No.	意見等	当委員会の考え方
35	意見等「個人情報取扱事業者が特定個人情報保護委員会に報告する際の報告書雑形をご提示いただきたい。」理由「所定の様式を提示して頂くことにより、個人情報取扱事業者の事務負担軽減となるため。」	個人情報取扱事業者においては、各主務大臣のガイドライン等に定めのある様式やその定めに従って報告を行っている様式で報告していただくことで構いません。なお、当委員会への報告様式については、当委員会のホームページで公表する予定ですので、その様式を活用していただくことも可能です。（本告示Q&Aに記載）
36	（該当簡所）2（1）及び（2）事業者が個人情報取扱事業者であり、かつ、個人番号又は特定個人情報の漏えいなど主務大臣のガイドラインにおいて報告対象となる事業が発生した場合において、本対応（案）に具体的な報告方法（フォーマットおよび報告時期等）の定めがない場合、個人情報漏えい事案が発生した場合と同様の報告方法（「金融分野における個人情報保護ガイドライン」等に基づく報告方法）でよいか。	御理解のとおりです。（本告示Q&Aに記載）
37	主務大臣のガイドライン等において報告対象となる事案における報告先の一本化（2.（1）ア）「主務大臣等の求めにより、直接特定個人情報保護委員会へ報告をしても差し支えない」とされているが、どのようなケースを想定しているのか示されたい。特定個人情報保護行政における重量的な監視監督体制はとるべきではなく、2.（1）アの規定による報告を行う事業者（参考資料A及びBの事業者）については、報告先を一本化し、事業者に対する行政の窓口を一元化すべきである。	個人情報取扱事業者にあっては、現行の個人情報保護法の主務大臣のガイドライン等に従って主務大臣等への報告がされる必要があることから、特定個人情報の場合にも主務大臣のガイドライン等に従って報告することを原則としています。が、事業の内容等により主務大臣等及び当委員会の両者への報告対象となる事業も想定されることからこのような規定を設けております。
38	（該当簡所）2（1）ア（意見）主務大臣が複数存在する場合の具体的な扱いについて、明記すべきである。（理由）個人情報保護法36条は、1号において、雇用管理に関するは、厚生労働大臣及び事業を所管する大臣がともに主務大臣とされている。例えば、従業員の特定個人情報とともに法定調査作成の対象となる取引先・顧客等の特定個人情報を管理する事業者A社（経済産業分野）を想定する。A社について、漏えいしたのが従業員の特定個人情報のみであることが明らかである場合、厚生労働大臣のみに報告すれば足りるのか、厚生労働大臣及び経済産業大臣に報告する必要があるのか不明である。A社について、漏えいした情報に、従業員の特定個人情報だけでなく、取引先・顧客等の特定個人情報も含まれる場合、厚生労働大臣及び経済産業大臣に対して報告義務が生じると思われるが、報告の内容について、主務大臣ごとに内容を切り分ける（雇用分野に関しては厚生労働大臣、それ以外は経済産業大臣）のか、全ての事情を各主務大臣に報告するのか不明である。そこで、意見記載の対応を求めるものである。	個人情報取扱事業者の場合は、原則として、主務大臣のガイドライン等の規定に従って報告することになりますので、主務大臣が複数存在する個人情報取扱事業者については、それぞれの主務大臣のガイドライン等の規定に従って現行とおりに報告していただくことになります。
39	（該当簡所）2（1）ア（意見）「個人情報取扱事業者以外の事業者が主務大臣のガイドライン等の規定に従う場合」がどのような場合か明示すべきである。（理由）法令等の「規定に従う」という場合、法令等に強制力があるから従う場合と、従う義務はないが任意的に従う場合が考えられる。2（1）ア（注1）が前者のみをさすのか、前者と後者を含むのか明示から、経済産業分野において個人情報取扱事業者でない事業者等についても、「個人情報は、個人の人格尊重の理念の下に慎重に取扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」（法第3条）という法の基本理念を踏まえ、このガイドラインに規定されている事項を遵守することが望ましい。」とされているが、遵守が望ましいとされていることが「規定に従う」に該当するのか不明である。また、後者に関しては、いかなる事情があれば、任意的に「規定に従う」といえるのか不明である。そこで意見記載の対応を求めるものである。	個人情報取扱事業者以外の事業者については、業法等に基づき主務大臣のガイドライン等の適用対象になっている場合と、主務大臣のガイドライン等において当該ガイドラインに規定されている事項を遵守することが望ましいとされている場合があるため、両者の場合が考えられる。いずれにしても、個人情報取扱事業者以外の事業者が主務大臣のガイドライン等の規定に基づいて報告することが想定されるため、原案のとおりの記載としております。
40	（該当簡所）全体、2（1）ア（特定個人情報に該当しない「死者の個人番号」については、（当該情報が生存する個人に関する情報でもある場合は、当該生存する個人を本人とする個人情報となるものの、）1に定める措置、2で定める報告の対象にはならないとの理解でよいか、確認させていただきたい。	「死者の個人番号」については、番号法上の安全管理措置が必要となることから、対象となります。
41	（該当簡所）2（1）ア（現在、個人情報の漏えい等の際に、金融機関から金融庁へ提出する報告書の様式については、金融庁が作成した雛形を参考にし、各社で定めることが認められているが、2（1）アにおける報告の際の様式についても、漏えい等した個人情報に個人番号が含まれることが明示されていれば、各社にて定めるもので良いか、確認させていただきたい。	御理解のとおりです。（本告示Q&Aに記載）
42	（該当簡所）2（1）ア（特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の「第3－6」において、「別に定める」とされていたものが、今回の「事業者における特定個人情報の漏えい事業等が発生した場合の対応について（案）」（以下「本対応案」という。）であると理解しているが、本対応案は何に規定されるのか（（特定）個人情報保護委員会規則等に規定されるのか、または上記ガイドラインが一部改正されるのか等）。また、本対応案の「2（1）ア」における「報告対象となる事案」は、各主務大臣のガイドライン等において定められる事案との理解でよいか。	本件については、当委員会が告示として定めることとなります。なお、「2（1）ア」における「報告対象となる事案」については、現行の主務大臣のガイドライン等において主務大臣等へ報告すべき事案を指しています。
43	（該当簡所）2（1）ア（事業者の一覧表形式での報告等、現行実務において各監督当局が採用している報告対象、頻度、方法等についての今後の取扱いは、各監督当局の指示に従うことでよいか。また、「事業者が個人情報取扱事業者（注1）に当たる場合、当該事業者は主務大臣のガイドライン等の規定に従って報告する。」との記載があり、「主務大臣のガイドライン等の規定については、所管する各省庁へお尋ねください。	御意見にある重大事案には該当しない報告については、主務大臣のガイドライン等による報告対象、頻度、方法等に従うこととなります。なお、主務大臣のガイドライン等の改定については、所管する各省庁へお尋ねください。
44	（該当簡所）2（1）イ（意見）「主務大臣が明らかでない個人情報取扱事業者における個人番号又は特定個人情報の漏えい事案などの事案」の「主務大臣が明らかでない」について、具体例を示す等の方法により、明確にすべきである。（理由）「主務大臣が明らかでない個人情報取扱事業者」は、その行う事業が複数の大臣の所管についての事業を行っている場合のみを指すのか、それ以外の場合を含むのか不明である。	複数の大臣の所管についての事業を行っているという認識があれば、その主務大臣が明らかであるため、それ以外の場合（後者）を指します。
45	（該当簡所）2（1）イ（意見）「報告する主務大臣等を直ちに特定できない場合」について、具体例を示す等の方法により、明確にすべきである。（理由）例えば、従業員の特定個人情報とともに法定調査作成の対象となる取引先・顧客等の特定個人情報を管理する事業者A社（経済産業分野）を想定する。A社から漏えいした情報の範囲に、従業員の特定個人情報及び取引先・顧客等の特定個人情報の一方のみが含まれているか双方が含まれているかという事情が判明しない場合は、「直ちに報告すべき主務大臣を判断できない場合」に該当するのか、あるいは、厚生労働大臣と経済産業大臣のいずれか又は双方に報告すべきことは明らかであるから、「直ちに報告すべき主務大臣を判断できない場合」に該当するのか明である。また、「直ちに」について、どの程度の調査・検討を事業者に求めるものか不明である。	個人情報取扱事業者の場合は、原則として、主務大臣のガイドライン等の規定に従って報告することになりますので、主務大臣が複数存在する個人情報取扱事業者については、それぞれの主務大臣のガイドライン等の規定に従って現行のとおりに報告していただくことになり、御指摘の事例では、主務大臣等を直ちに特定できない場合には該当しません。報告の迅速性に鑑み、報告先の主務大臣が分かない場合を想定しております。
46	（該当簡所）2（2）イ（意見）「重大事案又はそのおそれ」の「そのおそれ」を判断する時点、または、そのおそれを判断するまでに事業者が調査に使うことのできる期間を明確にすべきである。（理由）「重大事案」該当性は、本人の数（②の場合）、従業員の関与の有無（④の場合）など、事業の調査を行わないければ判断できない。例えば、特定個人情報漏えいの可能性が発見した場合に、調査を進めることにより、漏えいの対象となった本人の人数、漏えいの経緯が判明し、重大事案に該当するか否かの判断が可能となる。しかし、一般に、情報漏えいの調査は容易ではなく、時間を要することが見込まれるところ、十分な根拠をもって重大事案の該当性を判断できる事情が明らかになるまで調査を継続し、その間、報告義務の有無の判断を保留できるのかが2（2）イの定めでは不明である。また、当初は重大事案の要件を満たさないと判断できる事情があったが、調査により新たな事業が発見し、重大事案に該当するおそれが認められた場合、新たな事業が発見した時点で直ちに報告を行えばよいのかという点についても明確にしていただきたい。	重大事案の報告については、事業者において、事業の内容から判断してその要件に当てはまるか、又はそのおそれがあると認識した時点で報告をするものであり、事業によっては調査過程で重大事案又はそのおそれと認識することも想定されますので、調査に要する期間をあらかじめ一律にお示することは適当ではないと考えます。