貸金業務取扱主任者 第19回 (2024年度) 問46

個人情報取扱事業者は、不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合であっても、当該事態が生じた個人データに係る本人の数が１,000人を超えないときは、当該事態が生じた旨を個人情報保護委員会に報告する必要はない。

個人情報取扱事業者は、個人データに係る本人の数が１,000人を超える漏えい等が発生し、又は発生したおそれがある事態が生じた場合であっても、高度な暗号化その他の個人の権利利益を保護するために必要な措置がなされていれば、当該事態が生じた旨を個人情報保護委員会に報告する必要はない。

個人情報取扱事業者（他の個人情報取扱事業者又は行政機関等から個人データの取扱いの全部又は一部の委託を受けた者ではないものとする。）は、報告対象事態(注)が生じた場合、本人に対し、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

個人情報取扱事業者は、報告対象事態が生じた旨を個人情報保護委員会に報告する場合には、概要、原因、二次被害又はそのおそれの有無及びその内容、本人への対応の実施状況、再発防止のための措置等について報告をしようとする時点において把握しているものを、当該事態を知った後、速やかに、報告しなければならない。(注) 報告対象事態とは、個人情報取扱事業者の取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものをいう。