【問437】貸金業務取扱主任者 練習問題｜漏えい等報告・本人通知義務（上級）
問題文
令和4年4月施行の改正個人情報保護法における漏えい等報告及び本人通知義務（第26条）に関する次の記述のうち、その内容が適切なものを1つ選びなさい。
- 1.個人データの漏えい等が発生した場合、個人情報取扱事業者は原則として速やかに個人情報保護委員会に報告しなければならないが、この義務は漏えいした個人データの件数が1,000件を超える場合に限定される。
- 2.要配慮個人情報が含まれる個人データの漏えいが発生した場合は、件数に関わらず個人情報保護委員会への報告対象となるが、不正の目的による漏えい（不正アクセス等）に限定される。
- 3.個人情報取扱事業者が個人データの漏えい等の事態を知った場合、当該事態の概要等を速やかに個人情報保護委員会に報告し、かつ、その事態が一定の類型に該当する場合は本人へも通知しなければならない。
- 4.個人データの漏えい等が発生した場合の個人情報保護委員会への報告期限は、事態を知った日から60日以内であり、この期限は要配慮個人情報の漏えいであっても延長されることはない。
解説
正解
正解は選択肢3です。令和4年改正個人情報保護法第26条により、漏えい等が発生した場合の報告義務と本人通知義務が法定化されました。
各選択肢の解説
選択肢1「1,000件超の場合に限定」→ ❌誤り
令和4年改正法では、報告対象となる漏えい等の類型として①要配慮個人情報の漏えい、②不正利用される可能性がある漏えい（不正アクセス等）、③不正の目的による提供、④1,000人を超える漏えい、の4類型が定められています。1,000件超は4類型のうちの1つであり、件数が少なくても他の類型に該当すれば報告義務があります。
選択肢2「不正アクセス等に限定」→ ❌誤り
要配慮個人情報が含まれる個人データの漏えいは、不正アクセス等によるものかどうかにかかわらず報告対象となります（施行規則第8条第1項第1号）。例えば誤送付による要配慮個人情報の漏えいも対象です。また「不正の目的による漏えい」は別の類型（第3号）です。
選択肢3「速やかな報告と一定類型での本人通知」→ ✅正解
個人情報保護法第26条及び施行規則第8条に基づき、個人情報取扱事業者は一定類型の漏えい等を知った場合、速やかに個人情報保護委員会への報告（速報・確報の2段階）と、本人への通知（当該本人の権利利益を保護するために必要な場合）を行う義務を負います。
選択肢4「報告期限は60日以内で延長なし」→ ❌誤り
施行規則では、速報（概要報告）は「速やかに」（目安として3〜5日以内）、確報（詳細報告）は原則30日以内（不正の目的による漏えいは60日以内）とされています。「60日以内」は不正アクセス等の類型に限定された期限であり、すべての類型に適用されるわけではありません。
背景知識
報告義務の4類型（施行規則第8条第1項）：
| 類型 | 概要 |
|---|---|
| 第1号 | 要配慮個人情報の漏えい（件数不問） |
| 第2号 | 財産的被害のおそれがある漏えい |
| 第3号 | 不正の目的による漏えい（不正アクセス等） |
| 第4号 | 1,000人を超える漏えい |
報告の流れ：速報（3〜5日目安）→ 確報（原則30日以内）→ 本人通知（速やかに）
学習アドバイス
令和4年改正の目玉の一つが漏えい報告義務の法定化です。4類型の内容、速報・確報の2段階制、本人通知義務の3点セットを正確に覚えましょう。
まとめ
- 報告対象は4類型（要配慮情報・財産被害・不正目的・1,000人超）
- 報告は速報と確報の2段階で行う
- 一定類型の漏えいでは本人への通知も義務（令和4年改正で法定化）