お問合せ
個人情報取扱事業者での個人情報等の取扱い方
- 1. 情報漏えいへの対応について
【1-2. 委託先での漏えい対応について】 - ad2-1-2-q2
委託先の事業者において、不正アクセスによる個人データの漏えい等が生じ、当該個人データがダークウェブに掲載されたおそれがある。委託元の事業者は、委託先の事業者とともに、当該事態が生じたことについて、本人への通知を行う必要があるか。
- ad2-1-2-a2
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、施行規則第７条各号に掲げる報告対象事態が生じたときは、原則として委託元と委託先の双方が、委員会への漏えい等の報告を行う義務のみならず、本人への通知を行う義務も負います。ただし、委託先が委員会への漏えい等の報告の義務を負っている委託元に所定の事項のうち、その時点で把握しているものを通知したときは、委託先は、委員会への漏えい等の報告を行う義務のみならず、本人への通知を行う義務も免除されます。本人への通知について、当該報告対象事態を知ったときは、当該事態の状況に応じて速やかに行わなければなりません。「事態の状況に応じて速やかに」とは、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断することになります。