正解：エ
各選択肢の解説
ア通知が届かない会員については、通知の義務がなくなるので対応を終える。
誤り。通知が困難な場合でも、義務がなくなるわけではありません。 「届かないのだから仕方がない」と考えやすいのですが、ガイドラインは困難な場合の扱いとして、 本人の権利利益を守るための代わりの措置を求めています。
イ委員会へ報告済みなので、届かない会員への通知は委員会からの公表に任せる。
誤り。本人への通知は、委員会ではなく漏えいを起こした事業者が行う義務です。 委員会への報告と本人への通知は、どちらも事業者に課された別々の義務で、 一方を果たせばもう一方を誰かが代わってくれる、という関係ではありません。
ウ全員に通知できるまで確報を出さずに待ち、通知を終えてからまとめて報告する。
誤り。確報には期限があり、不正アクセスのような不正の目的によるおそれの事案では、 知った日から60日以内です。本人への通知の完了は確報の条件ではないので、 通知が届かないことを理由に報告を遅らせることはできません。
エ事案を公表し、問合せ窓口を設けて、本人が対象かを確かめられるようにする。
正解。本人への通知が困難なときは、代わりの措置で対応できます。 ガイドラインは、事案の公表や、問合せ窓口の連絡先を公表して本人が自分のデータが 対象か確かめられるようにすることを例に挙げています。
理解を深めるために
手紙が届かないなら、掲示板に貼り出す
連絡先が分からない相手に大事な知らせを届けたいとき、知らせることをあきらめはしません。 誰もが見られる場所に貼り出し、心当たりのある人が問い合わせられるようにします。 個人情報保護法の本人への通知も、同じ考え方で「代わりの措置」が認められています。
法令に基づく報告と本人への通知
個人情報保護法では、不正アクセスなど不正の目的による漏えいのおそれがある事態（報告対象事態）を 知った事業者に、次の2つを求めています。
- 個人情報保護委員会への報告 — 速報（知った時点から概ね3〜5日以内）と、 確報（30日以内。不正の目的によるおそれの事案は60日以内）の2段階
- 本人への通知 — 事態の状況に応じて速やかに行う
個人情報保護委員会のガイドライン（通則編）は、本人への通知が困難な場合として、 本人の連絡先を持っていない場合や、連絡先が古くて連絡できない場合を挙げています。 このときは、本人の権利利益を保護するために必要な代替措置で対応できます。 例として示されているのが、事案の公表と、問合せ窓口を用意してその連絡先を公表し、 本人が自分のデータが対象かどうかを確かめられるようにすることです。
混同しやすいものとの違い
| 対応 | 誰が行うか | 問題点 |
|---|---|---|
| 公表と問合せ窓口（代替措置） | 事業者 | ― |
| 届かない人は対応を終える | ― | 通知が困難でも義務は消えない |
| 委員会の公表に任せる | 委員会（誤解） | 通知は事業者の義務 |
| 通知を終えるまで確報を待つ | 事業者 | 確報の期限を守れない |
委員会への報告と本人への通知は別々の義務です。通知が届かないときは「やめる」のではなく 「別の方法で知らせる」と覚えておくと、場面で迷いません。