G検定練習問題 #0455・個人情報保護法

漏えい等報告の対象となる事態

AIに関する法律と契約 › 個人情報保護法単一選択難易度標準

通販サイトを運営するJ社で、個人データの漏えい等が発生した事案や、発生したおそれがある事案が相次いだ。いずれの事案でも、データに高度な暗号化などの保護措置は講じられていなかった。個人情報保護法にもとづく個人情報保護委員会への報告（漏えい等報告）に関する説明として、最も適切なものを1つ選べ。

正解と解説を見る

解説

正解 B

この問題の論点：漏えい等報告の対象となる事態

ポイント

要配慮個人情報、財産的被害のおそれ、不正の目的による漏えい等は、本人の数にかかわらず報告の対象です。1,000人超の基準はそれ以外の場合に使います。

A

不適切

健康診断の結果は要配慮個人情報に当たります。要配慮個人情報を含む個人データの漏えい等は、本人が1名でも報告の対象です（規則7条1号）。1,000人超という人数の基準は、この類型には関係しません。
B

適切正解

不正アクセスのように、不正の目的をもって行われたおそれがある行為による漏えい等は、本人の数にかかわらず報告の対象です（規則7条3号）。漏えいが確定していなくても、おそれの段階で対象になります。
C

不適切

要配慮個人情報、財産的被害のおそれ、不正の目的のいずれにも当たらない漏えい等は、本人の数が1,000人を超える場合に報告の対象になります（規則7条4号）。800名ではこの基準に達しません。任意の報告はできます。
D

不適切

事態を知った後、速やかに（目安は概ね3〜5日以内）その時点で把握している事項を報告し（速報）、30日以内に確報を出します（規則8条）。不正の目的によるおそれがある事態では、確報の期限は60日以内です。調査の完了を待って報告を遅らせることはできません。

報告の対象となる事態では、本人への通知も原則として必要です（法26条2項）。2026年7月に公布された改正法は、本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知義務を緩和する規定などを設けましたが、2026年10月31日時点では施行されていません。

報告の対象となる4つの類型と、人数の基準がどの類型にかかるかを、具体的な事案に当てはめて判断させる形が典型です。