正解：ウ
各選択肢の解説
ア取引先300名の氏名とメールアドレスを、宛先が互いに見える形で一斉送信した。
誤り。氏名とメールアドレスの漏えいですが、要配慮個人情報を含まず、人数も1,000人を超えないので、 報告が義務となる事態に当たりません。「漏えいしたら必ず報告」と考えがちですが、 義務は類型で決まります。社内の手順に沿った対応やおわびは別に必要です。
イ会員800名の氏名・住所・電話番号を載せた紙の名簿を、外出先で紛失した。
誤り。紙でも整理された名簿は個人データですが、人数による類型は「1,000人を超える」場合です。 800名では超えず、他の類型にも当たらないので報告の義務はありません。 紙だから対象外、ではなく、人数の基準に届かないから対象外です。
ウ従業員1名の健康診断の結果を記載したファイルを、取引先へ誤って送信した。
正解。健康診断の結果は要配慮個人情報です。要配慮個人情報を含む個人データの漏えいは、 1名分でも報告が必要です。人数の基準は、他の類型に当たらないときに使う別の基準です。
エ顧客5,000名の名簿を、高度に暗号化したUSBメモリごと紛失した。鍵は漏れていない。
誤り。人数は1,000人を超えますが、高度な暗号化など本人の権利利益を守る措置を講じたデータは、 報告の対象から除かれます。ただし、復号できる鍵まで漏れた場合は除外になりません。 暗号化したことが報告の要否を分ける、という点が条件違いです。
理解を深めるために
報告が要るかは「件数」より先に「中身」で決まる
漏えいが起きたとき、個人情報保護委員会へ報告するかどうかは「何人分か」だけでは決まりません。 病院のカルテ1枚の紛失と、ダイレクトメールの宛名リストの紛失では、本人が受ける害の重さが違います。 法令は、害が大きくなりやすい事態を類型として決め、その類型に当たるものに報告を義務づけています。
報告が必要になる4つの類型
個人情報保護法と施行規則は、次のいずれかに当たる事態（発生したおそれがある場合を含む）について、 個人情報保護委員会への報告と本人への通知を求めています。
- 要配慮個人情報（病歴、健康診断の結果など）を含む個人データの漏えい等
- 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等（クレジットカード番号など）
- 不正の目的をもって行われたおそれがある行為による漏えい等（不正アクセス、持ち出しなど）
- 本人の数が1,000人を超える漏えい等
4つは「どれか1つに当たれば報告」という関係です。人数の基準は4つ目だけの話なので、 要配慮個人情報なら1名分でも対象になります。一方、高度な暗号化などの措置を講じて 鍵も漏れていないデータは、本人の権利利益が守られているとして対象から除かれます。
混同しやすいものとの違い
| 場面 | 当たる類型 | 報告の義務 |
|---|---|---|
| 健康診断の結果1名分の誤送信 | 要配慮個人情報 | あり |
| 氏名・メールアドレス300名分の誤送信 | なし | なし |
| 紙の名簿800名分の紛失 | なし（1,000人以下） | なし |
| 高度に暗号化した5,000名分の紛失（鍵は無事） | 措置により除外 | なし |
試験では人数の大きい選択肢に目が向きがちです。まず要配慮個人情報・財産的被害・不正の目的の 3つに当たるかを確かめ、当たらないときだけ人数を見る、という順で判断しましょう。