【情報セキュリティマネジメント】個人情報の取扱いルール、始める時点が決まっている｜利用目的・安全管理・漏えい対応・PIA

2026.08.27

「全部分かってから報告します」。個人データの漏えい等が疑われる場面で、こう判断してよいでしょうか。

個人情報保護法では、何をするかだけでなく、いつ始めるかが重要です。直接書面等で取得するときは取得前、報告対象の漏えい等では全容確定前、新しい仕組みでは導入・変更前に行うべき対応があります。

この記事では、取得・安全管理・漏えい等対応・設計の4場面から、科目Bで「この時点の対応は適切か」を判断できるように整理します。

先に結論：四つの場面で順序を見る

場面 主な対応 避ける判断
取得するとき 取得方法に応じて利用目的を明示・通知・公表する 直接書面等で取得した後に初めて目的を示す
守るとき 個人データに必要かつ適切な安全管理措置を講じる 一種類の対策だけで十分とする
漏えい等が起きたとき 拡大防止・調査を進め、報告対象なら速報・確報・本人通知を行う 全容確定まで法定報告を待つ
仕組みを作る前 PIAでプライバシーへの影響を評価し、設計へ反映する 稼働後の苦情対応だけで済ませる

対象が個人情報・個人データ・保有個人データのどれかは、「個人情報保護法の用語ピラミッド」で先に確認します。

1．SGシラバスでの位置付け

SGシラバス Ver.4.1では、個人情報保護法の用語例として、安全管理措置、要配慮個人情報、プライバシー影響アセスメント（PIA）、第三者提供、匿名加工情報、仮名加工情報などが明示されています。

PIAはシラバス非明示の補助語ではなく、明示された学習対象です。

2．利用目的は取得方法に応じて示す

個人情報を取り扱うときは、利用目的をできる限り具体的に特定します。

「当社の事業活動のため」のような抽象的な表現だけではなく、本人が利用場面を合理的に予測できる程度に示します。

本人の同意なく、特定した利用目的の達成に必要な範囲を超えて取り扱わないことが原則です。目的変更も、変更前の目的と合理的な関連性が認められる範囲に限られます。

直接書面等で本人から取得する場合

申込書、契約書、アンケート用紙、Webフォームなどで本人から直接個人情報を取得する場合は、原則としてあらかじめ利用目的を明示します。

Webフォームでは、本人が送信する前に利用目的を確認できるようにします。

それ以外の方法で取得する場合

口頭で聞き取る、公開情報から取得する、第三者から提供を受けるなどの場合は、あらかじめ利用目的を公表している場合を除き、取得後速やかに本人へ通知し、又は公表します。

取得方法 原則的な対応
本人から直接書面・電磁的記録で取得 あらかじめ本人へ利用目的を明示
それ以外の方法で取得 あらかじめ公表、又は取得後速やかに通知・公表

「本人から取得したか」だけでなく、直接書面等によって取得したかを確認します。

3．個人データには安全管理措置を組み合わせる

個人情報取扱事業者は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、必要かつ適切な措置を講じます。

分類 主な内容 例
組織的 体制、規程、点検、事故対応 責任者、取扱規程、報告連絡体制
人的 従業者への教育・監督 研修、秘密保持、役割に応じた監督
物理的 区域・機器・媒体の保護 入退室管理、施錠、持出し管理
技術的 システム上のアクセス・攻撃対策 認証、アクセス制御、不正アクセス対策

外国で個人データを取り扱う場合は、外国の個人情報保護制度等の外的環境を把握した上で安全管理措置を講じます。

管理策をどの観点から整理するかという全体像は「管理策の3つの軸を整理する」で扱います。本記事では、個人情報保護法上の安全管理措置としての4分類と外的環境の把握に焦点を絞ります。

4．漏えい・滅失・毀損を区別する

区分 意味 例
漏えい 個人データが外部へ流出する 誤送信、紛失、不正アクセス
滅失 個人データの内容が失われる 誤削除し、他に同じデータがない
毀損 意図せず変更され、又は利用不能になる 改ざん、復号鍵の喪失など

同じ内容の正常なデータが他に保管されている場合は、毀損に該当しないことがあります。

5．漏えい等では全容確定を待たない

漏えい等又はそのおそれを把握したら、内容に応じて、内部報告、被害拡大防止、事実調査、影響範囲の特定、再発防止策の検討を進めます。

報告対象事態に該当する場合は、全事項の判明を待って個人情報保護委員会への報告を始めるのではありません。

委員会への報告が必要となる四類型

次の漏えい等又はそのおそれがある場合は、法定報告の対象となります。

  • 要配慮個人情報を含む個人データ
  • 不正利用により財産的被害が生じるおそれがある個人データ
  • 不正の目的で行われたおそれがある行為による個人データ等
  • 本人の数が1,000人を超える個人データ

全ての漏えい等が自動的に法定報告の対象になるわけではありません。

また、高度な暗号化等により、第三者が見読可能な状態にすることが困難で、復号手段も適切に管理されているなど、本人の権利利益を保護するために必要な措置が講じられている場合は、報告を要しないことがあります。

速報・確報・本人通知

段階 期限・時期 ポイント
速報 知った後、速やかに。目安は概ね3～5日以内 判明している事項から報告する
確報 原則30日以内。不正目的のおそれがある事態は60日以内 調査結果を踏まえて補完する
本人通知 事態の状況に応じて速やかに 権利利益保護に必要な範囲で通知する

本人への通知が困難な場合は、事案の公表や問合せ窓口の設置などの代替措置を検討できます。

警察への届出、公表、委員会報告、本人通知は目的と要件が異なり、互いに自動的な代替関係にはなりません。

委託先で発生した場合

委託先が取り扱う個人データで報告対象事態が生じた場合、委託先にも報告義務が生じ得ます。

ただし、委託先が個人情報保護委員会規則に従って委託元へ当該事態を通知した場合、委託先は委員会への報告義務と本人通知義務を免れます。

したがって、「委託先の事故だから委託元は関係ない」「委託先が委員会へ報告すれば常に委託元は対応不要」とは判断しません。

6．PIAは導入・変更前に行う

PIA（Privacy Impact Assessment）は、個人情報等を取り扱う事業やシステムを開始・変更する前に、プライバシーへの影響を評価し、リスクの低減・回避を検討する手法です。

例えば顔認証システムなら、収集する情報の必要性、利用目的、保存期間、アクセス権、本人への影響・説明、委託やクラウド利用、より影響の小さい代替方法などを検討します。

PIAは自主的なリスク管理手法であり、実施したからといって利用目的、安全管理、本人同意、第三者提供などの法的義務が免除されるわけではありません。

マイナンバーを含む特定個人情報について行政機関等が行う「特定個人情報保護評価」とも区別します。

7．科目Bでの使われ方

事例の記述 判断の方向
Webフォームで顧客情報を取得 送信前に利用目的を明示する
従業者へ定期研修を実施 人的安全管理措置。他の分類も確認する
不正アクセスによる漏えいのおそれを把握 報告対象を判定し、全容確定前に速報する
委託先で漏えいが発生 委託元への通知と法令上の報告主体を確認する
保有個人データの開示を求められた 対象・本人確認・開示方法・不開示事由を確認する
顔認証システムを導入 導入前にPIAを行い、設計へ反映する

よくある取り違え

誤った考え方 正しい整理
Webフォームでは取得後に公表すればよい 原則として取得前に明示する
教育は技術的安全管理措置 従業者への教育・監督は人的措置
アクセス制御は人的安全管理措置 システム上のアクセス制御は技術的措置
漏えい等は全件同じ期限で報告する 四類型への該当と速報・確報を確認する
全容確定後に一度だけ報告する 速報を先に行い、確報で補う
公表すれば常に本人通知は不要 通知困難時の代替措置として検討する
警察への届出で委員会報告を代替できる 別の手続であり、自動的な代替関係ではない
PIAは稼働後に実施する 開始・変更前に評価して設計へ反映する

まとめ

  • 利用目的は取得方法に応じて、明示・通知・公表の時期を判断する
  • 安全管理措置は組織的・人的・物理的・技術的の4分類を組み合わせる
  • 外国で個人データを取り扱う場合は外的環境も把握する
  • 報告対象の漏えい等では全容確定を待たず速報する
  • 速報は概ね3～5日以内、確報は原則30日以内、不正目的のおそれがある事態は60日以内
  • 本人通知、委員会報告、警察への届出、公表を混同しない
  • 委託先から委託元への法定通知によって委託先の報告・本人通知が免除される場合がある
  • PIAはSGシラバスの明示用語で、導入・変更前に行う

関連記事

  • C8-T01：個人情報保護法の用語ピラミッド
  • C8-T03：第三者提供と加工情報
  • C7-T02：委託契約とセキュリティ要求事項
  • C6-T02：初動対応とエスカレーション

参考資料

本記事は、当サイトの教材基準日である2026年4月1日時点で施行されている法令と、2026年8月3日時点のSGシラバス Ver.4.1を基準に作成しています。2026年4月1日は当サイト独自の教材基準日であり、IPAが定める法令出題基準日を意味するものではありません。

2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が公布されました。改正法は一部を除き、公布日から起算して2年以内で政令が定める日に施行されるため、本記事では未施行の改正内容を現行法として扱っていません。施行状況に応じて再点検します。

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • e-Gov法令検索「個人情報の保護に関する法律」
  • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
  • 個人情報保護委員会「漏えい等の対応とお役立ち資料」
  • 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
  • 個人情報保護委員会「PIAの取組の促進について―PIAの意義と実施手順に沿った留意点―」
  • 個人情報保護委員会「令和8年 改正個人情報保護法について」

関連する問題

コメント

タイトルとURLをコピーしました