漏えい等とは(個人情報保護法の報告義務)

漏えい等とは、個人データの漏えい・滅失・毀損をまとめた言葉です。個人情報保護法 26 条 1 項は、そのうち「個人の権利利益を害するおそれが大きいもの」として規則で定める事態が生じたとき、個人情報保護委員会への報告を義務づけています。2 項は、本人への通知を義務づけています。細目は個人情報保護委員会のガイドライン(通則編)の 3-5 にあります。

漏えい・滅失・毀損はそれぞれ何を指すか

どの事態を報告しなければならないか

施行規則 7 条が定める対象は 4 つで、いずれも「発生したおそれがある」場合を含みます。

1. 要配慮個人情報(病歴など)を含む個人データの漏えい等。通則編が挙げる例は、診療情報を記録した USB メモリーの紛失です。
2. 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等。例は、クレジットカード番号や、決済機能のあるサービスのログイン ID とパスワードの組み合わせです。
3. 不正の目的をもって行われたおそれがある行為による漏えい等。例は、不正アクセス、ランサムウェア、従業者が顧客の個人データを不正に持ち出して第三者に提供した場合です。
4. 本人の数が 1,000 人を超える漏えい等。例は、設定ミスで閲覧できる状態になり、本人の数が 1,000 人を超える場合です。

3 番目の行為の主体には、第三者だけでなく従業者も含まれます。行為の相手方には、個人データの取扱いを委託した委託先も含まれます。退職者が残った ID で入った場合や、委託先の担当者が持ち出した場合は、この事態に当たり得ると読めます。

いつまでに、何を報告するか

報告は速報と確報の 2 段階です。速報は、知った後、速やかに(目安は概ね 3〜5 日以内)行い、把握している範囲で 9 項目を報告します。9 項目は、概要、個人データの項目、本人の数、原因、二次被害のおそれ、本人への対応、公表の状況、再発防止の措置、参考事項です。確報は、知った日から 30 日以内(不正の目的をもって行われたおそれがある行為による事態は 60 日以内)に、9 項目のすべてを報告します。判明していない項目は、判明次第追加します。

「知った」時点は、法人ではいずれかの部署が知った時点です。取扱いを委託している場合は、原則として委託元と委託先の双方が報告義務を負い、連名で報告できます。委託先が把握している事項を委託元に速やかに通知したときは、委託先の報告義務は免除されます。

本人にはどう知らせるか

本人への通知は、事態の状況に応じて速やかに行います。内容は、概要、個人データの項目、原因、二次被害のおそれ、参考となる事項に限られます。連絡先がないなど通知が難しい場合は、事案の公表や問い合わせ窓口の設置といった代わりの措置が認められます。

発覚したときに何をするか

通則編は、漏えい等やそのおそれが発覚したら、次の 5 つを行わなければならないとしています。

• 責任者への報告と、被害の拡大の防止
• 事実関係の調査と、原因の究明
• 影響範囲の特定
• 再発防止策の検討と実施
• 個人情報保護委員会への報告と、本人への通知

原因の究明と影響範囲の特定は、誰がいつどのデータにアクセスしたかの記録がなければ進みません。個人情報保護委員会の指導事案には、記録が適切に保管されておらず、調査しても原因を特定できなかった事案があります。