令和6年度 貸金業務取扱主任者 学科 問46

各選択肢の解説

(1)

個人情報取扱事業者は、不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合であっても、当該事態が生じた個人データに係る本人の数が1,000 人を超えないときは、当該事態が生じた旨を個人情報保護委員会に報告する必要はない。

不適切。クレジットカード番号やネットバンキングのID・パスワードなど、不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等は、本人の数にかかわらず報告対象です。本人数が1,000人を超えることは別の類型の要件です。1,000人以下なら報告不要としている点が誤りです。

(2)

個人情報取扱事業者は、個人データに係る本人の数が1,000 人を超える漏えい等が発生し、又は発生したおそれがある事態が生じた場合であっても、高度な暗号化その他の個人の権利利益を保護するために必要な措置がなされていれば、当該事態が生じた旨を個人情報保護委員会に報告する必要はない。

適切。報告対象から除かれるのは、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データの漏えい等です（個人情報保護法施行規則7条）。高度な暗号化などがされていれば、本人数が1,000人を超えても報告は不要です。

(3)

個人情報取扱事業者（他の個人情報取扱事業者又は行政機関等から個人データの取扱いの全部又は一部の委託を受けた者ではないものとする。）は、報告対象事態(注)が生じた場合、本人に対し、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

適切。報告対象事態が生じた場合、個人情報取扱事業者は本人にその旨を通知しなければなりません（個人情報保護法26条2項本文）。本人への通知が困難で、代わりに本人の権利利益を守るために必要な措置（事案の公表など）をとる場合は、この限りではありません（同項ただし書）。委託先は委託元に通知すれば本人通知の義務を免れますが、設問は委託先を除いているため、記述どおりです。

(4)

個人情報取扱事業者は、報告対象事態が生じた旨を個人情報保護委員会に報告する場合には、概要、原因、二次被害又はそのおそれの有無及びその内容、本人への対応の実施状況、再発防止のための措置等について報告をしようとする時点において把握しているものを、当該事態を知った後、速やかに、報告しなければならない。

適切。報告対象事態を知った事業者は、速やかに個人情報保護委員会に報告しなければなりません（いわゆる速報、個人情報保護法施行規則8条1項）。報告事項は、概要、漏えい等した個人データの項目、本人の数、原因、二次被害やそのおそれの有無と内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置などです。報告は、その時点で把握している内容で足ります。なお、これとは別に原則30日以内（不正の目的による場合は60日以内）の確報が必要です（同条2項）。