報告対象となる漏えい等の事態が生じた場合、個人情報取扱事業者は、事態を知った後速やかに行う速報と、原則として事態を知った日から30日以内（不正の目的による行為の場合は60日以内）に行う確報の、二段階の報告を要する。

報告対象事態については、まず速報（知った後速やかに、おおむね3〜5日以内）を行い、次いで確報（原則として知った日から30日以内、不正の目的による行為による漏えい等は60日以内）を個人情報保護委員会に行うという二段階の報告が求められる（個人情報保護法26条1項、規則）。