個人データの漏えい等報告
個人情報保護法に基づき，個人情報取扱事業者が個人情報保護委員会への報告を義務付けられる個人データの漏えい等の事態に該当するものはどれか。ここで，記述に示した以外の事情はないものとする。
- ア顧客 200 人分の氏名とメールアドレスからなる個人データを，電子メールの誤送信によって社外の第三者に漏えいした。
- イ従業員 10 人分の健康診断の結果を含む個人データを，電子メールの誤送信によって社外の第三者に漏えいした。
- ウ復号鍵が漏えいしていない状態で高度な暗号化が施された，顧客 5,000 人分の個人データを保存した USB メモリを紛失した。
- エ顧客 900 人分の氏名と電話番号が記載された名簿を社内で一時的に紛失したが，第三者に閲覧されないまま社内で発見された。
正解と解説を見る
正解 イ
この問題の基礎知識
- 個人情報保護法では，個人の権利利益を害するおそれが大きい個人データの漏えい等が生じたとき，個人情報保護委員会への報告と本人への通知が義務付けられる。
- 報告対象となる事態は，要配慮個人情報を含む場合，不正利用により財産的被害が生じるおそれがある場合，不正の目的によるおそれがある場合，本人の数が 1,000 人を超える場合である。
- 要配慮個人情報には，人種，信条，病歴，犯罪の経歴，健康診断の結果などが含まれる。
- 高度な暗号化など個人の権利利益を保護するために必要な措置が講じられている場合は，報告対象から除かれる。
ア顧客 200 人分の氏名とメールアドレスからなる個人データを，電子メールの誤送信によって社外の第三者に漏えいした。
要配慮個人情報を含まず，財産的被害のおそれもなく，不正の目的によるものでもなく，本人の数も 1,000 人以下なので，報告が義務付けられる事態には該当しない。本人対応や再発防止策は別途必要である。
イ従業員 10 人分の健康診断の結果を含む個人データを，電子メールの誤送信によって社外の第三者に漏えいした。正解
健康診断の結果は要配慮個人情報に当たる。要配慮個人情報を含む個人データの漏えい等は，本人の数にかかわらず個人情報保護委員会への報告と本人への通知が義務付けられる。
ウ復号鍵が漏えいしていない状態で高度な暗号化が施された，顧客 5,000 人分の個人データを保存した USB メモリを紛失した。
個人の権利利益を保護するために必要な措置として高度な暗号化が講じられ，復号鍵も漏えいしていない場合は，本人の数が 1,000 人を超えていても報告対象から除かれる。
エ顧客 900 人分の氏名と電話番号が記載された名簿を社内で一時的に紛失したが，第三者に閲覧されないまま社内で発見された。
社外に流出していない社内での紛失は漏えいには当たらない（ガイドラインでは滅失の事例とされる）。仮に滅失に当たるとしても，要配慮個人情報を含まず本人の数も 1,000 人以下なので，報告が義務付けられる事態には該当しない。
検証用の出典出典照合済み
個人情報の保護に関する法律 第 26 条 ／ 個人情報の保護に関する法律施行規則 第 7 条 ／ 個人情報の保護に関する法律についてのガイドライン（通則編）照合の根拠（6 件）
- イ（正解）: 要配慮個人情報を含む個人データの漏えい等は人数にかかわらず報告対象。また括弧書きにより，高度な暗号化等の措置を講じた個人データは同条の各号から除かれる（ウは誤り）
要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
個人情報の保護に関する法律施行規則 · 第 7 条第 1 号（新しいタブで開きます） - イ（正解）: 健康診断の結果は要配慮個人情報に当たる
本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果
個人情報の保護に関する法律施行令 · 第 2 条第 2 号（新しいタブで開きます） - イ（正解）の解説: 報告対象の事態では本人への通知も義務付けられる
前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。
個人情報の保護に関する法律 · 第 26 条第 2 項（新しいタブで開きます） - ア（誤り）・エ（誤り）: 人数による報告対象は 1,000 人を超える場合であり，200 人や 900 人は該当しない（要配慮個人情報，財産的被害，不正の目的にも当たらない）
個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
個人情報の保護に関する法律施行規則 · 第 7 条第 4 号（新しいタブで開きます） - ウ（誤り）: 高度な暗号化等の措置が講じられている場合は報告を要しない
なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
個人情報の保護に関する法律についてのガイドライン（通則編） · 3-5-3-1（新しいタブで開きます） - エ（誤り）: 社内での紛失は滅失の事例とされ，社外に流出した場合に漏えいとなる
事例2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）
個人情報の保護に関する法律についてのガイドライン（通則編） · 3-5-1-3 「滅失」の考え方（新しいタブで開きます）
エの解説を，ガイドラインの「社内での紛失は滅失の事例」という整理に合わせて修正した。