問題 No.4509
賃貸住宅管理業者が、個人情報の保護に関する法律に基づき、個人データ（入居者の氏名、連絡先、連帯保証人の情報等）の漏洩等の事態が発生し、個人の権利利益を害するおそれがある場合に、個人情報保護委員会への報告および本人への通知を行わなければならない事態の定義に関する記述として、最も適切なものはどれか。
【正解の解説】
個人データの漏洩等が発生し、不正アクセスや不正利用等による財産的被害が生じるおそれがある事態、あるいは要配慮個人情報が含まれる事態など、個人の権利利益を害するおが大きい事態として政令で定める要件に該当する場合は、個人情報保護委員会への報告等が必要となる。
これは、財布を落としたときに中身が現金かポイントカードかによって焦る度合いが変わるのと似ています。入居者のクレジットカード情報や要配慮個人情報などの重要なデータが外部に流出し、悪用される危険性やプライバシー侵害が大きいと判断される場合には、隠さずにすぐ国（個人情報保護委員会）と本人へ知らせて二次被害を防ぐ必要があるため、この規定が設けられています。
スポンサーリンク
【その他の選択肢の解説】
個人データの漏洩等が発生した場合であっても、それが故意ではなく過失によるものであるときは、個人の権利利益を害するおそれが小さいものとみなされ、本人への通知を行う必要はない。
「うっかりミス（過失）だから許される」という甘い考えは個人情報保護法では通用しません。泥棒に入られたのが鍵を閉め忘れた（過失）からといって被害が消えないのと同じで、情報が漏れたという結果自体が問題視されるため、過失であっても要件に該当すれば当然に本人への通知や報告が必要になります。
個人データの漏洩等が発生した場合における個人情報保護委員会への報告は、事態の発生を知った日から30日以内に暫定的な報告を行えば足り、速やかな確報の提出は義務付けられていない。
火事が発生したときに、消火器を持って駆けつけた後で消防車を呼ばずに30日待つようなものであり、それでは被害が拡大してしまいます。実務上は、まずは事態を知ってから速やかに（概ね3〜5日以内）速報を行い、その後に詳細な調査結果を確報としてまとめる二段階のプロセスが法律で義務付けられています。
個人データの漏洩等が発生した場合において、当該データにマイナンバーが含まれていないときは、個人の権利利益を害するおが大きい事態に該当する場合であっても、本人への通知は任意とされている。
マイナンバーは特に厳重な管理が必要な「特定個人情報」ですが、それ以外の一般的な個人情報（氏名、電話番号、連帯保証人の情報など）であっても、漏洩によってストーカー被害や詐欺などの重大な二次被害に繋がるおそれは十分にあります。したがって、「マイナンバーじゃないからセーフ」という免責ルールは一切存在しないので注意が必要です。