個人情報保護委員会の案内では、報告が義務になるのは、要配慮個人情報を含むとき、不正に使われてお金の被害が出るおそれがあるとき、不正な目的で行われたおそれがあるとき、1,000 人を超える人の情報のとき、などです。わかったら、まずは速やかに報告します。不正な目的で行われたおそれがある場合は、わかった日から 60 日以内です。
委員会のガイドラインには、高度な暗号化などで中身を読めないようにしてあった場合は、報告を要しないと書かれています。なくしたパソコンや盗まれた機器の中身を暗号化していたかどうかが、対応を分けることがあります。手順はノートパソコンをなくしたときのコラムに書いています。