個人情報の漏えい時の対応【前編】

個人情報が漏えい等する事態において速やかに報告することが求められている（写真：Adobe stock）

報告対象となる事態

「個人情報保護委員会規則で定めるもの」（法26条1項）が生じたときに、報告義務が発生することになり、その報告対象となる事態は、次のように定められています（規則7条各号）。

• ①要配慮個人情報が含まれる個人データ（略）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
  
  ②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
  
  ③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（略）の漏えい等が発生し、又は発生したおそれがある事態
  
  ④個人データに係る本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態

報告内容・時期・方法（対個人情報保護委員会）

個人情報保護委員会への報告内容として、次の事項が定められています（規則8条1項各号）。

また、第一弾の速報として、当該事態を知った後、速やかに（規則8条1項）、第二弾の確報として、当該事態を知った日から30日以内（当該事態が報告対象事態の③である場合には60日以内）（規則8条2項）に報告することが求められています。

速報における「速やかに」とは、「個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内」（GL64頁）とされています。この点、「速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる」（GL65頁）とされています。

確報については、（報告）「事項の全てを報告しなければならない。確報を行う時点（略）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする」（GL66頁）とされています。

このように、GLでは、個人情報取扱事業者に対する一定の配慮がなされているといえるものの、渦中の事業者にとっては、混乱の中、短期間で、非常に大変な対応が余儀なくされるといえますので、事前に、対応をマニュアル化し、訓練するといったように、平時の準備が重要になるといえます。

なお、報告の方法としては、個人情報保護委員会のホームページ上にある報告フォームを利用することになります。

漏えいの本人通知という対応は、顧客の信頼獲得・維持の視点から軽視すべきでない（写真：Adobe stock）

通知内容・時期・方法（対本人）

本人への通知内容は、個人情報保護委員会への報告事項として定められている各事項のうち、次の事項とされています（規則10条）。

また、通知時期としては、「当該事態の状況に応じて速やかに」（規則10条）とされ、「具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する」（GL68頁）とされています。

さらに、通知方法は、「事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない」（GL70頁）とされ、文書の郵送や電子メールの送信がその例となります。

このように、本人への通知は個人情報保護委員会への報告に比して少し緩やかなものになっているといえますが、顧客からの信頼獲得・維持という観点からは決して軽視できないものといえますので、こちらについても、マニュアルを定め、（場合によっては法で義務づけられている以上に）誠実に対応していくことが重要になってくるといえます。

おわりに

今回は、個人情報の漏えい時の対応【前編】として、個人情報保護委員会への報告と本人への通知についてご説明しました。次回は【後編】として、その他の対応について取り上げる予定です。