【問207】個人情報保護士 練習問題｜インシデント報告

解説

正解

正解は選択肢2です。

各選択肢の解説

選択肢1 → ❌誤り

すべての漏えい等が報告義務の対象ではありません。一定の要件に該当する場合に報告義務が生じます。

選択肢2 → ✅正解

令和2年改正法（2022年4月1日施行）により、要配慮個人情報の漏えい等は1件であっても報告義務の対象となります。ただし、高度な暗号化その他の秘匿化措置が講じられている場合は「漏えい等」に該当しないものとして扱われ、報告は不要です。他にも財産的被害のおそれがある場合、不正の目的によるおそれがある場合、1,000人を超える場合が報告対象です。なお2024年4月からは、不正行為による、個人データとして取り扱われることが予定されている個人情報の漏えい等も対象に加わっています。

選択肢3 → ❌誤り

2022年4月の改正により、一定の要件に該当する漏えい等については法的な報告義務となりました。努力義務ではありません。

選択肢4 → ❌誤り

報告義務が生じる漏えい等が発生した場合、本人への通知も義務づけられています。

背景知識

2022年4月施行の改正個人情報保護法では、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、個人情報保護委員会への報告と本人への通知が義務化されました。報告義務の対象となるのは（高度な暗号化等の措置が講じられている場合を除き）、要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正の目的をもって行われたおそれがある漏えい、1,000人を超える漏えいの4類型です。速報は発覚後速やかに、確報は30日以内（不正アクセス等は60日以内）に行う必要があります。

学習アドバイス

漏えい等報告の4類型（要配慮個人情報、財産的被害、不正目的、1,000人超）と報告期限（速報・確報）を正確に覚えましょう。改正法の重要ポイントとして頻出です。

まとめ

• 要配慮個人情報の漏えいは1件でも報告義務あり（高度な暗号化等が講じられている場合を除く）
• 報告義務は2022年改正法で法定義務化された
• 個人情報保護委員会への報告と本人通知の両方が必要