個人情報の漏えい時の対応【後編】

個人情報の誤廃棄についても、企業は対応を求められる（写真：Adobe stock）

個人データの漏えい、滅失、毀損の具体例

個人情報取扱事業者が対応を求められるのは、個人データが漏えい等した場合、つまり、漏えい、滅失、毀損した場合のものであり、各文言の意義（定義）については前掲の表のとおりです。これらにつき、具体的にどういった際に対応が必要になるのかについては、GLがそれぞれの場合について複数の事例を明示してくれています。

個人データの「漏えい」の具体例（GL57頁）

• ●個人データが記載された書類を第三者に誤送付した場合
  ●個人データを含むメールを第三者に誤送信した場合
  ●システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
  ●個人データが記載又は記録された書類・媒体等が盗難された場合
  ●不正アクセス等により第三者に個人データを含む情報が窃取された場合
  ●個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき

個人データの「滅失」の具体例（GL57頁）

• ●個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合
  ●個人データが記載又は記録された書類・媒体等を社内で紛失した場合

個人データの「毀損」の具体例（GL58頁）

• ●個人データの内容が改ざんされた場合
  ●暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
  ●ランサムウェア等により個人データが暗号化され、復元できなくなった場合

このような具体例をお読みになられていかがでしょうか。漏えいの場合に何らかの対応が義務づけられていることをご存じだった方でも、もしかすると、誤廃棄や社内紛失が滅失に該当して対応が求められるということを初めてお知りになったという方もいらっしゃるかもしれません。感覚や経験からの思い込みを排して、資料・文献などを基にして適切に対応していただくことが重要です。

必要な措置（要対応事項）

個人データが漏えい等した場合において、個人情報取扱事業者に必要な措置として対応が求められている事項は、以下のとおりです（GL58～59頁）。

• ①事業者内部における報告及び被害の拡大防止
  ▶責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
•  
• ②事実関係の調査及び原因の究明
• ▶漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

•  
• ③影響範囲の特定
• ▶上記②で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
•  
• ④再発防止策の検討及び実施
• ▶上記②の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

•  
• ⑤個人情報保護委員会への報告及び本人への通知
• ※個人情報保護法26条に基づく。詳細は【前編】をご覧ください。

上記①で求められている被害拡大防止措置としては、例えば、個人データの漏えいの原因がECサイトの脆弱性にあると特定できた場合に、当該ECサイトの公開・利用を停止するといったことが考えられます。また、顧客に対して、パスワードの変更を求めるといった対応を求めることも考えられます。

おわりに

今回は、個人情報の漏えい時の対応【後編】として、個人データの漏えい等があった際にGLにおいて対応が求められている5つの事項について取り上げてみました。

残念ながら、企業にとって、個人情報（個人データ）の漏えい等は決して他人事ではなく、明日は我が身といえるものです。漏えい等が発生しないよう、十分に備えるということは当然のこととして、それでも漏えい等が生じた場合には、最低限、個人情報保護法やGLに則った対応が必要になります。

具体的な対応について、緊急時における調査・検討・実行は非常に難しい面があろうかと思いますので、平素より、法令やGLなどを調査し、また、他社の例を収集するなどして、有事に備えておいていただくことが重要になるといえます。