今回は、個人情報保護法ということで、個人データの漏洩等が発生した場合の対応について見てみたいと思います。
ではさっそく。なお、引用部分の太字、下線、改行などは管理人によるものです。
メモ
このカテゴリーでは、インハウスとしての法務経験からピックアップした、管理人の独学や経験の記録を綴っています。
ネット上の読み物としてざっくばらんに書いており、感覚的な理解を掴むことを目指していますが、書籍などを理解する際の一助になれば幸いです。
漏洩等事案が発覚した場合に講ずべき措置（通則ガイドライン3-5-2）
個人情報取扱事業者は、個人データの漏えい・滅失・毀損又はそのおそれのある事案（漏えい等事案）が発覚した場合は、漏えい等事案の内容等に応じて、
- 事業者内部における報告及び被害の拡大防止
- 事実関係の調査及び原因の究明
- 影響範囲の特定
- 再発防止策の検討及び実施
- 個人情報保護委員会への報告及び本人への通知（法26条）
について必要な措置を講じなければならない、とされています（通則ガイドライン3-5-2）。
個人情報保護員会への報告（法26条1項）
上記⑤に関しては、漏えい等事案のなかでも、個人の権利利益を害するおそれが大きいもの（報告対象事態）が生じたときは、個人情報保護員会への報告及び本人への通知が必要とされています（法26条）。
▽個情法26条
（漏えい等の報告等）
第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。…（略）…
２ 前項に規定する場合には、個人情報取扱事業者…（略）…は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。…（略）…
これは、上記①～④まではあくまでもガイドライン上の指針であるのに対して、上記➄に関しては、報告対象事態に限っては個情委への報告と本人への通知が法的義務であることを明確化したものです。
報告対象事態：どのような場合に報告が必要か（規則7条）
報告対象事態は、規則7条に定められています。以下の1号～4号までがあります。
▽施行規則7条
（個人の権利利益を害するおそれが大きいもの）
第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
なお、4号については、事態が発覚した当初は 1,000 人以下であっても、その後 1,000人を超えた場合には、1,000 人を超えた時点で4号に該当するとされています（通則ガイドライン3-5-3-1）。
具体例としては、以下のようなものが挙げられています（通則ガイドライン3-5-3-1）。
| 報告対象事態 | 具体例 |
|---|---|
| 要配慮個人情報が含まれる個人データの漏洩等が発生または発生したおそれがある事態（1号） | ・病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合 ・従業員の健康診断等の結果を含む個人データが漏えいした場合 |
| 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏洩等が発生または発生したおそれがある事態（2号） | ・ECサイトからクレジットカード番号を含む個人データが漏えいした場合 ・送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データが漏えいした場合 |
| 不正の目的をもって行われたおそれがある個人データの漏洩等が発生または発生したおそれがある事態（3号） | ・不正アクセスにより個人データが漏えいした場合 ・ランサムウェア等により個人データが暗号化され、復元できなくなった場合 ・個人データが記載又は記録された書類・媒体等が盗難された場合 ・従業者が顧客の個人データを不正に持ち出して第三者に提供した場合 |
| 個人データの数が1,000人を超える漏洩等が発生または発生したおそれがある事態（4号） | ・システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000 人を超える場合 |
報告事項：何を報告するか（規則8条1項各号）
報告事項は、規則8条1項で1号～9号まで定められており、以下のようになっています。
条文も確認してみます。
▽施行規則8条1項各号
一 概要
二 漏えい等が発生し、又は発生したおそれがある個人データの項目
三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
四 原因
五 二次被害又はそのおそれの有無及びその内容
六 本人への対応の実施状況
七 公表の実施状況
八 再発防止のための措置
九 その他参考となる事項
報告期限：いつまでに報告するか（規則8条）
個人情報保護委員会への報告は、速報と確報の2段階に分かれていることがポイントです。
速報（1項）
まず、個人情報取扱事業者は、報告対象事態を知ったとき、速やかに報告しなければなりません（速報）。
「知った」は、法人である場合はいずれかの部署が報告対象事態を知った時点であり、「速やか」の日数の目安については、個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内とされています。もっとも、どちらについても個別の事案ごとの判断になります（通則ガイドライン3-5-3-3）。
速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足ります（1項括弧書き）。
▽施行規則8条1項
（個人情報保護委員会への報告）
第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
一～九 （略）
確報（2項）
次に、個人情報取扱事業者は、報告対象事態を知ったときは、速報に加えて、30日以内又は60日以内に報告しなければなりません（確報）。
確報においては、上記の報告事項①～⑨までに掲げる事項の全てを報告する必要があります。確報を行う時点において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとされています（通則ガイドライン3-5-3-4）。
速報の時点で全ての事項を報告できる場合は、速報と確報を兼ねることができます（通則ガイドライン3-5-3-4）。
▽施行規則8条2項
２ 前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
報告先と報告方法：どこに報告するか（施行規則8条3項）
報告先は、基本的に個人情報保護委員会ですが、委員会が報告を受理する権限を事業所管大臣に委任している場合には、その委任先省庁に報告することになっています（この場合、委任先省庁から委員会に報告が行く）。
報告先により、報告方法も若干異なっており、
- 個人情報保護委員会への報告
- 個人情報保護委員会HPにある報告フォームに入力する方法（「電子情報処理組織…を使用する方法」）
- 故障・災害等により上記の使用が困難な場合は、施行規則の別記様式第一による報告書を提出する方法
- 委任先省庁への報告
- 施行規則の別記様式第一による報告書を提出する方法
- 事業所管大臣が別途定めた方法がある場合は、その方法
となっています。
▽施行規則8条3項
３ 法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
一 個人情報保護委員会に報告する場合 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）
二 法第百五十条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）
委託元への通知による報告義務の免除（法26条1項但書）
個人データの取扱いを委託している場合、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態が発生したときは、原則として委託元と委託先の双方が報告する義務を負います。この場合、委託元及び委託先の連名で報告することができます（通則ガイドライン3-5-3-2）。
ただし、委託先が、報告義務を負っている委託元に報告対象事態が発生したことを通知したときは、委託先は報告義務を免除されます（法26条1項ただし書）。この場合、委託先から通知を受けた委託元が、個人情報保護員会に報告することになります。
▽個情法26条1項
（漏えい等の報告等）
第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者…（略）…から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者…（略）…に通知したときは、この限りでない。
委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければなりません。
▽施行規則9条（※【 】は管理人注）
（他の個人情報取扱事業者への通知）
第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知【＝委託元への通知】をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。
-
-
個人情報保護法｜委託先で個人情報漏えい（報告対象事態）が発生した場合の対処
本人への通知（法26条2項）
本人への通知の趣旨
漏えい等の発生時において、本人がその事実を認知できなければ、クレジットカードの利用停止手続やパスワード変更など、自らの権利利益を保護するための対処をとることができません。
そのため、報告対象事態が生じた際には、本人への通知を行うことが義務付けられています（法26条2項）。事業者が警察等の捜査機関や個情委に対応するだけでなく、影響を受ける本人に対して迅速に事実を伝え、二次被害の防止や権利回復の機会を確保することが目的です。
本人への通知の具体的内容・時期・方法
通知を行う主体と時期
通知義務を負う主体は、原則として漏えい等が発生した個人データを取り扱う個人情報取扱事業者です。業務委託において受託者が委託元へ適切に漏えい発生の通知を行った場合には、個情委への報告義務と同様、受託者自身の本人通知義務は免除され、委託元に通知義務が集約されます（2項括弧書き）。
▽個情法26条2項（※【 】は管理人注）
２ 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知【＝委託元への通知】をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、…（略）…。
通知の時期は、報告対象事態を知った後、当該事態の状況に応じて速やかに行うこととされています（規則10条）。
▽施行規則10条
（本人に対する通知）
第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。
これは、状況によっては即座の通知が適当でない場合もあり得るためです。
例えば、不正アクセスを受けたウェブサイトや掲示板において被害拡大を防ぐための初期対応（削除要請やセキュリティ対策）が完了していない段階で通知を行うと、かえって攻撃を誘発し被害が拡大するおそれがあります。また、事実関係が未解明な段階で不正確な情報を伝えると本人に不要な混乱を生じさせるおそれがあるため、必要な初動対応や事実調査の進捗を踏まえて適切なタイミングで実施することが求められます（通則ガイドライン 3-5-4-2 通知の時間的制限 参照）。
本人に通知すべき項目
個情委への報告では、前述のように9つの項目が定められていますが（規則8条1項）、全体での漏えい人数や、事業者内部の再発防止措置の全容など、本人の直接的な対処に関連性の薄い項目については、本人通知の必須項目から除外されています。
具体的に、本人へ通知すべき事項は、
- 概要（発生事案の概要や経過）
- 漏えい等が発生し、または発生したおそれがある個人データの項目
- 原因
- 二次被害またはそのおそれの有無およびその内容
- その他参考となる事項（問い合わせ窓口や、本人が自ら被害を防ぐために取り得る措置など）
となっています（規則10条）。
また、本人への通知においては、本人が自らの権利利益を保護するために必要な情報に限定して通知することが定められています（規則10条）。
例えば、
- 不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること
- 漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること
がこれにあたります（通則ガイドライン 3-5-4-3 通知の内容 参照）。
通知の手法
本人への通知は、通知内容が本人に確実に認識される合理的かつ適切な方法で行う必要があります。
具体的には、書面の郵送、電子メールの送信、Webサイト上の専用マイページへのメッセージ送信などが該当します。個情委報告のように統一された指定様式はありませんが、専門用語を避け、わかりやすい表現で直接伝達することが推奨されます。
▽通則ガイドライン 3-5-4-4 通知の方法
「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（2-14(本人に通知)参照）。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
本人への通知が免除される条件と代替措置
「本人への通知が困難な場合」の判断基準
報告対象事態が発生した場合は原則として本人通知が必要ですが、本人への通知が困難な場合であって、本人の保護に必要な代替措置をとるときは、直接の本人通知義務が免除されます（法26条2項ただし書）。
▽個情法26条2項
２ 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
「本人への通知が困難な場合」に該当する事由としては、
- 事業者が保有する個人データの中に、住所やメールアドレスなどの連絡先情報が含まれていない場合
- 連絡先情報を保有しているものの、情報が古く転居先不明等により連絡が不達となった場合
といったケースが挙げられます（通則ガイドライン 3-5-4-5 通知の例外 参照）。
連絡先を複数保有している場合（例：住所と電話番号の両方を把握している場合）は、1つの手段（郵送）で届かなかったからといって直ちに「困難」とは判断されず、電話など他の連絡手段の利用を試みることが求められます。
代替措置の具体的な内容
本人への直接通知が困難であると認められる場合、事業者は、以下の代替措置を講じることで本人通知義務を果たしたとみなされます（通則ガイドライン 3-5-4-5 通知の例外 参照）。
- 事態の概要等の公表（自社ウェブサイトのトップページ等での事案告知）
- 専用の問い合わせ窓口の設置および公表（コールセンターや専用フォームを開設し、本人が自らの個人データが対象に含まれているか確認できるようにすること）
公表する内容については、二次被害の拡大を防ぐ観点から、特定の個人が識別されるおそれのある過度な情報の掲載は避けつつ、本人への通知項目に準じた内容を掲載することが適切とされています。
Memo: 本人への通知まとめ
個人情報の漏えい等が発生した際の本人通知は、本人が二次被害を防ぐための重要な手続です。
原則として対象者への直接通知が求められますが、連絡先の不存在などにより直接通知が困難な場合は、Webサイトでの公表や確認窓口の設置といった代替措置を実施することで法的要件を満たすことが可能です。
結び
今回は、個人情報保護法ということで、個人データの漏洩等が発生した場合の対応について見てみました。
漏えい等が発生した場合の対応については、個人情報保護委員会のYouTubeチャンネルに解説動画があります。
▽個人情報保護委員会のYouTubeチャンネル
・マンガで学ぶ個人情報保護法「漏えい等報告と安全管理措置について」（令和5年4月）
https://www.youtube.com/watch?v=x2ZA7xvRfag
個人情報保護法の関連記事一覧はこちら
-
-
個人情報保護 - 法律ファンライフ
houritsushoku.com
【PR】管理部門・士業特化の転職エージェント / 下のバナーから相談フォームに進めます（無料）
［注記］
本記事を含む一連の勉強記事は、過去の自分に向けて、①自分の独学や経験の記録を見せる、②感覚的な理解を伝えることを優先する、③細かく正確な理解は書物に譲る、ということをコンセプトにした読みものです。ベテランの方が見てなるほどと思うようなことは書かれていないほか、業務上必要であるときなど、正確な内容については別途ご確認ください。また、法改正をはじめとした最新の情報を反映しているとは限りませんので、ご注意ください。
個人情報保護法に関するその他の記事（≫カテゴリページ）
主要法令等・参考文献
主要法令等
- 個人情報保護法（「個人情報の保護に関する法律」）
- 個人情報保護法施行令（「個人情報の保護に関する法律施行令」）
- 個人情報保護法施行規則（「個人情報の保護に関する法律施行規則」）
- 通則ガイドライン（「個人情報の保護に関する法律についてのガイドライン（通則編）」）
- 外国提供ガイドライン（「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」）
- 確認・記録ガイドライン（「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」）
- ガイドラインQ&A（「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」）
- 令和3年パブコメ（令和3年8月2日付「『個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示』等に関する意見募集の結果について」）
- 金融ガイドライン（「金融分野における個人情報保護に関するガイドライン」）
- 電気通信ガイドライン（「電気通信事業における個人情報保護に関するガイドライン」）
参考文献
当サイトではアフィリエイトプログラムを利用して商品・サービスを記載しています
参考文献image
※注：「個人情報保護法の解説」には第三次改訂版があります
