【問188】ビジネス実務法務検定3級 練習問題|個人情報保護法の安全管理措置
問題文
個人情報保護法における安全管理措置および漏えい等報告に関する次の記述のうち、最も適切なものはどれか。
- 1.個人情報取扱事業者は、個人データの漏えい等が発生した場合には、本人の権利利益を害するおそれの有無を問わず、必ず個人情報保護委員会への報告義務を負う。
- 2.個人情報の漏えい等のうち、要配慮個人情報の漏えい・1,000人超の漏えい・財産的被害のおそれのある漏えい等は、個人情報保護委員会への報告義務がある。
- 3.個人情報取扱事業者が個人データを取り扱わせる従業者に対して行うべき監督については、個人情報保護法に明文の規定は置かれておらず、ガイドライン上の推奨にとどまる。
- 4.個人データの取扱いを委託する場合の委託先に対する監督義務は、委託契約の締結時に安全管理措置の内容を確認すれば足り、委託開始後に取扱状況を把握する必要はない。
解説
正解
正解は選択肢2です。
各選択肢の解説
選択肢1 → ❌
すべての漏えい等で報告義務があるわけではなく、政令で定められる類型(個人情報保護法第26条第1項、施行規則第7条等)の漏えい等のみが報告義務の対象です。
選択肢2 → ✅
個人情報保護法第26条第1項および施行規則第7条により、(1)要配慮個人情報の漏えい、(2)財産的被害のおそれがある漏えい、(3)不正の目的による漏えい、(4)1,000人を超える漏えい等の重大事案について、個人情報保護委員会への報告義務および本人への通知義務が規定されています(2022年4月施行)。
選択肢3 → ❌
個人情報保護法第24条により、個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督義務を負います。明文規定があります。
選択肢4 → ❌
個人情報保護法第25条により、委託先の監督義務として個人情報取扱事業者は委託先について必要かつ適切な監督を行わなければならず、契約締結時のみならず、委託期間中の継続的な監督も求められます。
背景知識
個人情報保護法は安全管理措置(法23条)、従業者監督(法24条)、委託先監督(法25条)、漏えい等報告(法26条)を体系的に規定しています。安全管理措置には(1)組織的、(2)人的、(3)物理的、(4)技術的の4類型のガイドラインがあります。2022年4月施行の改正で漏えい等報告の義務化が行われ、速報(発生から3〜5日以内)と確報(30日以内、不正アクセスは60日以内)の二段階報告となりました。本人通知義務も同時に規定され、消費者保護が強化されました。
学習アドバイス
報告義務の4類型(要配慮・財産的被害・不正目的・1,000人超)は重要です。安全管理措置の4区分(組織・人・物理・技術)、委託先監督義務の継続性も押さえましょう。
まとめ
- 漏えい等報告義務は4類型に限定(法26条)
- 従業者・委託先の監督義務あり(法24・25条)
- 速報3〜5日以内、確報30日以内