5 漏えい等報告
- Q4-5
「個人データ」の「漏えい、滅失、毀損」とは、どのようなものを指すのか。具体的には、
- ① 「個人データ」を記録した電磁的記録媒体が破損したが、その内容と同じデータが他に保管されている場合は、「個人データ」の「滅失」又は「毀損」に当たるか。
- ② 従業員が「個人データ」を不正に持ち出して第三者に提供した場合、「個人データ」の「漏えい」に当たるか。また、どのような場合に、「個人データ」の「漏えい」が発生した「おそれ」が認められるか。
- ③ 「個人データ」を記録した USB メモリを紛失した場合、「個人データ」の「漏えい」又は「滅失」に当たるか。
- ④ 「個人データ」が記録された電磁的記録媒体が盗難されたが、電磁的記録媒体にパスワードを設定していた場合も、「個人データ」の「漏えい」に当たるのか。
- ⑤ 暗号化処理された「個人データ」の復元キーを喪失したことにより、「個人データ」を復元できなくなった場合、「個人データ」の「毀損」に当たるのか。
- A4-5
「個人データ」の「漏えい」とは「個人データが外部に流出すること」、「滅失」とは「個人データの内容が失われること」、「毀損」とは「個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること」をいいます。
- ① 「個人データ」を記録した電磁的記録媒体が破損した場合、原則として個人データの「滅失」又は「毀損」に当たります。ただし、その内容と同じデータが他に保管されている場合には、当該「個人データ」の「内容」は失われていないと認められるため、「個人データ」の「滅失」又は「毀損」には当たりません。
（注）個人データを記録した携帯電話、ノートパソコン、PDA 等についても、電磁的記録媒体と同様です。
- ② 従業員が「個人データ」を不正に持ち出して第三者に提供した場合、「個人データ」の「漏えい」に当たります。従業員による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられます。
- ③ 「個人データ」を記録した USB メモリを社内で紛失した場合には「個人データ」の「滅失」、社外で紛失した場合（社外に流失した場合）には、「個人データ」の「漏えい」に当たります。
個別の事例ごとに判断することとなりますが、紛失場所が社内か社外か特定できない場合には、「個人データ」の「漏えい」（又は「漏えい」の「おそれ」）に該当すると考えられます。
- ④ 「個人データ」が記録された電磁的記録媒体が盗難された場合、「個人データ」の「漏えい」に当たります。これは、電磁的記録媒体にパスワードを設定していた場合も同様です。
- ⑤ 暗号化処理された「個人データ」の復元キーを喪失したことにより、「個人データ」を復元できなくなった場合、当該「個人データ」は「内容を保ちつつも利用不能な状態」となったと認められるため、「個人データ」の「毀損」に当たります。
- ① 「個人データ」を記録した電磁的記録媒体が破損した場合、原則として個人データの「滅失」又は「毀損」に当たります。ただし、その内容と同じデータが他に保管されている場合には、当該「個人データ」の「内容」は失われていないと認められるため、「個人データ」の「滅失」又は「毀損」には当たりません。