漏えいしたら、いつまでに何を報告するのか

• 報告の対象は4つの事態に限られる
• 速報は発覚から3〜5日以内
• 本人への通知も必要になる

個人データの漏えいが起きたとき、何をいつまでにやるのか。制度の側から整理する。

いつから義務になったか

• 令和4年4月1日から
• 個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるとき
• 個人情報保護委員会への報告と、本人への通知が必要になる

それ以前は努力義務だった。いまは義務だ。

報告の対象となる4つの事態

不正アクセスは件数に関係なく3番に当たる。35人分でも対象になる。

要配慮個人情報とは

• 人種、信条、社会的身分
• 病歴、犯罪の経歴
• 犯罪により害を被った事実
• 障害があること、健康診断の結果など

キッセイ薬品の事例では、顧客情報や病歴などの要配慮個人情報が流出した可能性があると報じられている。

財産的被害のおそれ

• クレジットカード番号
• 送金に使える情報
• 決済に使えるIDとパスワードの組み合わせ

カード番号が含まれれば、件数に関わらず対象だ。

速報の期限

ここが短い。

• 発覚から3〜5日以内
• その時点で把握している内容を報告する
• 分からない項目は分からないまま出す

公表される第1報の内容が薄いのは、この期限があるからだ。

確報の期限

• 原則として発覚から30日以内
• 不正な目的により行われたおそれがある場合は60日以内
• すべての事項を報告する

不正アクセスは2つ目に当たることが多い。60日での報告になる。

報告する内容

1. 概要
2. 漏えい等が発生した個人データの項目
3. 対象となる本人の数
4. 原因
5. 二次被害またはそのおそれの有無
6. 本人への対応の実施状況
7. 公表の実施状況
8. 再発防止のための措置
9. その他参考となる事項

4つ目と8つ目は、調査が終わらないと書けない。だから確報に時間がかかる。

本人への通知

• 事態の状況に応じて速やかに行う
• 概要、漏えいした項目、原因などを伝える
• 本人にとって分かりやすい方法で行う

期限は日数で定められていない。速やかにという基準だ。

通知が難しい場合

代替措置が認められている。

• ホームページ等での公表
• 問合せ窓口の設置

連絡先が分からない退会者などには、個別に通知できない。公表が通知の代わりになる。

委託先で起きた場合

今回の事案で多かった形だ。

• 委託元が個人データの取扱いを委託している場合、報告の義務は委託元にある
• 委託先が委託元に通知すれば、委託先は報告を免除されうる
• つまり委託先からの連絡が止まると、委託元は義務を果たせない

第一興商の事例は、委託先のマルウェア感染が発端と報じられている。連絡の速さが期限に直結する。

契約に書いておく項目

1. 事故を把握したら何時間以内に連絡するか
2. 連絡する相手は誰か
3. 調査にどこまで協力するか
4. 再委託の可否

1つ目を書かないと、速報の3〜5日が消える。

社内で決めておくこと

• 誰が「報告対象の事態」と判定するか
• 誰が報告書を作るか
• 誰が個人情報保護委員会に提出するか
• 公表の文面を誰が承認するか

1つ目が決まっていないと、判定で数日が過ぎる。

報告しなかった場合

• 個人情報保護委員会による指導、勧告、命令の対象になりうる
• 命令に従わない場合の罰則がある
• 公表の遅れ自体が信用に影響する

3つ目が実務では重い。隠したと受け取られる。

小規模な事業者も対象

規模の除外は無い。

• 取扱う個人データの数にかかわらず対象
• 個人事業主も対象
• 問い合わせフォームの内容も個人データになりうる

3つ目を見落としやすい。フォームの送信内容が溜まっていれば、それも対象だ。

まとめ

1. 対象は4つの事態。不正アクセスは件数に関係なく対象
2. 速報は発覚から3〜5日以内
3. 確報は30日、不正目的のおそれがあれば60日
4. 本人への通知も必要。困難なら公表で代替できる
5. 委託先からの連絡の速さが、自社の期限を決める

期限が短い。起きてから手順を考えると間に合わない。

出典

• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個別の事案は、日本経済新聞、テレビ信州の各報道による

制度の運用と適用は個別の事情で変わる。この記事は法的な助言ではない。実際の対応は所管の規定と専門家の助言に従ってほしい。