すると、他に保管がないので滅失に当たりえ、会場外で失くしたなら漏えいの可能性も出ます。
報告が必要かを判定する5つの問い
- 01
問1：個人データか
名簿・申込データ・名刺管理ツールなど、検索できるように整理された個人情報か。散らばったメモでなく、受付名簿やリストなら個人データとして扱うのが安全です。
- 02
問2：漏えい・滅失・毀損か（おそれを含む）
上の表で区分を確認。閲覧前に全部回収できたか、控えがあるかで結論が変わります。
- 03
問3：第1号～第3号に当たるか
要配慮個人情報を含むか、財産的被害のおそれがあるか、不正の目的によるおそれがあるか。どれかに当たれば人数に関係なく報告対象です。
- 04
問4：本人の数が1,000人を超えるか
第1号～第3号に当たらなくても、1,000人を超えれば第4号。最大の数で判断します。
- 05
問5：委託を受けた業務か
主催者から預かった名簿なら、委託元へ速やかに通知すれば委託先の報告義務は免除。どちらが報告するかを委託元と確認します。
注意
この5問は当サイトの整理です。判断に迷うときは、委員会の案内を確認し、弁護士に相談してください。
期限の数え方：速報と確報
| 速報 | 確報 | |
|---|---|---|
| 期限 | 知った後、速やかに（目安は概ね3～5日以内） | 知った日から30日以内（第3号は60日以内） |
| 報告する内容 | その時点で把握している事項だけでよい | 9項目すべて。判明しない事項は把握分を報告し、判明次第追完 |
| 起算点 | 法人ではいずれかの部署が知った時点 | 同じ。知った日を1日目として数える |
| 休日の扱い | — | 土日・祝日も含めて数える。末日が土日・祝日・年末年始閉庁日（12月29日～1月3日）なら翌日が期限 |
Point
「現場スタッフが知った日」が起算点になりえます。 法人では、いずれかの部署が知った時点が基準です（ガイドライン）。イベント当日に受付が名簿をなくし、本社に伝わったのが週明け、という流れだと、速報の目安（概ね3～5日）のうち数日をそれだけで使ってしまいます。
- 第3号の事態が第1号・第2号・第4号にも当たる場合も、確報は60日以内です（ガイドライン）。
- 速報の時点で全部報告できるなら、1回で速報と確報を兼ねることができます（ガイドライン）。
- 30日・60日は期限であり、可能ならより早く報告することが望ましいとされています（ガイドライン）。
報告する9項目と、イベント事故での書き方メモ
規則第8条第1項の9項目です。右列は、事故直後に社内で情報を集めるときの聞き取りメモとして使えるよう、当サイトがまとめました。
| 規則第8条第1項 | 集めておく情報（イベントの場合） |
|---|---|
| 第1号 概要 | 発生日、発覚日、何が起きたか、発見者、どの号に当たるか、委託元・委託先の有無、経過 |
| 第2号 個人データの項目 | 氏名、会社名、メールアドレス、電話番号、配慮の申し出の内容など |
| 第3号 本人の数 | 申込者数・来場者数との突き合わせ。確定できなければ最大の数 |
| 第4号 原因 | 誤操作、確認手順の欠落、設定ミス、盗難など |
| 第5号 二次被害又はそのおそれの有無と内容 | 迷惑メール・なりすましの連絡が来ていないか |
| 第6号 本人への対応の実施状況 | 通知を送ったか、送った方法と日 |
| 第7号 公表の実施状況 | ウェブサイトへの掲載の有無 |
| 第8号 再発防止のための措置 | 実施済みと今後予定に分けて |
| 第9号 その他参考となる事項 | 上記を補う情報 |
注意
報告は原則、個人情報保護委員会ホームページの報告フォームから行います（ガイドライン）。業種によっては、委員会から権限の委任を受けた事業所管大臣に報告する場合があり、期限は同じです（規則第8条第3項第2号、ガイドライン）。
発覚した直後にやること（初動の5つ）
ガイドラインは、漏えい等事案が発覚したときに講ずべき措置として次の5つを挙げています。説明文はイベント運営に当てはめたものです。
- 01
社内の報告と被害の拡大防止
責任ある立場の者に直ちに報告し、被害が広がらないようにする。誤送信なら受信者への削除依頼、共有リンクなら公開設定の停止、紛失なら会場・移動経路の捜索と施設への届け出。
- 02
事実関係の調査と原因の究明
いつ、誰が、何を、どうしたか。送信ログ、ツールのアクセス履歴、当日の担当表を押さえる。
- 03
影響範囲の特定
対象の項目と本人の数を確定する。申込データと突き合わせる。
- 04
再発防止策の検討と実施
原因に対応した策にする。「気をつける」ではなく手順と仕組みを変える。
- 05
委員会への報告と本人への通知
4類型に当たれば速報・確報と本人通知。事案に応じて、事実関係と再発防止策を速やかに公表することが望ましいとされています。
当日、現場で最初の1時間に確認すること
- 見つけた人が、自分で判断せずに責任者へ伝えた
- 発覚した日時と、誰が最初に知ったかを記録した（期限の起算点になりうる）
- 誤送信なら、受信者に開封せず削除するよう依頼した
- 共有リンク・ツールの公開設定を止めた
- 紛失物は会場・施設の管理者に届け出て、移動経路を確認した
- 対象のデータ（名簿の版、送ったファイル）を特定し、保全した
- 主催者から預かった名簿なら、委託元の担当者に第一報を入れた
- やったことと時刻を時系列でメモし始めた
本人への通知：内容・方法・代替措置
| 項目 | 内容 | 根拠 |
|---|---|---|
| 時期 | 事態を知った後、当該事態の状況に応じて速やかに | 規則第10条 |
| 内容 | 本人の権利利益を保護するために必要な範囲で、概要／個人データの項目／原因／二次被害又はそのおそれの有無と内容／その他参考となる事項 | 規則第10条（第8条第1項第1・2・4・5・9号） |
| 方法 | 本人に直接知らせる合理的かつ適切な方法。例は郵便等での文書送付、電子メール。様式は法令で決まっていない | ガイドライン |
| 困難な場合 | 連絡先を持っていない、連絡先が古くて届かない場合は、代替措置（事案の公表、問合せ窓口を設けて公表し本人が確認できるようにする） | 法第26条第2項ただし書、ガイドライン |
委員会に報告した詳細をすべて書く必要はなく、本人に関係する内容を選んで通知する形が認められています（ガイドラインの事例）。「その他参考となる事項」には、本人が自分の身を守るために取れる措置を書くとよいとされています。
そのまま使える例文7つ
◯◯は自社の内容に置き換えてください。原因を曖昧にしない、本人にしてほしいことを具体的に書く、問い合わせ先を必ず書く、の3点を共通の型にしています。
例文1 本人への通知：メールの一斉送信でアドレスが見えた場合
件名：【お詫び】◯◯ご案内メールにおけるメールアドレスの誤表示について
◯◯にお申し込みいただいた皆様
株式会社△△の□□です。
◯月◯日◯時ごろにお送りした「◯◯のご案内」メールにおいて、本来は他の方に見えない形で送るべきところ、宛先を誤って設定したため、受信された皆様のメールアドレスが互いに表示される状態となっておりました。
■ 表示された情報：メールアドレス（氏名等は含まれておりません）
■ 対象：同メールを受信された◯名の方
■ 原因：送信時に宛先の欄を誤って指定し、送信前の確認が行われなかったこと
■ 二次被害：現時点で確認されておりません
大変お手数ですが、当該メールを削除していただきますよう、お願い申し上げます。
また、見覚えのない差出人からのメールにご注意ください。
このたびは多大なるご迷惑とご心配をおかけし、深くお詫び申し上げます。
今後は一斉送信の手順を見直し、送信前に担当者以外が確認する体制とします。
お問い合わせ窓口：◯◯（メール◯◯／電話◯◯ 受付時間◯時～◯時）
例文2 本人への通知：受付名簿を紛失した場合
件名：【お詫び】◯月◯日開催「◯◯」受付名簿の紛失について
◯◯様
株式会社△△の□□です。
◯月◯日に開催いたしました「◯◯」において、当日の受付で使用した参加者名簿を紛失いたしました。
■ 名簿に記載されていた情報：お名前、ご所属、ご連絡先（電話番号）
■ 経緯：撤収作業の際に名簿の所在を確認しないまま会場を退出し、翌日に紛失が判明しました
■ 現在の状況：会場の管理者に届け出て捜索を続けております。第三者による不正な利用は、現時点で確認されておりません
心当たりのない電話や、当社を名乗る不審な連絡がありましたら、下記の窓口までお知らせください。
ご迷惑とご心配をおかけしましたことを、心よりお詫び申し上げます。
今後は紙の名簿の印刷部数を減らし、撤収時に担当者が回収を確認する手順を設けます。
お問い合わせ窓口：◯◯
例文3 本人への通知：申込フォームに不正アクセスがあった場合
件名：【重要】「◯◯」申込フォームへの不正アクセスに関するお知らせとお詫び
◯◯様
株式会社△△の□□です。
当社が運営する「◯◯」の申込フォームに、第三者による不正なアクセスがあったことが判明いたしました。お申し込みいただいた方の情報が外部に流出したおそれがあります。
■ 流出したおそれのある情報：お名前、メールアドレス、ご所属、電話番号
■ 対象期間：◯月◯日～◯月◯日にお申し込みいただいた方
■ 原因：調査中です。判明した内容は改めてお知らせいたします
■ 現在の対応：フォームを停止し、外部の専門機関と調査を進めております
当社を装ったメールで、パスワードや決済情報の入力を求めることはございません。不審なメールのリンクは開かないよう、ご注意ください。
多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。
お問い合わせ窓口：◯◯
例文4 委託先から委託元への第一報（受付代行・名簿入力を受託している場合）
件名：【至急】◯◯様からお預かりした参加者名簿の取扱いに関する事故のご報告（第一報）
株式会社◯◯
◯◯部 ◯◯様
いつもお世話になっております。株式会社△△の□□です。
お預かりしている「◯◯」参加者名簿について、事故が発生いたしましたので、第一報としてご報告いたします。
■ 発覚日時：◯月◯日◯時ごろ（当社の◯◯が発見）
■ 概要：◯◯
■ 対象の情報：◯◯（項目）、◯名分（現時点の最大数）
■ 原因：◯◯（調査中の事項を含みます）
■ 二次被害：現時点で確認されておりません
■ 当社の対応：◯◯
現時点で把握している内容のみのご報告となり、申し訳ございません。判明した事項は、随時ご報告いたします。
本件の委員会へのご報告や、ご本人様へのご通知の進め方について、ご指示をいただけますでしょうか。
ご迷惑をおかけし、誠に申し訳ございません。
例文5 現場から責任者への社内第一報（チャット・電話のメモ）
【個人情報の事故】◯◯（イベント名）
・いつ気づいたか：◯月◯日◯時◯分、◯◯（名前）が発見
・何が起きたか：◯◯
・対象：◯◯（名簿・メール・ファイル名）、だいたい◯名分
・今やっていること：◯◯（削除依頼／リンク停止／捜索）
・預かった名簿か：はい（主催者は◯◯）／いいえ
判断はお任せします。指示をください。
例文6 誤って送ってしまった相手への削除のお願い
件名：【お詫びとお願い】先ほどお送りしたメールの削除について
◯◯様
株式会社△△の□□です。
先ほど◯時ごろにお送りしたメールは、本来別の方にお送りすべきもので、私の確認不足により◯◯様に誤ってお送りしてしまいました。
大変恐縮ですが、添付ファイルを開かずに、メールを削除していただけますでしょうか。
お手数ですが、削除いただけましたら、このメールにご返信いただけますと幸いです。
ご迷惑をおかけし、誠に申し訳ございません。
例文7 ウェブサイトに掲載する公表文（連絡先がわからない方がいる場合の代替措置）
◯月◯日開催「◯◯」の来場者アンケート紛失に関するお詫びとお知らせ
◯月◯日に開催いたしました「◯◯」において、会場で回収した来場者アンケートの一部を紛失いたしました。アンケートには、お名前、ご所属、ご感想が記載されておりました。
連絡先のご記入がない方もいらっしゃるため、本ページでお知らせいたします。
当日アンケートにご記入いただいた方で、ご自身の情報が含まれているかを確認されたい方は、下記の窓口までお問い合わせください。
■ 経緯：◯◯
■ 原因：◯◯
■ 再発防止策：◯◯
ご来場の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。
お問い合わせ窓口：◯◯（受付期間◯月◯日まで）
注意
お詫びの言い回しはお詫びメールの書き方も参考にしてください。例文中の「現時点で確認されておりません」は、実際に確認した場合だけ書いてください。
委託している・受託している場合の役割分担
| 立場 | すること | 根拠 |
|---|---|---|
| 委託元（主催者） | 委託先で起きた事態でも報告義務を負う。委託先から通知を受けた時点で、遅くとも「知った」ことになる | ガイドライン |
| 委託先（受付代行・入力業者） | 原則は委託元と双方が報告義務と本人への通知義務を負う（報告は連名でも可）。委託元に速やかに通知すれば、委託先の報告義務と本人への通知義務は免除。通知の目安も概ね3～5日以内 | 法第26条第1項ただし書・第2項、規則第9条、ガイドライン |
| 通知した後の委託先 | 事態の把握を行い、必要に応じて委託元の報告と本人への通知に協力する | ガイドライン |
Point
受注の段階で、事故時の連絡先・連絡手段・第一報の期限を契約に書いてください。 委託元には第25条の委託先への必要かつ適切な監督の義務もあります（委託と監督）。
イベントで起きやすい場面と、当たりうる類型
| 場面 | 起きること | 当たりうる類型 |
|---|---|---|
| メールの誤送信 | 全員をTo・Ccに入れて一斉送信／別イベントの名簿を添付 | 人数が1,000人超なら第4号。配慮の申し出を含む名簿なら第1号 |
| 紙の名簿・アンケートの紛失 | 受付の名簿を置き忘れる／回収箱ごと紛失 | 盗難のおそれなら第3号。配慮の申し出を含めば第1号 |
| 画面の映り込み | 配信中に参加者リストを開く／投影中に受信箱が映る | 内容と人数次第。記録が残る配信は拡散の範囲を確認 |
| 端末・媒体の紛失・盗難 | 名簿の入ったPC・USBを会場に忘れる／車上で盗まれる | 盗難なら第3号のおそれ。暗号化の有無を確認 |
| 権限設定の誤り | 共有リンクを誰でも閲覧可にする／ツールの共同ホストに外部の人を設定 | 人数が1,000人超なら第4号 |
| 申込ページへの攻撃 | フォームの改ざん、管理画面への不正ログイン | 第3号 |
Point
紙の名簿の紛失、画面の映り込み、端末の置き忘れは、イベント当日に集中して起きます。 人手が足りず、場所が普段と違い、臨時のスタッフが動く。事故が起きやすい条件が揃う日だという前提で、当日の運用を設計してください。
よくある失敗
| 失敗 | なぜ問題か | こうする |
|---|---|---|
| 確定するまで報告しない | 対象は「おそれ」の段階から。速報は把握分だけでよい | わかっている範囲で速報し、確報で補う |
| 本社が知った日から期限を数える | 法人では、いずれかの部署が知った時点が基準 | 現場が気づいた日時を記録し、そこから数える |
| 確報の30日を営業日で数える | 土日・祝日も含めて数える | 知った日を1日目として暦日で数える |
| メールアドレスだけだから報告不要と決める | 人数が1,000人を超えれば第4号に当たる | 項目と人数の両方で判定する |
| 受託した側が黙って社内で処理する | 委託元に通知しなければ、委託先自身の報告義務が残る | 委託元へ速やかに第一報を入れる |
| 本人への通知で原因をぼかす | 原因は規則第10条で通知する事項に入っている | わかった範囲で原因を書き、未判明なら調査中と書く |
| 連絡先がないので何もしない | 通知が困難なら代替措置をとることが前提 | 公表か問合せ窓口の設置で対応する |
起きる前にやっておくこと
- 01
どこに何があるかを一覧にする
申込データ、名刺、紙のアンケート、ツール内のデータ、スタッフの端末。これがないと影響範囲を特定できません。
- 02
連絡の順番を決めて周知する
現場→責任者→（受託なら）委託元→弁護士。当日の現場スタッフが最初に誰に言うかまで決めます。
- 03
紙の持ち出しを減らす
紙の名簿を何部刷るか、誰が持つか、終了後どうするか。刷る枚数を減らすのがいちばん効きます。
- 04
一斉送信の手順を決める
宛先の指定方法、送信前の確認者、テスト送信（メール誤送信とBCC）。
- 05
権限をイベントごとに付与して外す
共有ドライブ、ツールのアカウント、協力会社のアクセスを終了後に棚卸しします。
- 06
通知文と報告メモのひな形を用意する
この記事の例文と9項目の表を社内用に保存しておけば、当日に一から書かずに済みます。
- 個人データの所在を一覧にしている（紙を含む）
- 現場スタッフが最初に誰に言うかを周知している
- 発覚日時を記録するルールがある
- 紙の名簿の印刷部数と回収・廃棄の担当を決めている
- 一斉送信に人の確認手順を入れている
- イベントごとに権限を付与し、終了後に外している
- 委託先・委託元との連絡経路と第一報の期限を契約に書いている
- 本人通知・公表文・社内第一報のひな形を用意している
- 相談できる弁護士を確保している
根拠と出典
- 個人情報の保護に関する法律（e-Gov法令検索）第25条・第26条
- 個人情報の保護に関する法律施行規則（e-Gov法令検索）第7条～第10条
- 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）3-5
注意
2026年11月時点で原文を確認しています。実際に事態が生じた場合は、個人情報保護委員会の案内を確認し、弁護士に相談してください。 例文と場面の当てはめは当サイトの作成で、個別の事案の該当性を判断するものではありません。
この記事の要点
- 報告が要るのは規則第7条の4類型（要配慮個人情報／財産的被害のおそれ／不正の目的のおそれ／本人の数が1,000人超）。「おそれ」の段階から対象。
- 速報は知った後速やかに（目安は概ね3～5日以内）、確報は30日以内（第3号は60日以内）。確報は土日・祝日も含めて数える。
- 法人ではいずれかの部署が知った時点が起算点。現場が気づいた日時を記録する。
- 報告は9項目（規則第8条第1項）。速報は把握分だけでよい。原則は委員会の報告フォーム。
- 本人通知は概要・項目・原因・二次被害・参考事項。連絡先がなければ公表か問合せ窓口の代替措置。
- 受託した側は委託元へ速やかに通知すれば委員会への報告義務と本人への通知義務は免除。連絡経路は受注時に決める。
FAQ
よくある質問
必ずではありません。報告が義務になるのは、規則第7条の4類型（要配慮個人情報を含む、財産的被害のおそれ、不正の目的によるおそれ、本人の数が1,000人を超える）のいずれかに当たる漏えい等、またはそのおそれがある事態です。当たらない場合でも任意で報告することはできます（ガイドライン）。
速報は事態を知った後速やかに行い、ガイドラインでは目安を概ね3～5日以内としています。確報は知った日から30日以内、不正の目的によるおそれがある事態（第3号）は60日以内です（規則第8条第2項）。確報の期限は土日・祝日も含めて数え、知った日を1日目とします。
個別の事案ごとに判断されますが、法人の場合は、いずれかの部署が当該事態を知った時点が基準です（ガイドライン）。イベント当日に現場のスタッフが気づいたなら、その時点が基準になりえます。
現場で判断せず、すぐに責任者へ伝えてください。会場の管理者への届け出と捜索で拡大を止め、名簿の項目と人数、経緯を記録します。盗難のおそれがある、配慮の申し出を含む、人数が1,000人を超えるなどの場合は報告対象になりえます。控えがなければ滅失にも当たりえます。
項目がメールアドレスだけで、第1号～第3号に当たらない場合でも、本人の数が1,000人を超えれば第4号に当たります。1,000人以下で他の号にも当たらなければ報告義務の対象外ですが、本人へのお詫びと削除依頼、再発防止は別に必要です。
はい。速報は、報告をしようとする時点で把握している事項だけでよいとされています（規則第8条第1項）。確報の時点でも判明しない事項は、把握している内容を報告し、判明次第追完します（ガイドライン）。
郵便等での文書送付や電子メールなど、本人に直接知らせる方法で行います（ガイドライン）。内容は概要、個人データの項目、原因、二次被害又はそのおそれの有無と内容、その他参考となる事項です（規則第10条）。連絡先がない、古くて届かないなどの場合は、事案の公表や問合せ窓口の設置といった代替措置で対応します。
原則として委託元と委託先の双方が報告義務を負いますが、委託先が委託元に速やかに通知したときは、委託先の報告義務は免除され、本人への通知義務も免除されます（法第26条第1項ただし書・第2項、規則第9条、ガイドライン）。通知の目安も概ね3～5日以内です（ガイドライン）。誰が誰に連絡するかを受注の段階で決めておいてください。
ガイドラインは、個人データを第三者に閲覧されないうちに全てを回収した場合は漏えいに当たらないとしています。相手が開封前に削除したと伝えてくれた場合にこれに当たるかは個別の判断になり、閲覧されていないと確認できない場合は漏えいとして扱うのが安全です。相手とのやり取りと確認の経緯を記録し、判断に迷うときは委員会の案内を確認するか弁護士に相談してください。