石川博崇議員の質問と、政府の答弁

今回、もう一つ導入されたこととして、漏えい報告の義務化でございます。個人情報保護法、個人データが漏えいしたり滅失したり毀損したりした場合には、これまでは個人情報保護委員会に対する報告を義務付ける規定はなかったわけでございますが、平成二十九年以降努力義務として定められておりました。今回これを義務付けることとしたわけですけれども、一体どういう場合に個情委に報告をしなければならないのか、今、現時点で全く明確ではないというお声がございます。一定数以上の個人データの漏えい、あるいは要配慮個人情報の漏えい等を想定しているというふうに伺っておりますけれども、どういった場合に報告を取るのか。しかも、罰則によって報告を担保するということであれば、明確な基準を設定することが必要不可欠だというふうに考えております。類型なりとも明らかにすべきだと思いますが、いかがでございましょうか。

今お尋ねをいただきました漏えい報告が必要となる要件につきましては、委員会規則において、個人の権利利益を害するおそれが大きい事態として定めることとしております。具体的には、個人データの性質と漏えいの態様に着目をいたしまして、まず要配慮個人情報の漏えい、それから不正アクセスによる漏えい、財産的被害に至るおそれのあるデータの漏えいについては、件数に関わりなく報告の対象とすることを想定をしております。また、これらの類型に該当しない場合であっても、一定数以上の大規模な漏えいについても事業者の安全管理の観点から問題があるとも考えられますので、委員会への報告の対象とすることを想定しております。このように、複数の観点から類型を定めることで、個人の権利利益を害するおそれが大きい事態について委員会への報告対象となるようにしてまいりたいと思います。