個人情報を漏えいさせたら。事業者の報告義務と、報告が必要な4つの場合

お客さまの個人データを、漏えいさせてしまった(おそれも含む)。そのとき、会社やお店は、何をしなければならないのでしょうか。

個人情報保護委員会が示している、漏えい等の報告について、事業者向けに整理します。個別のケースは、同委員会や、報告先の省庁に確認してください。

発覚したら、まず「速やかに」報告

漏えい等が発覚したら、まずは速やかに報告します。不正の目的で行われたおそれがある場合は、発覚した日から60日以内に報告します。

場合	例
1. 要配慮個人情報が含まれる個人データの漏えい等(おそれを含む)	病院の患者の診療情報や調剤情報を含むUSBメモリーを紛失した。従業員の健康診断の結果を含む個人データが漏えいした。
2. 不正に利用されて、財産的な被害が生じるおそれがある個人データの漏えい等	ECサイトからクレジットカード番号を含む個人データが漏えいした。送金や決済機能のあるサービスの、ログインIDとパスワードの組み合わせが漏えいした。
3. 不正の目的で行われたおそれがある行為による個人データの漏えい等	不正アクセスでデータが窃取された。ランサムウェアで個人データが暗号化されて復元できない。媒体が盗まれた。従業者が顧客の個人データを持ち出して第三者に提供した。ウェブサイトが改ざんされ、入力された個人情報が第三者に送信された。
4. 個人データの本人の数が1,000人を超える漏えい等	設定ミスで、インターネット上で個人データが閲覧できる状態になり、1,000人を超えた。会員1,000人超へのメール配信で、BCCに入れるべきアドレスをCCに入れて一括送信した。

クレジットカード番号の下4桁と有効期限の組み合わせだけの漏えいなら、直ちに報告の対象にはならない、とされています。「不正の目的」の主体には、従業者だけでなく、盗みなどをした第三者も含まれます。

人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実などです。そのほか、身体障害・知的障害・精神障害などがあること、健康診断などの検査の結果、保健指導、診療・調剤情報なども、含まれます。

原則として、個人情報保護委員会に、入力フォームから報告します。
事業を所管する大臣に、権限が委任されている分野では、権限委任先の省庁に報告します。報告の内容は、その省庁を通じて、委員会にも報告されます。委任先は毎年更新されるので、報告の前に、最新の報告先を確かめます。
漏えいした情報に、マイナンバーが含まれている場合や、含まれているか分からない場合は、専用のフォームから報告します。
報告者の氏名の欄には、担当者の名前ではなく、事業者の名称などを入力します。
ランサムウェア事案とその他のサイバー攻撃等事案では、関係省庁の申合せにもとづく、共通様式で報告することもできます。

個人の方が、事業者が個人情報保護法の義務に反していると通報するときは、報告のフォームではなく、個人情報保護法相談ダイヤルで受け付けています。

漏えいが分かったら、速やかに報告します。要配慮個人情報、財産的被害のおそれ、不正の目的、1,000人超の4つのどれかに当たれば、報告が義務です。報告先は、個人情報保護委員会、または、権限委任先の省庁です。迷ったら、同委員会や所管の省庁に確認しましょう。