正解：イ
各選択肢の解説
ア対象が1,000人以下なので報告義務はなく、社内で経緯を記録して再発防止を求める。
誤り。1,000人を超える漏えい等は報告対象の類型の一つですが、それとは別に、 不正の目的によるおそれがある漏えい等は人数にかかわらず対象です。不正アクセスによる 持ち出しが疑われるこの場面は、件数の条件を見るまでもなく報告の対象になります。
イおそれの段階で自社から個人情報保護委員会へ速報し、本人への通知も進める。
正解。委託先で起きても、データの取扱いを委ねた委託元の義務は残ります。報告の対象は 漏えいの「おそれ」を含むので、確定を待たずに委員会へ速報し、本人への通知を進めます。
ウ事故は委託先で起きたので、報告と本人への通知は委託先に任せ、結果の連絡を待つ。
誤り。委託しても委託元の責任は委託先に移りません。委託先は委託元に知らせれば 自らの報告義務を免れる仕組みで、その連絡を受けた委託元が報告と通知を担います。 待つだけでは、委託先を監督する立場も果たせません。
エ漏えいの事実が確定するまでは報告を控え、調査の完了後に一度にまとめて報告する。
誤り。報告は、速やかに行う速報と、調べたうえで行う確報の2段階です。漏えいが 確定していない「おそれ」の段階でも対象になるので、調査の完了まで待つのは遅すぎます。
理解を深めるために
委託しても「自社の顧客のデータ」であることは変わらない
発送業者に顧客データを渡すのは、利用目的の範囲内での委託です。委託は第三者提供に 当たりませんが、そのぶん委託元には、委託先を必要かつ適切に監督する義務があります。 委託先で事故が起きたときも、顧客から見れば「自分のデータを預けた会社」は委託元です。 委託先から連絡を受けたら、委託元が報告と本人への通知を担うと考えます。
漏えい等報告の仕組み
個人情報保護法は、個人の権利利益を害するおそれが大きい漏えい等について、 個人情報保護委員会への報告と本人への通知を義務づけています。対象は次の4類型で、 いずれも漏えい等が発生した「おそれ」がある場合を含みます。
- 要配慮個人情報を含む個人データの漏えい等
- 不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等
- 不正の目的をもって行われたおそれがある漏えい等（不正アクセスなど）
- 1,000人を超える漏えい等
報告は2段階です。知ったら速やかに速報（目安は3〜5日以内）、調べたうえで確報 （原則30日以内、不正の目的によるおそれがある場合は60日以内）を出します。 委託先も報告義務を負いますが、委託元に事態を知らせれば自らの報告は免れるので、 連絡を受けた委託元が動かないと、誰も報告しないことになります。
混同しやすいものとの違い
| 対応 | どこが問題か |
|---|---|
| おそれの段階で委託元が速報し、本人通知を進める | 義務に沿った対応 |
| 1,000人以下なので報告しない | 不正の目的による類型を見落としている |
| 委託先に任せて待つ | 委託元の責任と監督の義務は残る |
| 確定してからまとめて報告 | 「おそれ」も対象で、速報が先に要る |
試験では、人数の条件だけで判断せず類型を一つずつ当てはめることと、 「誰の義務か」「いつ動くか」を分けて考えることが判断の軸になります。