安全管理措置・委託監督（漏えい対応復習）の問題（15問）

正解：1（アー正、イー正）

ア．正しい

漏えい等の防止義務

個人情報保護法第23条「その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」e-Gov原文

イ．正しい

従業者監督義務

個人情報保護法第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけアは「データそのもの」、イは「扱う人」を対象にしており、根拠条文も23条と24条で分かれる。

解説個人情報取扱事業者は、その取り扱う個人データの漏えい・滅失・毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない（個人情報保護法23条）。これは設備や仕組みの整備にとどまらず、実際にデータを扱う従業者の監督にも及ぶ。アは23条どおり、イは従業者に取り扱わせる際の必要かつ適切な監督を定めた24条どおりで、いずれも正しい。

補足23条の安全管理措置は、ガイドライン上、組織的・人的・技術的・物理的の4類型で整理される。アクセス制御のような技術面だけでは足りず、規程整備や役割分担といった組織面も求められる。

正解：1（アー正、イー正）

ア．正しい

安全管理措置

個人情報保護法第23条「その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」e-Gov原文

イ．正しい

委託先監督義務

個人情報保護法第25条「その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ自社で講じる措置と、外部に出した分の監督は、別々の条文が受け持っている。

解説個人データの安全管理は、自社内と委託先の両面に及ぶ。自社では、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならず（個人情報保護法23条）、委託する場合は、委託された個人データの安全管理が図られるよう委託先への必要かつ適切な監督を行わなければならない（同25条）。アは23条、イは25条どおりで、いずれも正しい。

補足23条と25条は別条だが、25条が求めるのは委託先で「安全管理が図られる」状態であり、23条の安全管理を委託の場面まで延長したもの。外部に出した個人データの管理責任も委託元に残る。

正解：1（アー正、イー正）

ア．正しい

委員会への報告

個人情報保護法第26条第1項「当該事態が生じた旨を個人情報保護委員会に報告しなければならない」e-Gov原文

イ．正しい

本人通知

個人情報保護法第26条第2項「本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない」e-Gov原文

ひっかけ重大な漏えいでは、委員会に上げる動きと、本人に知らせる動きが別々に走る。

解説個人の権利利益を害するおそれが大きいものとして規則で定める漏えい・滅失・毀損等の事態が生じたときは、個人情報取扱事業者は、個人情報保護委員会に報告しなければならない（個人情報保護法26条1項）。さらにその事態では、原則として本人に対しても当該事態が生じた旨を通知しなければならない（同26条2項）。アは委員会への報告、イは本人への通知をそれぞれ述べており、いずれも正しい。

補足委員会への報告は二段階で、事態を知ってから概ね3～5日以内の速報と、原則30日以内（不正の目的による漏えい等は60日以内）の確報に分かれる。本人通知が困難なときは、代替措置をとることが認められている。

正解：1（アー正、イー正）

ア．正しい

苦情処理

個人情報保護法第40条第1項「個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない」e-Gov原文

イ．正しい

体制整備

個人情報保護法第40条第2項「前項の目的を達成するために必要な体制の整備に努めなければならない」e-Gov原文

ひっかけ苦情の「処理」も、その「体制づくり」も、どちらも事業者の努力義務として40条が並べて定めています。

解説個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならず（個人情報保護法40条1項）、その目的を達成するために必要な体制の整備に努めなければならない（同条2項）。いずれも努力義務であり、本人の不満や疑問にまず事業者自身が一次的に対応することで、トラブルの早期解決を図る趣旨である。アは1項、イは2項にそのまま対応し、どちらも正しいので答えは『アー正、イー正』。事業者の対応とは別に、認定個人情報保護団体による苦情処理の窓口も用意されている。

補足認定個人情報保護団体による苦情処理は対象事業者の同意のうえで行われ、団体は本人と事業者の間に立って解決のあっせん等を行う点で、事業者自身の一次対応とは役割が異なる。

正解：2（アー正、イー誤）

ア．正しい

委託先監督義務

個人情報保護法第25条「その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

イ．誤り

丸投げは許されない

個人情報保護法第25条「委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ委託先に渡したからといって、委託元の監督義務まで一緒に移るわけではない。

解説個人データの取扱いの全部または一部を委託する場合、個人情報取扱事業者は、委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない（個人情報保護法25条）。委託しても委託元の義務は消えない。アは25条どおりで正しい。イは「監督義務は委託先のみ」とする点が25条に反するため誤り。

補足25条の監督は、適切な委託先の選定・委託契約での安全管理事項の取決め・委託先の取扱状況の把握という3点が中心。委託先が漏えいを起こせば、選定や監督を怠った委託元の責任が問われ得る。

正解：2（アー正、イー誤）

ア．正しい

公表

個人情報保護法第52条第2項「対象事業者の氏名又は名称を公表しなければならない」e-Gov原文

イ．誤り

同意

個人情報保護法第52条第1項「認定個人情報保護団体は、認定業務の対象となることについて同意を得た個人情報取扱事業者等を対象事業者としなければならない」e-Gov原文

ひっかけ対象事業者は事業者の同意があってはじめて確定し、確定したものが公表される。順番を取り違えるとイで足をすくわれます。

解説認定個人情報保護団体は、認定業務の対象となることについて同意を得た個人情報取扱事業者等を対象事業者としなければならない（個人情報保護法52条1項）。つまり対象事業者になるには当該事業者の同意が前提であり、同意は不要とするイは誤り。一方、認定団体は対象事業者の氏名又は名称を公表しなければならず（同条2項）、公表義務を定めるアは正しい。したがって答えは『アー正、イー誤』。同意で対象が決まり、その結果が公表される、という順序になる。

補足公表の対象は対象事業者の「氏名又は名称」であって、苦情の中身や個々の事業者の取扱い状況まで公表する仕組みではない。

正解：2（アー正、イー誤）

ア．正しい

消去の努力義務

個人情報保護法第22条「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」e-Gov原文

イ．誤り

努力義務との混同

個人情報保護法第23条「個人データの安全管理のために必要かつ適切な措置を講じなければならない」e-Gov原文

ひっかけ22条と23条は、どちらも管理に関する規定だが語尾が違う。

解説22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めなければならないとする。これは努力義務である。一方、23条は個人データの漏えい等の防止その他の安全管理のために必要かつ適切な措置を講じなければならないとする。安全管理措置を努力義務にとどめるイは誤り。

補足同じ個人データの管理でも、正確性・消去は努力義務、安全管理措置は確定的な義務として整理する。

正解：2（アー正、イー誤）

ア．正しい

委託関係の例外

個人情報保護法第26条第1項ただし書「当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない」e-Gov原文

イ．誤り

常に報告とする誤り

個人情報保護法第26条第1項ただし書「当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない」e-Gov原文

ひっかけ委託先で漏えいが起きた場面では、委託元への通知が条文上の分岐点になる。

解説26条1項は、重大な漏えい等の事態が生じた場合の委員会報告を原則とする。ただし、個人情報取扱事業者が他の個人情報取扱事業者又は行政機関等から委託を受けた場合で、その事態を委託元等に通知したときは、この報告義務の例外となる。したがってアは正しく、イのように常に別途報告が必要とはいえない。

補足例外があるのは26条1項の委員会報告であり、委託元側の対応や本人通知の要否は別に検討する。

正解：3（アー誤、イー正）

ア．誤り

対象は個人データ

個人情報保護法第23条「その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」e-Gov原文

個人情報保護法第16条第3項「「個人データ」とは、個人情報データベース等を構成する個人情報をいう」e-Gov原文

イ．正しい

従業者監督義務

個人情報保護法第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ条文がかかる単位は「個人情報」全部ではなく、データベース化された「個人データ」に絞られている。

解説安全管理措置（個人情報保護法23条）の名宛ては『個人データ』である。個人データとは個人情報データベース等を構成する個人情報をいう（同16条3項）から、データベース等を構成しない散在情報は23条の直接の対象から外れる。アは「散在情報を含むすべての個人情報」を対象とする点で誤り。イは従業者に取り扱わせる場合の監督義務（24条）をそのまま述べており正しい。

補足「個人情報」「個人データ」「保有個人データ」は対象範囲が段階的に狭くなる三層構造になっており、義務ごとに名宛ての層が異なる。23条が個人データを対象とするのも、この区別の現れ。

正解：3（アー誤、イー正）

ア．誤り

消去の努力義務

個人情報保護法第22条「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」e-Gov原文

イ．正しい

正確性の確保

個人情報保護法第22条「個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」e-Gov原文

ひっかけ22条は、データを正確に保つことと、不要になったら消すことを、ひとつの条文で並べて求めている。

解説個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない（個人情報保護法22条）。アは「不要になっても消去せず保管し続けなければならない」とする点が、この消去への努力義務に反するため誤り。イは正確性・最新性の確保をそのまま述べており正しい。

補足22条はいずれも「努めなければならない」という努力義務で、違反が直ちに是正命令や罰則に結び付くわけではない。一方、安全管理措置（23条）は努力義務ではなく確定的な義務である点が対照的。

正解：3（アー誤、イー正）

ア．誤り

再委託の制限

マイナンバー法第10条第1項「当該個人番号利用事務等の委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができる」e-Gov原文

イ．正しい

許諾の要否

マイナンバー法第10条第1項「当該個人番号利用事務等の委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができる」e-Gov原文

ひっかけマイナンバー事務の再委託で分かれ目になるのは、元の委託者の許諾があるかどうか。許諾なしに自由には回せません。

解説個人番号は厳格に管理されるため、委託の連鎖そのものが制限される。個人番号利用事務又は個人番号関係事務（個人番号利用事務等）の委託を受けた者は、その委託をした者の許諾を得た場合に限り、その全部又は一部を再委託することができる（マイナンバー法10条1項）。委託先が許諾なく勝手に再委託することはできないので、許諾不要とするアは誤り、許諾を要するとするイが正しく、答えは『アー誤、イー正』。再委託を受けた者は最初に委託を受けた者とみなされ、同じ規律に服する。

補足個人情報保護法には再委託そのものを許諾にかからせる規定はなく、再委託の段階まで条文で縛るのはマイナンバー法10条に特有の扱いである。

正解：3（アー誤、イー正）

ア．誤り

連携

個人情報保護法第166条第1項「委員会に対し、必要な情報の提供又は技術的な助言を求めることができる」e-Gov原文

イ．正しい

求めの制度

個人情報保護法第166条第1項「委員会に対し、必要な情報の提供又は技術的な助言を求めることができる」e-Gov原文

ひっかけ地方公共団体は委員会に対して情報提供や技術的助言を「求める」側に立てます。求められないと言い切るアがその逆を突いてきます。

解説個人情報保護制度の一元化により、国の個人情報保護委員会が官民・国地方を通じて監督する体制になった。その下で地方公共団体は、地方公共団体の機関・地方独立行政法人・事業者等による個人情報の適正な取扱いを確保するために必要があると認めるときは、委員会に対し、必要な情報の提供又は技術的な助言を求めることができる（個人情報保護法166条1項）。求められないとするアは誤り、求められるとするイは正しく、答えは『アー誤、イー正』。委員会はこれに応じて情報提供・助言を行う。

補足166条1項は地方公共団体から委員会への「求め」を定める規定で、委員会から地方公共団体への一方的な指揮命令ではなく、地方の実務を国が支える連携の向きで設計されている。

正解：4（アー誤、イー誤）

ア．誤り

事業者に監督義務

個人情報保護法第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

イ．誤り

委託元に監督義務

個人情報保護法第25条「委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ現場の従業者や外部の委託先に手渡しても、監督義務の名宛ては事業者から動かない。

解説従業者監督（個人情報保護法24条）も委託先監督（同25条）も、義務を負うのは事業者（委託元）の側である。アは「責任を負うのは従業者本人で事業者は監督義務を負わない」とする点が24条に反するため誤り。イは「委託元は委託先を監督する義務を負わない」とする点が25条に反するため誤り。実際に扱う者へ任せきりにすることはできない。

補足扱う相手が内部の従業者か外部の委託先かで条文は24条と25条に分かれるが、義務を負う主体が事業者側である点は共通する。ここに自社の安全管理措置（23条）を加えた3条が、管理体制の柱になる。

正解：4（アー誤、イー誤）

ア．誤り

消去の努力義務

個人情報保護法第22条「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」e-Gov原文

イ．誤り

報告義務

個人情報保護法第26条第1項「当該事態が生じた旨を個人情報保護委員会に報告しなければならない」e-Gov原文

ひっかけ「消さなくてよい」「報告しなくてよい」と、どちらも義務を打ち消す向きの誤りになっている。

解説個人データの管理には、平常時の義務と有事の義務がある。平常時には、利用する必要がなくなった個人データを遅滞なく消去するよう努めなければならない（個人情報保護法22条）。有事、すなわち個人の権利利益を害するおそれが大きい一定の漏えい等の事態が生じたときには、個人情報保護委員会に報告しなければならない（同26条1項）。アは消去への努力義務を、イは報告義務を、それぞれ「義務はない」とする点で条文に反し、ともに誤り。

補足22条の消去は努力義務、26条1項の報告は確定的な義務で、性格が異なる。26条では報告に加え、原則として本人への通知（同条2項）も必要になり、有事対応は委員会と本人の二方向に向かう。

正解：4（アー誤、イー誤）

ア．誤り

委託先監督

マイナンバー法第11条「当該委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

イ．誤り

委託元の責任

マイナンバー法第11条「当該委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ委託に出したからといって責任まで丸ごと移るわけではない、というのがアもイも引っかかる共通の落とし穴です。

解説個人番号利用事務等の全部又は一部を委託する者は、その委託に係る個人番号利用事務等において取り扱う特定個人情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない（マイナンバー法11条）。委託元に監督義務はないとするアも、安全管理は委託先のみの責任で委託元は一切関与しないとするイも、この条文に反するため両方誤りで、答えは『アー誤、イー誤』。委託しても委託元の責任は消えない構造は、個人情報保護法25条の委託先監督と同じである。

補足再委託を許諾にかからせる10条と、委託先を監督させる11条が組み合わさることで、委託の連鎖がどこまで伸びても安全管理の責任が委託元側に残る建て付けになっている。