個人情報取扱事業者で個人データの漏えいが起きた場合の対応について、個人情報保護法上、最も適切なものはどれか。
- 1個人情報保護委員会への報告は努力義務にとどまり、本人への通知はどのような場合でも求められない。
- 2報告義務が生じるのは、漏えいした個人データに係る本人の数が1万人を超える場合に限られる。
- 3不正アクセスによる漏えいであっても、漏えいした件数が100件未満であれば、個人情報保護委員会への報告は不要である。
- 4漏えいした個人データに要配慮個人情報が含まれる場合は、本人の数にかかわらず、原則として個人情報保護委員会への報告と本人への通知が義務となる。
正解と解説を見る
正解：4
2022年4月施行の改正法で、個人の権利利益を害するおそれが大きい漏えい等について、個人情報保護委員会への報告と本人への通知が義務になりました。対象は4類型で、要配慮個人情報を含むもの、財産的被害のおそれがあるもの、不正の目的によるおそれがあるもの、本人の数が1,000人を超えるものです。要配慮個人情報を含む事案や、不正アクセスのような不正目的の事案は件数を問わず対象となるため、選択肢2と3は誤りです。「4類型のどれかに当たれば報告と本人通知が必要で、人数の基準は1,000人超」と覚えておきましょう。
根拠：個人情報保護法第26条、個人情報保護法施行規則第7条