【問331】個人情報保護士 練習問題｜個人情報漏えいの定義

解説

正解

正解は選択肢1です。

各選択肢の解説

選択肢1 → ✅正解

個人情報保護委員会のガイドライン（通則編）は、個人データの「漏えい」を個人データが外部に流出することと定義している。故意によるか過失によるかは問わない。

選択肢2 → ❌誤り

漏えいは現実に外部へ流出したことをいう。アクセス制御の不備は安全管理措置（法23条）の問題であり、それ自体は漏えいではない（ただし「漏えいのおそれ」がある場合は法26条の報告対象となり得る）。

選択肢3 → ❌誤り

同ガイドラインは、個人データを第三者に閲覧されないうちに全てを回収した場合は漏えいに該当しないとしている。誤送信先が閲覧しないまま削除したことを確認できた場合が例として挙げられている。

選択肢4 → ❌誤り

同ガイドラインは、個人データが記載された書類や記録媒体が盗難された場合を漏えいの事例として挙げている。物理的な持ち出しも漏えいに当たる。

背景知識

令和2年改正法により、個人データの漏えい等のうち個人の権利利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会への報告と本人への通知が義務づけられた（法26条、2022年4月1日施行）。ガイドライン通則編は「漏えい」を個人データが外部に流出することと定義し、書類の誤送付、メールの誤送信、設定ミスによるインターネット上での閲覧可能化、媒体の盗難、不正アクセスによる持ち出しを事例に挙げる。一方で、閲覧される前に全てを回収した場合や、高度な暗号化その他必要な措置が講じられている場合は報告対象から外れる。報告が必要なのは要配慮個人情報、財産的被害のおそれ、不正の目的、本人の数1,000人超の4類型に限られる（規則7条）。

学習アドバイス

漏えいが成立するか（ガイドラインの定義）と、報告義務が生じるか（規則7条の4類型）は別問題。ひとまとめに覚えないこと。

まとめ

• 漏えいとは個人データが外部に流出すること（通則編ガイドライン）
• 閲覧される前に全てを回収できた場合は漏えいに当たらない
• 報告義務は要配慮個人情報・財産的被害・不正の目的・1,000人超の4類型に限られる（規則7条）