No.	意見等	当委員会の考え方
68	(該当簡所) 2 (2) イ (注)
「101人以上の確実な誤誤業」(例えば事業者の従業員がデータベースから出力した個人番号が記載された書類を建物内部で誤誤業してしまった場合で、外部に流出した可能性が無いと確実に認定できるとき)において、事業の性質・経緯に応じて必要な安全管理措置が講じられていなかったと認定される場合は別として、基本的には「番号法固有の規定」に違反することはないと理解してよいでしょうか。同じく、仮に当該ケースにおける特定個人情報の本人の数が101人以上である場合においても、「重大事業」に該当しないと理解してよろしいでしょうか。	誤誤業が確実であっても、番号法第12条(安全管理措置)に違反しているおそれがある場合には当委員会への報告対象となりますが、その可能性もない場合には貴見のとおりと考えられます。また、この場合、報告対象とならない事業であれば101人以上であっても、重大事業に該当しません。
69	(該当簡所) 2 (2) イ
「重大事業又はそのそれがある事業が発覚した時点で、直ちにその旨を特定個人情報保護委員会に報告」とあるが、参考資料の概念図で示されている事業者A・Bは、通常の報告同様、主務大臣等に報告し、貴委員会への報告は要しないという運用は可能か。可能であれば、その旨を明確化していただきたい。	重大事業が発覚した時点で当委員会へ報告をいただくことになります。
70	(該当簡所) 2 (2) イ
特定個人情報保護覧価指針の「第2 6」において定義されている「重大事故」においては、「配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く」とされているが、「2. (2) イ」における「重大事業」においても、配送事故や自然灾害等のうち事業者の責めに帰さない事由によるものは重大事業から除かれるとの理解でよいか。除かれるのであれば、その旨を明確にするべく規定いただきたい。	事業者の取り扱う特定個人情報の漏えい事案等が発生した場合には、事業者の責めに帰さない事由による漏えい事案等であっても、報告することとなりますので、重大事業から除かれません。
71	(該当簡所) 2 (2) イ (注)
「③不特定多数の人が閲覧できる状態」とは、例えば、インターネット上に、特定個人情報と氏名が掲示されるようなケースを想定すればよいか。	御理解のとおりです。(本告示Q&Aに記載)
72	(該当簡所) 2 (2) イ (注)
「不特定多数の人が閲覧できる状態」には、アクセスログなどにより閲覧がなかったことが確認できる場合は含まないと考えてよいか。	他の重大事業の類型に該当しない場合、アクセスログなどにより閲覧がなかったことが確認できた場合には、「重大事業」には含まないものと解されます。(本告示Q&Aに記載)
73	(該当簡所) 2 (2) イ (注)
「③不特定多数の人が閲覧できる状態」とあるが、この「不特定多数の人」の解釈は「個人番号関係事務実施者（事業者）の一部として当該関係事務に従事する従業員（委託先の従業員も含む）以外の一般人」を指すとの理解でよいか。	御理解のとおりです。(本告示Q&Aに記載)
74	(該当簡所) 2 (2) イ (注)
「④従業員等が不正に持ち出したり利用したりした場合」とあるが、この「不正に持ち出す」の解釈は「不正に利用する意図を持って持ち出す」との理解でよいか。
「従業員等が不正に持ち出したり利用したりした場合」における「不正に持つ」については、「不正に利用する意図・目的で持ち出す」ことを指すものであり、例えば、「社内の持出手続の理解不足等から手続に反した方法での持出」は含まないと理解しているが、その理解でよければ、上記のとおり修文するなど明確化しただきたい。	御理解のとおりです。(本告示Q&Aに記載)
75	(該当簡所) 2 (2) イ (注)
「不正に持ち出したり利用したりした場合」には、不正持ち出しや不正利用の目的がない場合を含まないと考えてよいか。例えば、過失による持出し手続きの不備が判明した場合、注⑤など他の注記項目に該当する重大事業の場合を除き、注④事業として委員会報告が求められるものではないと考えてよいか。	御理解のとおりです。(本告示Q&Aに記載)
76	2(3) 特定個人情報保護委員会への報告を要しない場合の「個人情報取扱事業者以外の事業者」を明確にしていただきたい。どのような事業者を想定しているのか。	ガイドラインで用いられる用語で記載しておりますが、「個人情報取扱事業者」とは、個人情報保護法施行令第2条に規定されている個人情報データベース等を事業の用に供している者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。）であって、個人情報データベース等を構成する個人情報による識別される特定の個人の数（個人情報保護法施行令で定める者を除く。）の合計が過去6か月以内のいずれの日においても5,000を超えない者以外の者をいい、「個人情報取扱事業者以外の事業者」は、この要件に該当しない事業者を指します。
77	特定個人情報の漏えい事案等が発生した場合、第2条第3項にある特定個人情報保護委員会への報告を要しない場合とはどのような場合か。
番号法第67条に規定されている特定個人情報ファイルの不正提供が発生しても、外部に漏洩しないと判断された場合には特定個人情報保護委員会への報告を要しないという認識でよいのか。	告示案2。(3)では、当委員会への報告を要しない場合として、個人情報取扱事業者以外の事業者であること、(3)①～⑤の全てに該当する場合であること、の2点を満たす場合としています。御意見では、②に該当する場合を例示しておりますが、これだけでは報告を要しない場合に該当しません。なお、不正提供の場合は外部に漏えいしていると考えられますので、報告が必要となります。
78	「特定個人情報保護委員会への報告を要しない場合」の項目について
このは削除してください。この5項目すべて該当しているか確認している間に公表が遅れ「速やかに」ではなくなってしまいます。「1」の本人に連絡する前にすぐに委員会に報告させてください。委員会は本人への報告内容も漏洩しながら示してください。
また、そもそも、各項目に該当しているかどうかは漏洩した側の主観となる為、隠蔽する事が容易です。
1「影響を受ける可能性のある本人」の影響を受ける可能性があるかどうかは漏洩した側の主観となる。「影響を受けない」と勝手に判断すれば要件を満たすことができる。
2「外部に漏洩してない」かどうかは、主観的に漏洩してないと思えば要件を満たすことができる。したがって隠蔽しやすい。
3「不正に持ち出したり・利用したり」以外にも、「ついうかり」というものがあります。単純な人為的ミスが漏洩事故の中でも多くを占めているはずです。
4調査をしてしたかどうか、再発防止策を決定したかどうかは、漏洩側の任意性が高いです。
5「本人の数が100人以下の場合」1人の漏洩でも重大です。仮に賠償金一人1万円としても100人で100万円レベルの漏洩事故です。一人から報告義務があると考えます。また、101人以上の漏洩でも、100人以下の漏洩事故に小分けする事も可能になってしまいます。
以上、誠意を持ってご検討ください。	当委員会への報告を要しない場合については、個人情報取扱事業者以外の事業者における負担、取り扱う個人番号の数量等を総合的に勘案して定めたものですぐに、原案のとおりとしております。なお、報告が必要となるかどうかについては、事業者において適切に御判断いただく必要があります。
79	リスクに見合った報告ルールの策定
(2.(3))
「個人情報取扱事業者以外の事業者にあっては、次の全てに当てはまる場合は、特定個人情報保護委員会への報告を要しない」とされているが、「個人情報取扱事業者以外の事業者にあっては」を削除し、全ての事業者に本規定を適用すべきである。	当委員会への報告を要しない場合については、個人情報保護法の適用のない個人情報取扱事業者以外の事業者における負担、取り扱う個人番号の数量等による影響等を総合的に勘案して例外的に定めたものですので、原案のとおりとしております。