個人情報取扱

漏えい等報告・安全管理措置の対象拡大

漏えい等報告とは

個人情報保護法は、個人データの漏えい等について、一定の場合に、個人情報取扱事業者に対し、個人情報保護委員会に対する報告及び本人への通知を義務付けています（法26条1項）。
具体的に、どのような場合に報告および通知が必要となるか（いわゆる報告対象事態）については、個人情報保護法施行規則7条に定められており、例えば、要配慮個人情報が含まれる個人データや、不正の目的をもって行われた恐れのある個人データの漏えいが挙げられています。

安全管理措置とは

個人情報保護法は、個人情報取扱事業者に対し、個人データの漏えい等の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じることを義務付けており、これを安全管理措置といいます（法23条）。
具体的には、個人データの取扱いに係る規律の整備や、組織体制の整備、従業者に対する研修、個人データを取り扱う区域の管理や機器の盗難防止、アクセス制御等が想定されています。

個人データとは

個人情報保護法は、個人データの漏えい等報告（26条1項）及び安全管理措置（23条）について、個人情報ではなく、「個人データ」をその対象としています。
個人情報とは、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの等をいう（2条1項）のに対し、個人データとは、個人情報データベース等を構成する個人情報をいうとされ（16条3項）、「個人情報データベース等」については、以下のように定義されています。

法第16条（第1項）
この章及び第8章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
(1)特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
(2)前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

具体的には、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物が想定されていますが、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当するものとされています（、個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第６号。以下「通則ガイドライン」といいます。２－４）。

Webスキミングによる情報流出

近時、オンラインのウェブサイト（特にECサイト）において、ログインフォーム等の入力フォームから直接個人情報を摂取するいわゆるWebスキミングと言われる方法による個人情報の窃取被害が生じています。
この手法による個人情報の窃取は、個人情報単体を、事業者の個人情報データベース等に組み込まれる前に行われてしまうものですので、窃取された個人情報は、「個人データ」には該当していないということになり、漏えい等報告及び安全管理措置の対象とならないと考えられます。

報告対象事態（不正の目的）（規則7条）の見直し

(1)　 報告対象事態（不正の目的）の拡大
いわゆるWebスキミング等の、個人データを構成する前の個人情報を悪意をもって窃取される漏えい形態についても、報告等の対象とすることが望ましいと考えられたことから、今回の規則改正により、報告対象事態のうち、不正の目的をもって行われたおそれがある漏えい等について、下線部を追記する改正が行われました。

不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為 による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。） の漏えい等が発生し、又は発生したおそれがある事態

これにより、個人情報データベースに組み込まれる前のいわゆる散在情報の段階の個人情報についても、個人データとして取り扱われることが予定されているものについては、それが不正の目的の行為により漏えい等した場合には、報告対象事態に該当することとなります。
なお、当該個人情報取扱事業者が「取得しようとしている個人情報」に該当するかどうかは、個人情報の取得手段等を考慮して客観的に判断するとされています（通則ガイドライン３－５－３－１）。

(2)　委託先・サービス提供者において漏えい等が発生した場合
不正行為の相手方である「当該個人情報取扱事業者」には、①当該個人情報取扱事業者が第三者に個人データの取扱いを委託している場合における当該第三者（委託先）、及び②当該個人情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる旨が追記されています。具体的には、業務委託先のフォームに攻撃があった場合等を想定しているものと考えられます。

(3)「個人データとして取り扱われることが予定されている」場合
「個人データとして取り扱われることが予定されているもの」に該当するかどうかは、本件改正のパブリックコメントに対する回答（以下、「パブコメ回答」といいます。）において、漏えい等又はそのおそれが発生した時点を基準として、個別の事案に応じて判断する必要がある、とされています（パブコメ回答16）。
この点につき、ガイドラインは、個人情報データベース等への入力等を予定していれば、最終的に統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当するとしています（ガイドライン通則編3‐5‐3‐1）。統計データに加工する場合であっても、一旦個人データベースに取り込むことになる場合がほとんどだと思われますので、この点も注意が必要となります。なお、上記の考え方は、最終的に仮名加工情報や匿名加工情報に加工することを想定している場合についても当てはまると考えられます（パブコメ回答52等）

　安全管理措置の対象の拡大