問題
譲り渡し側X社は、DDのためにバーチャルデータルームに従業員の健康診断の結果を含む人事データ（対象者120人）をアップロードしたが、アクセス権限の設定を誤り、DDと無関係の第三者が閲覧できる状態になっていたことが判明した。個人情報保護法及び同法施行規則に照らし、X社の対応として最も適切なものはどれか。
選択肢
- 1要配慮個人情報を含む個人データの漏えい等が発生したおそれがある事態であり、本人の数にかかわらず、速やかに個人情報保護委員会に報告し、原則30日以内に改めて報告し、本人にも通知する
- 2漏えい等の対象となった本人の数が1,000人以下であるため、要配慮個人情報が含まれていても、個人情報保護委員会への報告は必要なく、本人への通知も努力義務にとどまるため、社内で記録を残せば足りる
- 3DDの目的で提供した情報であるため、事業の承継に伴う提供として第三者提供にも当たらず、アクセス権限の設定を誤っていても、漏えい等の報告や本人への通知の義務の対象外となり、権限を修正すれば足りる
- 4第三者が実際に閲覧したことが確認できない限り、報告や本人への通知は必要ない
正解
1. 要配慮個人情報を含む個人データの漏えい等が発生したおそれがある事態であり、本人の数にかかわらず、速やかに個人情報保護委員会に報告し、原則30日以内に改めて報告し、本人にも通知する
詳しい解説を見る解説を閉じる
解説
健康診断等の結果は要配慮個人情報に当たる（個人情報保護法施行令第2条第2号）。要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態は、本人の数にかかわらず報告対象となる（同法第26条第1項、施行規則第7条第1号）。本人の数が1,000人を超えることは別の類型の要件である。報告は事態を知った後速やかに行い、さらに知った日から30日以内（不正の目的による事態は60日以内）に行う（施行規則第8条）。本人への通知も原則として必要である（同法第26条第2項）。閲覧可能な状態になっていれば「おそれ」に当たり得るため、閲覧の確認を待つ必要はない。データルームのアクセス権限などのセキュリティ確保が重要とされるゆえんである。
一問一答
全480問を繰り返し学習