No.	意見等	当委員会の考え方
59	重大事案又はそのおそれがある事案における報告先の一本化
(2.(2)イ)
「重大事案又はそのおそれがある事案が発覺した時点で、直ちにその旨を特定個人情報保護委員会に報告する」とされているが、同時に主務大臣等への報告を行うことが必要な場合が考えられることから、重複行政の排除を徹底していただきたい。	重大事案の場合には、当委員会へ報告いただくとともに、主務大臣のガイドライン等の報告対象となる事案の場合には当該ガイドラインの規定に従って主務大臣等へ報告ただくことになりますが、報告徴収等の権限の行使に当たっては、主務大臣の省庁等と十分な連携を図ります。
60	(該当箇所) 2(2)イ
(意見)「重大事案又はそのおそれ」の判断時において、「そのおそれ」が認められるために必要なおそれの程度を、定性的な表現を用いる、具体的な事例を示す等の方法により、明確にすべきである。
(理由)「おそれ」という要件は抽象的であり、要件該当性の判断が困難である。例えば、A社がB社に個人情報の取扱い及び特定個人情報の取扱いを委託していたというケースを想定する。このとき、B社の従業員甲と乙がおり、甲は個人情報にのみアクセスが認められており特定個人情報へのアクセスは認められていなかったが、乙には特定個人情報へのアクセスが認められていたとする。甲による不正持出しのケースが発覺した場合に、甲こが普段から仲がよいという程度の事情しか把握できておらず、乙の関与についてはそれを疑わせる事情がないがそれを否定する事情もないという場合、「そのおそれ」の判断は困難である。判断が困難な要件の判断は、事業者にとって過度な負担となりかねない。	事案が発覺した時点では事実関係等を調査しないと重大事案に該当するかどうか明確ではないが、重大事案に該当する可能性があると合理的に予想される場合は、重大事案の「おそれ」があると考えます。事業者にとって過度な負担を強いものではないと考えます。(本告示Q&Aに記載)
61	(該当箇所) 2(2)イ
(意見)「そのおそれ」の判断に当たって、個人情報の漏えいが発生した場合であっても特定個人情報とそれ以外の個人情報が適切な方法により隔離されている等の事情により特定個人情報の漏えいの可能性がない場合、「そのおそれ」がないことを明示すべきである。
(理由)個人情報保護法50条により、一定の団体については、個人情報保護法第四章（主務大臣制も含む）の適用が除外されている。適用除外に該当する場合、仮に個人情報漏えいが発生したとしても、主務大臣に対する報告（個人情報保護法32条）等の措置をとる義務はない。しかし、個人情報漏えいが起こった場合に、特定個人情報の漏えいのおそれが安易に認められると、個人情報保護法50条の趣旨が失われてしまう。	特定個人情報とそれ以外の個人情報の適正な取扱いにより、可能性がないと判断される根拠が明らかではありませんが、特定個人情報に関する重大事案又はそのおそれに該当しないことが当初から明らかに判断されるのであれば、報告の対象とならない可能性があります。また、個人情報保護法第50条は特定個人情報についても適用され、番号法第35条は、個人情報保護法の適用のない事業者にも適用されます。本告示は、このような番号法の体系を前提としていますので、個人情報保護法第50条の趣旨が失われることはありません。
62	(該当箇所) 2(2)イ
(意見)「そのおそれ」の判断に当たって、個人情報の漏えいが発生した場合であっても特定個人情報とそれ以外の個人情報が適切な方法により隔離されている等の事情により特定個人情報の漏えいの可能性がない場合、「そのおそれ」がないことを明示すべきである。
(理由) 2(1)は、「報告の方法」という見出しの下、事情に応じて、報告先を主務大臣とするか特定個人情報保護委員会とするかについて定めている。一方で、2(2)は、「報告の時期」という見出しではあるが、2(2)では、報告先として特定個人情報保護委員会しか示されておらず、2(1)との関係が不明確である。	重大事案の場合には、当委員会へ報告いただくとともに、主務大臣のガイドライン等の報告対象となる事案の場合には当該ガイドラインの規定に従って主務大臣等へ報告いただくことになります。その趣旨が明確になるように記述を追加しております。
63	(該当箇所) 2(2)イ
重大事案が2(1)アに該当する場合、「発覚」時に委員会へ報告した上、「把握」後には主務大臣へ報告することになると思われるが、このような仕組みとした趣旨を確認させていただきたい。また、二重行政の回避及び一元的な監督の観点から、報告先を主務大臣に統一することも可能としていただきたい。	当委員会は、特定個人情報の適正な取扱いを確保するため、その取扱いに関する監視・監督を行う必要があります。その上で、本件に規定のある重大事案が発覚した場合には、その事案の事実関係等を把握しつつ、必要に応じ、番号法上の権限に基づき対応を行う場合も考えられます。また、特定個人情報については、個人情報でもあることから、番号法に定めのない事項については、個人情報保護法の適用があることから、各主務大臣のガイドライン等に従っていただくこととなるため、このような体制となっております。
64	(該当箇所) 2(2)イ
重大事案について、どのような基準により①～④が選別されたか、確認させていただきたい。また、重大事案については、例えば、以下のように該当するケースの明確化を図っていただきたい。
-③不特定多数の人が閲覧できる状態になった場合については、単に路上にて欲失した場合等は該当せず、インターネットへの流出等の情報が容易に拡散する可能性が高い場合に限る
-④従業員等が不正に持ち出したり利用したりした場合については、単なる社内規定違反等が該当するわけではなく、正当な理由なく特定個人情報ファイルを第三者に提供した場合や、不正な利用を図る目的で第三者に提供したり、盗用した場合に限る	重大事案は、これまでの個人情報の漏えい事案を参考に、二次被害の拡大防止等の観点から当委員会が迅速に把握する必要があると思われる場合を記載しています。
御意見いただいたケースでは、
③は、例えば、インターネット上に、特定個人情報と氏名が掲示されるようなケースを想定しております。
④は、御理解のおりです。
(本告示Q&Aに記載)
65	重大事案の明確化
(2.(2)イ(注)
重大事案の基準が幅広く解釈されないよう、例えば、次のような場合には対象とならないことを明らかにするなど、重大事案の範囲を明確化すべきである。
○配送事故や自然災害等のうち事業者の責めに帰さない事由によるものは「重大事案」から除かれること。
○「3 不特定多数の人が閲覧できる状態になった場合」の不特定多数の人とは、第三者を指しており、自社及び委託先の従業員は含まれないこと。
○「3 不特定多数の人が閲覧できる状態になった場合」の閲覧できる状態とは、SNS等のオンラインサビスにおける漏えい等を指しており、個人番号を記載したメモを落としたような場合は含まれないこと。
○「4 従業員等が不正に持ち出したり利用したりした場合」の不正とは、意図的な不正を指しており、社内規定の頁認等による事務手続き上のミス等による持ち出しや利用は含まれないこと。	事業者の取扱う特定個人情報の漏えい事案等が発生した場合には、事業者の責めに帰さない事由による漏えい事案等であっても、報告することとなりますので、重大事案から除かれません。また、御意見を踏まえ、「不正に」については、「不正の目的で」に修正しております。(本告示Q&Aに記載)
66	(該当箇所) 2(2)イ
「特定個人情報に関する重大事案又はそのおそれのある事案が発覚した時点で、直ちにその旨を特定個人情報保護委員会に報告する」とあるが、事業者が個人情報取扱事業者であり、かつ、個人番号又は特定個人情報の漏えいなど主務大臣のガイドライン（「金融分野における個人情報保護ガイドライン」等）において報告対象となる重大事案が発生した場合、主務大臣（「金融庁」等）に報告を行うのであれば、特定個人情報保護委員会への報告は要さないと解してよいか。	重大事案が発覚した場合には、原案のとおりに主務大臣のガイドライン等の規定にかかわらず、重大事案又はそのおそれが発覚した時点で直ちにその旨を当委員会へ報告いただくこととなります。その趣旨が明確になるように記述を追加しております。
67	(該当箇所) 2(2)イ(注)
金融・証券業界にあっては、例えば個人情報の頁廃業の場合、頁廃業が確実であれば漏えいとせず、蓋然性が高いが確実とまでは言えない場合は漏えいと整理しています。金融庁「金融機関における個人情報保護に関するQ&A」問い合わせ「個人データが外部に流出したか否か」を、漏えいの判断基準としているためです。
特定個人情報の頁廃業についても、上記基準と同様の解釈により、「101人以上の確実な頁廃業」は報告対象ではなく、「101人以上で蓋然性は高いが確実とまでは言えない頁廃業」につき、特定個人情報保護委員会および金融庁への報告を行うとの理解でよろしいでしょうか。	頁廃業が確実であっても、番号法第12条（安全管理措置）に違反しているおそれがある場合には当委員会への報告対象となります。この場合、101人以上であれば、重大事案に該当することになります。なお、金融庁への報告対象になるかについては、金融庁へお尋ねください。