何が問題になるか
場面
- 営業担当の社員が、顧客名簿を保存したノートパソコンを外出先で紛失しました。
- 置き忘れか盗難かが分からず、端末は見つかっていません。
- 取引先から預かった顧客データも、同じ端末に入っていました。
法律の整理
報告の対象となる類型に当たるときは、個人情報保護委員会への報告と、本人への通知が必要です。報告は、速報と確報に分けて行います。確報の期限は発覚日から30日以内（不正の目的によるおそれがある場合は60日以内）で、速報は発覚後速やかに（概ね3〜5日以内）行います。
報告が必要になるのは、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合です。暗号化等の措置がとられている場合は、報告の対象外になることがあります。
個人情報の保護に関する法律の第26条は、第1項で、個人情報保護委員会への報告を、第2項で、本人への通知を定めています。
個人情報保護委員会の資料は、報告が必要な場合として、「要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）」や「個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）」を挙げています。
不正の目的については、「主体は、従業者だけではなく、盗難等第三者も含まれます。」と注記しています。例には「個人データが記載又は記録された書類・媒体等が盗難された場合」があります。
期限については、「速やかに報告してください」「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」と記載しています。
会社が備えること
確認すること
- 紛失に気づいた日時と経緯
- 端末に入っていた個人データの項目と、本人の人数
- 病歴などの要配慮個人情報や、クレジットカード番号が含まれるか
- 盗難のおそれがあるか
- データが暗号化されていたか、遠隔でロックや消去ができるか
端末とデータの状況を確認
対応
- 端末のリモートロックと、データの遠隔消去を実行します。
- 影響範囲を特定します。個人データの項目、本人の人数、暗号化の有無を洗い出します。
- 記録を作成します。紛失の経緯、気づいた日時、とった措置を時系列で残します。
- 預かったデータが含まれるときは、取引先へ連絡します。
- 報告の対象に当たるかを判断し、当たるときは速報を行います。報告は、委員会の「漏えい等報告フォーム」から行います。
- 本人への通知の内容と方法を決めます。
影響範囲と対応を記録
ご相談で伺うこと
- 紛失の日時・場所と、発覚までの経緯
- 端末内のデータの内容と、本人の人数
- 暗号化、リモートロック、消去の実施状況
- 取引先との契約にある、事故時の連絡の定め
- これまでにとった措置の記録
伺った内容をもとに、報告の要否、報告と通知の文面、取引先への説明の順序を整理します。