【問83】個人情報保護士 練習問題|漏えい等報告(不正アクセスの場合)
個人情報保護法 問83/170難易度B(標準)
問題文
不正アクセスによる個人データの漏えいが発生した場合の報告に関する次の記述のうち、最も適切なものはどれか。
- 1.不正アクセスによる漏えいは報告対象事態に該当しないため、報告義務はない。
- 2.不正アクセスによる漏えいの場合、確報の期限は事態を知った日から60日以内である。
- 3.不正アクセスによる漏えいの場合でも、確報の期限は原則どおり30日以内である。
- 4.不正アクセスの場合、速報は不要で確報のみ行えばよい。
解説
正解
正解は選択肢2です。
各選択肢の解説
選択肢1 → ❌誤り
不正アクセスによる漏えいは「不正の目的をもって行われたおそれがある個人データの漏えい等」に該当し、報告対象事態の一つです(施行規則第7条第3号)。
選択肢2 → ✅正解
不正の目的をもって行われたおそれがある漏えい等(不正アクセスを含む)の場合、確報の期限は事態を知った日から60日以内と定められています。原因の究明等に時間を要することが考慮されています。
選択肢3 → ❌誤り
不正アクセスの場合は確報の期限が原則30日ではなく60日に延長されます。不正アクセスの原因究明等には通常より時間がかかるためです。
選択肢4 → ❌誤り
不正アクセスの場合であっても、速報は必要です。速報は事態を知った後速やかに(概ね3〜5日以内を目安に)行います。
背景知識
不正の目的をもって行われたおそれがある漏えい等には、外部からの不正アクセスのほか、従業者による不正持ち出し、ランサムウェア攻撃等も含まれます。これらの事態は原因の究明や被害の全容把握に時間を要することが多いため、確報の期限が通常の30日から60日に延長されています。なお、速報については通常と同様に速やかに行う必要があります。不正アクセス事案では、フォレンジック調査等の専門的な対応が必要となることも多く、早期の初動対応が被害の拡大防止に重要です。
学習アドバイス
確報の期限が30日と60日の2パターンあることを正確に覚えましょう。60日が適用されるのは「不正の目的をもって行われたおそれがある場合」に限定される点がポイントです。
まとめ
- 不正アクセスによる漏えいは報告対象事態に該当する
- 確報の期限は60日以内(通常の30日より延長)
- 速報は通常どおり速やかに行う必要がある