個人情報保護委員会 — 個人情報保護法 3年ごと見直し中間整理（概要） p.18

キーファクト

• 96.0%: 漏えい等した個人データに係る本人が1,000人以下の事案の割合 (other)
• 89.7%: 要配慮個人情報を含むものが全体の報告義務該当事案に占める割合 (other)
• 1.6%: 漏えい等した個人データに係る本人が101〜1,000人の事案の割合 (other)
• 2.8%: 漏えい等した個人データに係る本人が11〜100人の事案の割合 (other)
• 84.0%: 漏えい等した個人データに係る本人が1人の事案の割合 (other)
• 7.6%: 漏えい等した個人データに係る本人が2〜10人の事案の割合 (other)
• 12120件: 令和5年度の漏えい等報告件数 (other)

このスライドの図表

• [text_block] 漏えい等報告・本人通知制度の現状、統計データ、および今後の見直しに関する議論の要約

抽出テキスト

2 実効性のある監視・監督の在り方 17 (3) 漏えい等報告・本人通知の在り方 我が国の現状等 ● 現行法上、法第26条第1項に基づく漏えい等報告は、規則第7条各号に該当する事態について、速報及び確報に分けて行うこととされている。漏えい等報告の趣旨は、委員会が事態を早急に把握し、必要な措置を講ずることができるようにすることにあり、委員会は、漏えい等報告を受けた内容を踏まえ、関係する法令やガイドラインの説明を行いつつ、報告事項の記載について不明点等を確認し、個人情報取扱事業者に対し、本人通知義務を履行させ、再発防止に向けた安全管理措置義務に係る指導等を行っている。特に、速報を受領した段階においては、事案の規模や概要を把握して、事案の軽重を踏まえて今後の調査方針や権限行使の方向性について検討し、また、必要に応じて漏えい等事態が発生して間もない段階で個人情報取扱事業者として対応すべきことを助言し、個人情報取扱事業者における調査の一般的な手法やセキュリティに関する情報提供等を実施している。さらに、不正アクセス事案の場合、個人情報取扱事業者に対し、警察など関係機関への連絡を行うことも助言している。 ● また、委員会への報告を要する事態が生じた場合には、本人への通知も行う必要がある。本人への通知の趣旨は、通知を受けた本人が漏えい等の事態を認識することで、その権利利益を保護するための措置を講じられるようにすることにある。本人通知は原則として本人に直接知らせる必要があるが、「本人への通知が困難な場合」には事案の公表を含む代替措置をとることが可能とされている。 ● なお、現行法上、「個人データ」が違法に第三者に提供された場合、委員会に対する報告及び本人通知を行う義務は存在しない。 ● 令和2年改正法の施行により、令和4年度から漏えい等報告が義務化されたこと等により、漏えい等報告の件数は増加しており、令和5年度は12,120件となっている。同一の事業者において繰り返し漏えい等が発生している事例も存在する。 ・ 漏えい等した個人データに係る本人の数は多くの事案において1,000人以下であるものの、50,000人超という非常に大規模な個人の権利利益の侵害に繋がるケースも存在する。具体的には、漏えい等した個人データに係る本人の数が1,000人以下の事案が全体の96.0%（11,635件）を占めており、中でも、漏えい等した個人データに係る本人の数が1人の事案が全体の84.0%（10,184件）を占めている。 ・ 漏えい等した個人データに係る本人の数が2～10人、11～100人及び101～1,000人の事案が、それぞれ、全体の7.6%（918件）、2.8%（341件）及び1.6%（192件）を占めている。漏えい等した個人データに係る本人の数が1人の事案としては、病院や薬局における要配慮個人情報を含む書類の誤交付又は紛失や、クレジットカードの誤送付などが多い。 ・ 漏えい等の原因は、誤交付、誤送付等のいわゆるヒューマンエラーによる事案が多いものの、不正アクセスによるものも一定程度存在する。不正アクセスを原因とする事案の中には、個人データに係る本人の数が100万人を超える漏えいのおそれ等が生じたものもあった。報告義務該当事由の割合を見てみると、要配慮個人情報を含むものが全体の89.7%を占めている。 ● 関係団体等からは、「制度の趣旨・目的に照らしつつ、リスクベースアプローチによる合理的な範囲に報告対象を絞り込むなど、現在の報告・通知の在り方を見直すべき」として、漏えい等報告及び本人通知の負担軽減を要望する声が上がっている。 ● GDPRは、個人データ侵害が発生した場合に、原則として、各加盟国のデータ保護当局に対して通知を行うことを義務付けている。また、個人データ侵害が自然人の権利及び自由に対する高いリスクを発生させる可能性がある場合、データ主体に対し、不当な遅滞なく通知することを義務付けている。