正解：ウ
各選択肢の解説
ア漏えいが発生した時点から72時間以内に、監督機関へ通知する。
誤り。72時間の起算点は「発生した時点」ではなく、管理者が漏えいを「知った時点」です。 数字だけ覚えていると起算点を取り違えます。発生から発覚まで日数がかかることもあるため、 起算点の違いは実務で大きく効きます。
イ原因と影響の調査をすべて終えてから、まとめて監督機関へ通知する。
誤り。GDPRは、一度にすべてを示せないときは情報を段階的に提供してよいとしています。 調査の完了を待つと72時間を過ぎてしまいます。「正確に報告したい」という気持ちから 選びがちですが、まず通知し、分かったことを追って伝えるのが筋です。
ウ漏えいを知ってから72時間以内に通知し、未判明の事項は判明しだい追って提供する。
正解。管理者は漏えいを知ってから不当な遅滞なく、可能な限り72時間以内に監督機関へ通知します。 原因が調査中でも、分かっている範囲で通知し、残りは段階的に提供できます。
エ日本の個人情報保護法の確報に合わせ、知ってから30日以内に監督機関へ通知する。
誤り。30日（不正の目的による場合は60日）は、日本の個人情報保護委員会への確報の期限です。 GDPRの監督機関への通知期限は72時間で、日本の期限には合わせられません。 両方の法律がかかる場合は、それぞれの期限を別々に守ります。
理解を深めるために
「知ってから72時間」で、まず一報を入れる
GDPR（一般データ保護規則）は、個人データの漏えいが起きたとき、管理者に監督機関への通知を求めます。 期限は漏えいを知ってから72時間以内です（実行可能な場合。遅れたときは理由を添えます）。 火事の通報と同じで、原因がはっきりするまで待たず、分かっていることを先に伝えます。
なぜそうなっているのか
- 起算点は「管理者が漏えいを知った時点」。発生した時点ではありません
- 一度にすべての情報を示せないときは、不当に遅れない範囲で段階的に提供できます
- 本人の権利と自由にリスクが生じそうにない漏えいは、通知が不要です。この問題は 「リスクが生じるおそれがある」場面なので、通知が要ります
- 監督機関への通知とは別に、本人へのリスクが高い場合は本人への連絡も求められます
GDPRはEUの「規則」で、EU域内の人に商品やサービスを提供する域外の事業者にも適用されえます。 日本企業でも、EU顧客のデータを扱えば、この期限が問題になります。
混同しやすいものとの違い
| 期限 | 何の期限か |
|---|---|
| 知ってから72時間以内 | GDPRの監督機関への通知 |
| 発生から72時間以内 | よくある誤解。起算点が違う |
| 速やかに（目安3〜5日） | 日本の個人情報保護委員会への速報 |
| 知ってから30日以内（不正目的は60日） | 日本の個人情報保護委員会への確報 |
試験では、72時間という数字そのものより「いつから数えるか」「調査が終わるまで待つか」で 差がつきます。日本とEUの期限を取り違えないよう、表で並べて覚えておきましょう。