何が変わったか
何が改定されたか
個人情報保護法施行規則が改正され、2024年4月から、漏えい等報告が必要な事態の範囲が広がりました。ウェブサイトで個人情報を入力させる事業者を含め、個人情報取扱事業者が対象です。
個人情報保護委員会の「漏えい等の対応とお役立ち資料」は、民間事業者に報告が義務付けられる場合として、次の類型を挙げています。
- 要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）
- 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ）
- 個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）
今回の改正で見直されたのは、3つ目の類型です。この類型の「個人データ」には、次の括弧書きが付いています。
当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。
資料の注記は、この括弧書きを「個人情報保護法施行規則第7条第3号」に係るものとして示しています。
「取得しようとしている」段階の個人情報
改正後の文言では、事業者が「取得しようとしている」個人情報も、この類型に含まれます。資料は、この類型の例として次の場面を挙げています。
- 不正アクセスにより個人データが漏えいした場合
- ランサムウェア等により個人データが暗号化され、復元できなくなった場合
- 従業者が顧客の個人データを不正に持ち出して第三者に提供した場合
- ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合
最後の例が、入力フォームの改ざんなどによるウェブスキミングの場面です。資料は、「不正の目的をもって」の主体には、従業者だけではなく、盗難等第三者も含まれるとしています。
入力フォームの改ざん
報告の期限と報告先
報告は速報と確報の2段階で、速報は発覚後速やかに（概ね3〜5日以内）、確報は発覚日から30日以内（不正な目的で行われたおそれがある場合は60日以内）です。
報告先は、原則として個人情報保護委員会です。事業所管大臣に権限が委任されている分野の事業者は、委任先の省庁等に報告します。ただし、対象の情報が自社の雇用管理情報や株主情報に含まれるときは、個人情報保護委員会に報告する必要があるとされています。
会社が備えること
ウェブサイトで個人情報を入力させる会社は、次の点を自社の手順に照らして見直します。
- 入力フォームや決済画面の改ざんに気づく仕組みと、その担当者を決めておくこと
- サイトの構築・保守を外部に委託している場合は、委託先の管理方法と、改ざんが分かったときの連絡の流れを契約や手順書で確かめること
- 漏えい時の社内手順に、「取得しようとしている」個人情報も報告の類型に含まれる旨を書き加えること
委託先との連絡の流れ
個人情報保護委員会は、「WARNING ～ウェブサイトを運営している事業者の皆様への注意喚起～」と「委託先管理に関する着眼点」を公表しています。
漏えい等の報告と本人通知の全体像は、個人情報の漏えいは報告と本人通知が義務ですで扱っています。社内での紛失事故の初動は、顧客情報が入ったパソコンを社員が紛失しました。何をすればよいですかにまとめています。
注意点
業種によっては、個人情報保護委員会の特定分野ガイドラインもあわせて確認します。
個々の事案が報告の類型に当たるかどうかは、施行規則と資料の文言に沿って、事案ごとに確認します。