情報漏えい

この記事では、日本の個人情報保護法と、個人情報保護委員会のガイドラインでの扱いを説明します。

ガイドラインは、漏えいを次のように定めています[1]。

個人データの「漏えい」とは、個人データが外部に流出することをいう。

— 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」

ガイドラインが挙げる例には、次のようなものがあります[1]。

• 「事例2）個人データを含むメールを第三者に誤送信した場合」
• 「事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合」
• 「事例5）不正アクセス等により第三者に個人データを含む情報が窃取された場合」

攻撃を受けた場合だけでなく、送り間違いや設定ミスも漏えいに入ります。 一方で、「なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。」とされています[1]。

法律やガイドラインでは、外に出ること以外も合わせて「漏えい等」と呼びます[1]。

• 漏えい：外部に流出すること（上のとおり）
• 滅失：「個人データの「滅失」とは、個人データの内容が失われることをいう。」
• 毀損：「個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。」

ランサムウェアの被害は、毀損の例として挙がっています。「事例3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合」。そのうえで「（※）同時に個人データが窃取された場合には、個人データの漏えいにも該当する。」とされています[1]。

個人情報保護委員会は「下記の要件に該当する場合、漏えい等報告が義務付けられています。」としています[2]。民間の事業者の場合は次の4つです[2]。

1. 「要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）」
2. 「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ）」。例として「ECサイトからクレジットカード番号を含む個人データが漏えいした場合」
3. 不正の目的で行われたおそれのある行為による漏えい等。例として「不正アクセスにより個人データが漏えいした場合」。「※「不正の目的をもって」の主体は、従業者だけではなく、盗難等第三者も含まれます。」
4. 「個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）」

どれも「又はそのおそれ」が付いており、漏れたと確定する前の段階も対象です。3つ目の例に挙がっている不正アクセスは、別の用語ページで説明しています。

報告の対象になる場合は、本人への連絡も必要です。「個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。」[1]

報告は2段階です[1]。

• 速報：「「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内である。」中身は「速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。」とされています。
• 確報：「個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※1）、30日以内（規則第7条第3号の事態においては60日以内」。個人情報保護委員会のページも「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」としています[2]。

1. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
2. 個人情報保護委員会「漏えい等報告について」