知って得する！話題のトレンドワード（第7回）ポイント解説！スッキリわかる「漏えい等が発生した場合の個人情報保護委員会への報告及び本人通知の義務化」

個人情報保護法の3度の大きな見直し改正について、その概要とポイントをご紹介します。今回のキーワードである「漏えい等が発生した場合の個人情報保護委員会への報告及び本人通知の義務化」は2回目の改正（2020年）になります。

①2015年（平成27年）改正法（2017年5月全面施行）
＜改正のポイント＞

・個人情報保護委員会の新設

・これまで除外されていた「取り扱う個人情報の数が5000人分以下の小規模事業者」を対象化

・「匿名加工情報」に関する制度の創設

・国境を越えた域外適用と外国執行当局への情報提供に関する制度の整備

・外国にある第三者への個人データの提供に関する規定の整備

＜概　要＞
個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況などを勘案、3年ごとに個人情報保護法の見直しを行う（「いわゆる3年ごと見直し」）こととした。この改正では、個人情報保護委員会の新設と個人情報保護法の3年ごとの見直しの決定、すべての個人情報取扱業者が対象化（扱う個人情報数が5000人分以下の小規模事業者も対象化）されたことが大きな変更ポイント。

②2020年（令和2年）改正法（2022年4月全面施行）
＜改正のポイント＞

・保有個人データの利用停止・消去等の請求権の拡充

・漏えい等が発生した場合の個人情報保護委員会への報告及び本人通知の義務化

・「仮名加工情報」に関する制度の創設

・不適正な方法により個人情報を利用してはならない旨を明確化

・データの提供先において個人データとなることが想定される「個人関連情報」について、第三者提供にあたっての本人同意が得られていること等の確認を義務付け

＜概　要＞
個人情報に対する意識の高まり、技術革新を踏まえた保護と利活用のバランス、越境データの流通増大に伴う新たなリスクへの対応などの観点からの改正。この改正では、今回のキーワードでもある「漏えい等が発生した場合の個人情報保護委員会への報告及び本人通知の義務化」が最も大きな変更点となる。

③2021年（令和3年）改正法（2022年4月一部施行。地方公共団体などに関する部分は2023年4月施行）
＜改正のポイント＞

・官民通じた個人情報の保護と活用の強化

・医療分野・学術分野における規制の統一

・学術研究に係る適用除外規定の見直し

＜概　要＞
デジタル社会形成整備法に基づく改正、官民を通じた個人情報保護制度の見直しによる改正。この改正で大きいのは、公共機関ごとに分散していた法律を個人情報保護法に統一、すべてを個人情報保護委員会で所管することとし、「官民一元化」を図った点。

漏えい等報告の義務化の対象事案（委員会規則で定める要件）

①要配慮個人情報の漏えい等
要配慮個人情報が含まれる個人データの漏えい等が発生、または発生したおそれがある事態。要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、前科・前歴、犯罪被害情報の他、本人に不当・偏見が生じないよう、特に配慮が必要な情報をさす。例えば、病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合、従業員の健康診断などの結果を含む個人データが漏えいした場合など。

②財産的被害のおそれがある漏えい等
個人データが不正に利用されることなどで、本人の財産に被害を与えるおそれのある漏えい。例えば、送金や決済機能のあるWebサービスなどでログインIDとパスワードの組み合わせを含む個人データが漏えいした場合、ECサイトからクレジットカード番号を含む個人データが漏えいした場合など（なお、クレジットカード番号の下4桁と有効期限の組み合わせ、もしくは住所、電話番号、メールアドレス、SNSアカウント、銀行口座情報の組み合わせのような、直接財産的被害をもたらさない個人データのみの漏えいは、直ちにこれには該当しない）。

③不正の目的によるおそれがある漏えい等
不正の目的をもって行われたおそれがある漏えいなどの事態。例えば、個人データを格納しているサーバーなどに外部からの不正アクセスにより個人情報を含むデータが窃取された場合、マルウエアに感染したコンピューターに不正な指令を送られたなどの通信が確認された場合、第三者から漏えいのおそれで連絡を受けた場合、ランサムウエアなどにより個人データが暗号化され復元できなくなった場合、個人データまたは個人情報が記録された書類・媒体が盗難された場合、従業員が顧客の個人データを不正に持ち出して第三者に提供した場合など。

④1000件を超える漏えい等
個人データにかかわる本人の数が1000件を超える漏えい、またはそのおそれがあるとき。システムの設定ミスなどで、ネット上で1000件を超える個人データの閲覧が可能な状態となった場合、1000人を超える会員にメールマガジンを配信する際に本来メールアドレスをBCC欄に入力して送信すべきところをCC欄に入力し一括送信してしまった場合など。

報告は「速報」「確報」の2回（「確報」では追加報告も行える）、速報は事態の認知から3～5日以内、確報は30日以内に行う。

①速報
報告をしようとする時点において、把握している内容を報告する。報告は、報告対象の事態を知ってから「速やかに」（個別の事案によるが、事態を知った時点からおおむね3～5日以内）行う。

②確報
報告対象の事態を知ってから30日以内（不正の目的によるおそれがある漏えい等の場合は60日以内）に、全ての事項を報告する。全ての事項を報告できない場合は、判明次第、報告を追完する。