賃管士 管理実務 問11｜個人情報保護法26条——漏えい等の報告義務と委託を受けた事業者の特例

正答はアです。

個人情報保護法26条1項は、個人データの漏えい等のうち規則で定める重大な事態が生じたときに、個人情報保護委員会へ報告する義務を定めています。ただし書で、他の個人情報取扱事業者などから取扱いの委託を受けた事業者が、規則で定めるところにより委託元に通知したときは、報告義務を負わないとしています（ア）。

イは誤りで、このただし書の例外があります。ウは誤りで、本人への通知が困難なときは代わりの措置によることができます（2項ただし書）。エは誤りで、委託元に通知した事業者は本人への通知義務の対象から除かれます。オは誤りで、報告の対象は規則で定められています。

26条の組み立て:

各選択肢:

• ア（正）: 1項ただし書のとおりです。
• イ（誤）: 1項ただし書の例外があり、「常に」報告義務を負うわけではありません。
• ウ（誤）: 2項ただし書で、代わりの措置が認められています。
• エ（誤）: 2項は「同項ただし書の規定による通知をした者を除く」としており、委託元に通知した受託者は本人への通知義務を負いません。
• オ（誤）: 報告の対象は、個人情報保護委員会規則（施行規則7条）で定められています。

【報告の対象となる事態・委託を受けた事業者の通知・本人への通知・管理業務での当てはめ】

1. 報告の対象となる事態（施行規則7条）

26条1項本文の「個人の権利利益を害するおそれが大きいもの」は、施行規則7条で次の4つとされています。

• 要配慮個人情報が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による漏えい等
• 個人データに係る本人の数が1,000人を超える漏えい等

いずれも「発生したおそれがある事態」を含み、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた個人データは除かれます。すべての漏えいが報告の対象になるわけではありません。

2. 委託を受けた事業者の通知（26条1項ただし書・施行規則9条）

個人データの取扱いの委託を受けた事業者が報告の対象となる事態を知ったとき、規則で定めるところにより委託元に通知すれば、その事業者自身は委員会への報告義務を負いません。施行規則9条は、この通知を、事態を知った後、速やかに、報告と同じ事項について行うよう定めています。委託元は、自らの報告義務（1項本文）を負います。

3. 本人への通知（26条2項）

1項の事態が生じたときは、本人への通知も必要です。ただし、1項ただし書の通知をした受託者は除かれます。また、本人への通知が困難で、本人の権利利益を保護するために必要な代わりの措置をとるときは、通知をしなくてもよいとされています（2項ただし書）。

4. 管理業務での当てはめ

オーナーから入居者の個人データの取扱いを委託されている管理業者は、「委託を受けた」事業者に当たる場面があります。その場合は、委託元への通知によって委員会への報告義務を負わないことになります。ただし、管理業者が自らの事業のために取得・管理している個人データの漏えいであれば、管理業者自身が報告と本人への通知の義務を負います。誰が委託元に当たるかは契約関係によるため、管理受託契約で、漏えい等が起きたときの通知の方法や連絡先を決めておくことが大切です。