セキュリティ統制・法務・基準 重要度:★★★出題: AM2・PM1
個人情報保護法 (漏えい等報告義務・安全管理措置・仮名加工/匿名加工情報)
こじんじょうほうほごほう / Act on the Protection of Personal Information (APPI)
個人データの適正な取扱い、安全管理措置（組織的・人的・物理的・技術的）、委託先監督、および漏えい等発生時の個人情報保護委員会への報告・本人通知義務を定めた法律。
3行速習ポイント
- 報告・本人通知義務の対象：①要配慮個人情報、②財産的被害のおそれ（クレカ番号等）、③不正の目的によるおそれ（ランサムウェア・不正アクセス等）、④1,000人超の漏えい等（またはそのおそれ）
- 報告期限：事態を知った時点から原則3〜5日以内に「速報」、30日以内（不正目的の場合は60日以内）に原因や再発防止策をまとめた「確報」を提出
- 匿名加工情報（特定の個人を識別できず復元も不能にした情報：第三者提供可）と、仮名加工情報（他の情報と照合しない限り識別できないよう氏名等を削除した情報：社内分析用で第三者提供は原則不可、漏えい報告義務の対象外）
図解
図個人情報保護法の3大実務論点（漏えい等報告義務・4大安全管理措置・加工情報）
インシデント法務
漏えい等報告・本人通知義務（2段階報告）
速報（3〜5日以内）＋ 確報（30日 / 不正目的は60日以内）
①要配慮個人情報、②財産的被害（クレカ等）、③不正の目的（不正アクセス等、1件でも対象）、④1,000人超の漏えい等（またはそのおそれ）で委員会報告と本人通知が義務
安全管理・委託統制
4つの安全管理措置 ＆ 委託先の監督義務
組織的・人的・物理的・技術的措置と委託先監査（第25条）
委託先が漏えい事故を起こした場合も委託元の監督責任が問われるため、契約での安全管理措置規定と定期的な監査・点検による監督が必須
データ利活用区分
匿名加工情報 と 仮名加工情報 の区別
復元不能・第三者提供可（匿名） vs 社内分析特化・対照表分離（仮名）
匿名加工情報は特定・復元不能化し第三者提供が可能。仮名加工情報は氏名等を削除し社内分析に限定利用する代わりに、利用目的変更の制限緩和や漏えい報告義務免除が適用
💡 サイバー攻撃（不正アクセス・ランサムウェア等）による漏えいは「不正の目的によるおそれ」に該当するため、1件であっても「漏えいのおそれ」段階で報告義務が発生
概要と本質
令和4年施行の改正個人情報保護法により、サイバー攻撃（不正アクセスやランサムウェア感染）による個人データの漏えい・滅失・毀損（「そのおそれ」を含む）が発生した場合、件数が1件であっても「不正の目的をもって行われたおそれがある事態」として個人情報保護委員会への報告と本人への通知が法的義務となりました。
重要ポイント・コア概念
- 4つの安全管理措置：組織的安全管理措置（規程・体制・点検）、人的安全管理措置（教育・秘密保持契約）、物理的安全管理措置（入退室管理・機器盗難防止）、技術的安全管理措置（アクセス制御・暗号化・不正アクセス防止）
- 委託先の監督義務（第25条）：個人データの取扱いを外部委託する場合、委託元は委託先の安全管理措置状況を契約・定期監査等で必要かつ適切に監督する法的責任を負う
- 第三者提供とオプトアウト・外国にある第三者への提供：海外クラウド等を利用する場合、提供先の国名や個人情報保護制度、安全管理措置に関する情報提供・確認が必要
午後記述・情報セキュリティ対策での攻略ポイント
午前II・午後ともに頻出。「不正アクセスによる漏えいのおそれがある場合は1,000人以下でも報告義務があること」「速報（3〜5日）と確報（30日/60日）の2段階報告」「仮名加工情報と匿名加工情報の比較」は確実に得点しましょう。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
