平成 27 年９月 28 日
特定個人情報保護委員会「事業者における特定個人情報の漏えい事案等が発生した場合の対応について」に関するＱ＆Ａ

１：番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合の措置
Ｑ１－１「(1) 事業者内部における報告、被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。

Ｑ１－２「(1) 事業者内部における報告、被害の拡大防止」にある「被害の拡大を防止する」とは、具体的にどのような対応が考えられますか。

Ｑ１－３「(3) 影響範囲の特定」にある「把握した事実関係による影響の範囲を特定する」とは、どういうことですか。

Ｑ１－４「(5) 影響を受ける可能性のある本人への連絡等」にある「本人が容易に知り得る状態に置く」とは、どういうことですか。

Ｑ１－５ 「(5) 影響を受ける可能性のある本人への連絡等」及び「(6) 事実関係、再発防止策等の公表」について、「事案の内容等に応じて」とされていますが、どのような場合に本人への連絡等や公表をしなくてもいいのですか。

２：番号法違反の事案又は番号法違反のおそれのある事案を把握した場合の報告
Ｑ２－１

個人情報取扱事業者が特定個人情報に関する漏えい事案等を報告する際に、様式はありますか。

Ｑ２－２「個人番号の利用制限違反など番号法固有の規定に関する事案」とは、どういう事態を指すのですか。

Ｑ２－３

重大事案が発覚した場合、重大事案の報告を特定個人情報保護委員会に報告すれば、主務大臣等への報告はしなくてもいいですか。

Ｑ２－４「重大事案又はそのおそれのある事案」とありますが、「そのおそれ」に該当するかどうかの判断はどのように考えればよいですか。

Ｑ２－５

特定個人情報を処理しているパソコンがウイルス感染したことが発覚した
場合、重大事案にある「①情報提供等事務を実施する者の情報提供ネットワークシステムから外部に情報漏えい等があった場合（不正アクセス又は不正プログラムによるものを含む。）」に当てはまるのですか。

Ｑ２－６

重大事案にある「③不特定多数の人が閲覧できる状態になった場合」とは、具体的にどのような場合ですか。また、特定個人情報が記載されている書類を紛失した場合も当てはまるのですか。

Ｑ２－７

重大事案にある「④従業員等が不正の目的で持ち出したり利用したりした場合」には、従業員が自宅で業務の続きをするために、社内規程に違反して、特定個人情報を含む資料を自宅に持ち帰った場合も当てはまるのですか。

Ｑ２－８

特定個人情報保護委員会への報告を要しない場合で、「①影響を受ける可能性のある本人全てに連絡した場合（本人への連絡が困難な場合には、本人が容易に知り得る状態に置くことを含む。）」とありますが、「本人への連絡が困難な場合」とは、どういう場合を指しますか。

１：番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合の措置
Ｑ１－１「(1) 事業者内部における報告、被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
Ａ１－１「責任ある立場の者」の役職は限定されていませんが、あらかじめ、取扱規程等により、番号法違反又は番号法違反のおそれのある事案が発覚した場合の適切かつ迅速な報告連絡体制を整備しておくことが必要です。
Ｑ１－２「(1) 事業者内部における報告、被害の拡大防止」にある「被害の拡大を防止する」とは、具体的には、どのような対応をとらなければなりませんか。
Ａ１－２

例えば、外部からの不正アクセスや不正プログラムの感染が疑われる場合には、当該端末等の LAN ケーブルを抜いてネットワークからの切り離しを行うなどの措置を直ちに行うこと等が考えられます。
Ｑ１－３「(3) 影響範囲の特定」にある「把握した事実関係による影響の範囲を特定する」とは、どういうことですか。
Ａ１－３

事案の内容によりますが、例えば、漏えい事案の場合は、漏えいした特定個人情報の本人の数、漏えいした情報の内容、漏えいした手段、漏えいした原因等を踏まえ、影響の範囲を特定することが考えられます。
Ｑ１－４「(5) 影響を受ける可能性のある本人への連絡等」にある「本人が容易に知り得る状態に置く」とは、どういうことですか。
Ａ１－４

本人がアクセス（ログイン）できるホームページへの掲載や専用窓口の設置による対応などが考えられます。
Ｑ１－５ 「(5) 影響を受ける可能性のある本人への連絡等」及び「(6) 事実関係、再発防止策等の公表」について、「事案の内容等に応じて」とされていますが、どのような場合に本人への連絡等や公表をしなくてもいいのですか。
Ａ１－５

例えば、紛失したデータを第三者に見られることなく速やかに回収した場合や高度な暗号化等の秘匿化が施されていて紛失したデータだけでは本人の権利利益が侵害されていないと認められる場合等には、本人への連絡等や公表を省略することも考えられますので、各事業者において事案の内容等を踏まえて判断してください。
なお、サイバー攻撃による場合等で、公表することでかえって被害の拡大につながる可能性があると考えられる場合には、専門機関等に相談することも考えられます。

２：番号法違反の事案又は番号法違反のおそれのある事案を把握した場合の報告
Ｑ２－１

個人情報取扱事業者が特定個人情報に関する漏えい事案等を報告する際に、様式はありますか。
Ａ２－１

個人情報取扱事業者においては、各主務大臣のガイドライン等に定めのある様式やその定めに従って報告を行っている様式で報告していただくことで構いません。
Ｑ２－２「個人番号の利用制限違反など番号法固有の規定に関する事案」とは、どういう事態を指すのですか。
Ａ２－２

ここでいう「個人番号の利用制限違反など番号法固有の規定に関する事案」とは、個人情報保護法では制限されておらず、番号法のみに規定された事項に違反する又はそのおそれのある事案を指します。
具体的には、番号法によって定められた社会保障、税及び災害対策に関する特定の事務以外で個人番号を利用した場合（第９条）、番号法で限定的に明記された場合以外で特定個人情報を提供した場合（第 19 条）などが該当します。
Ｑ２－３

重大事案が発覚した場合、重大事案の報告を特定個人情報保護委員会に報告すれば、主務大臣等への報告はしなくてもいいですか。
Ａ２－３

重大事案が発覚した場合には、直ちに特定個人情報保護委員会へ報告するとともに、その事案が主務大臣のガイドライン等により報告対象にも該当する場合には当該ガイドラインの規定に従って報告する必要があります。
Ｑ２－４「重大事案又はそのおそれのある事案」とありますが、「そのおそれ」に該当するかどうかの判断はどのように考えればよいですか。
Ａ２－４

例えば、事案が発覚した時点では事実関係等を調査しないと重大事案に該当するかどうか明確ではないが、重大事案に該当する可能性があると合理的に予想される場合は、重大事案の「おそれ」があると言えます。
Ｑ２－５

特定個人情報を処理しているパソコンがウイルス感染したことが発覚した場

合、重大事案にある「①情報提供等事務を実施する者の情報提供ネットワークシステムから外部に情報漏えい等があった場合（不正アクセス又は不正プログラムによるものを含む。
）」に当てはまるのですか。
Ａ２－５「情報提供等事務を実施する者の情報提供ネットワークシステム」とは、番号法第 19 条第７号の規定による特定個人情報の提供の求め又は提供に関する事務を情報提供ネットワークシステムを使用して行うことを前提とした場合ですので、当該情報提供ネットワークシステムに接続しない事業者において使用している情報システムからの情報漏えい等は該当しません。

Ｑ２－６

重大事案にある「③不特定多数の人が閲覧できる状態になった場合」とは、具体的にどのような場合ですか。また、特定個人情報が記載されている書類を紛失した場合も当てはまるのですか。
Ａ２－６「不特定多数の人」は、事業者（委託先で特定個人情報を取り扱う従業者を含む。）以外の者が前提ですので、事業者において、誤ってインターネット上に特定個人情報を掲載した場合や情報システムに保存した特定個人情報が事業者の外部から容易にアクセス可能な状態になっていた場合を想定しています。なお、アクセスログなどにより閲覧がなかったことを確実に確認できた場合には、「重大事案」には含まないものと解されます。
また、特定個人情報が記載されている書類を紛失した場合は、ここでの「不特定多数の人が閲覧できる状態になった場合」には含まれませんが、他の重大事案の類型に該当しないか確認する必要があります。
Ｑ２－７

重大事案にある「④従業員等が不正の目的で持ち出したり利用したりした場合」には、従業員が自宅で業務の続きをするために、社内規程に違反して、特定個人情報を含む資料を自宅に持ち帰った場合も当てはまるのですか。
Ａ２－７

例えば、以下の事例のように、必ずしも「不正の目的」とは言えない目的又は不注意で持ち出してしまった場合などは、基本的には、「従業員等が不正の目的で持ち出したり利用したりした場合」には当てはまらないと考えられます。なお、以下の事例の場合でも、他の重大事案の類型に該当しないか確認する必要があります。
・個人番号関係事務に従事する従業員が、勤務時間外に入力作業を行うため、社内規程に反して、個人番号が含まれるデータを自宅のパソコンに送った場合
・従業員が外出先で取引相手から個人番号が記載された書類を受け入れたが、帰社途中に、当該書類を収納した鞄を紛失した場合・従業員が自宅に持ち帰った業務用のファイルに、意図せずに、特定個人情報が記載された書類が混入していた場合
Ｑ２－８

特定個人情報保護委員会への報告を要しない場合で、「①影響を受ける可能性のある本人全てに連絡した場合（本人への連絡が困難な場合には、本人が容易に知り得る状態に置くことを含む。）」とありますが、「本人への連絡が困難な場合」とは、どういう場合を指しますか。
Ａ２－８

基本的には、影響を受ける可能性のある本人全てに連絡することが前提ですが、例えば、電話や手紙等により複数回にわたって本人への連絡を試みたにもかかわらず、結果的に本人に連絡をとることができなかった場合等が当てはまります。