【質問】BtoBビジネスを行っている当社ですが、個人情報保護委員会への報告義務が生じることがあるって本当ですか？

【Ｑ】
BtoBビジネスを行っている当社ですが、個人情報保護委員会への報告義務が生じることがあるって本当ですか？
─────────────────────
【Ａ】
令和6年（2024年）4月から、改正個人情報保護法施行規則が施行されました。
これは、ウェブスキミング（Webサイトの入力フォームなどが改竄し、入力内容を窃取する攻撃）による情報漏えいも報告対象とすることを目的としものです。
　　
また、2022年4月にも改正された内容が施行されています。
改めて改正への理解度を確認すると、これらの改正への理解が不十分な企業が見受けられます。
　　
重要な点ですが、BtoC企業はもちろん、BtoB企業で、保有してい個人データが少ない場合でも、個人情報保護委員会への届け出義務が発生する場合があります。忘れないようにしましょう。
　　
「え、本当？」と思った方、ご注意ください。
　　
１．具体的には、以下に該当する場合には、個人情報保護委員会への報告義務が生じます。
　　
１－１．要配慮個人情報の漏えい等
要配慮個人情報が含まれる個人データが漏えいした場合。
要配慮個人情報とは、以下のような情報を指します。
　　
人種、信条、社会的身分
病歴、犯罪の経歴、犯罪により害を被った事実
障害の有無、健康診断結果、診療・調剤情報
逮捕、捜索などの刑事事件に関する情報
　　
具体例:
・病院が患者の診療情報を含むUSBメモリを紛失
・従業員の健康診断結果が漏えい
　　
１－２．財産的被害のおそれがある漏えい等
不正に利用されることにより財産的被害が生じる可能性がある個人データを漏えいした場合。
　　
具体例:
・ECサイトからクレジットカード番号が漏えい
・送金や決済機能のあるウェブサービスのログインIDとパスワードが漏えいした場合
　　
１－３．不正の目的をもって行われた漏えい等
不正な目的で行われた漏えい、例えば不正アクセスにより個人データが漏えいした場合。
　　
具体例:
・不正アクセスにより顧客データが盗まれた
　　
１－４．大量の個人データの漏えい等
1,000人以上の個人データが漏えいした場合。
　　
BtoC企業は、もちろん、1～４全てに該当する可能性があります。
BtoBビジネスのみを行っているで企業で、保有している個人データが少ない企業でも、１と３に該当する可能性があり、その場合は個人情報保護委員会への報告義務が生じます。
ご注意ください。
　　
　　
２．報告の期限
報告は2段階で行う必要があります。
　　
２－１．速報:
漏えいが発覚してから3～5日以内に、個人情報保護委員会に速報を提出します。
この時点では、判明している範囲の情報での報告で構いません。
　　
２－２．確報:
漏えいが発覚してから30日以内（不正目的の場合は60日以内）に、確報を提出します。ここでは、漏えいの詳細、原因、再発防止策などを報告します。
具体的な報告内容には、漏えいの概要、影響を受けた個人データの項目、漏えい件数、漏えいの原因、二次被害の有無、本人への通知状況、再発防止策などが含まれます。
　　
　　
３．罰則
報告を怠った場合や虚偽の報告を行った場合は、以下のような罰則が科されることがあります。
　　
３－１．個人情報保護委員会からの命令違反:
・法人の場合：1億円以下の罰金
・行為者個人の場合：100万円以下の罰金または1年以下の懲役
　　
３－２．個人情報データベース等の不正提供:
・法人の場合：1億円以下の罰金
・行為者個人の場合：50万円以下の罰金または1年以下の懲役
　　
３－３．個人情報保護委員会への虚偽報告:
・法人および行為者個人とも50万円以下の罰金
　　
なお、詳細は、「個人情報の保護に関する法律についてのガイドライン（通則編）」等で必ず確認
してください。
　　
正直、大変ですけど、でも、これが、時代の要請。
皆さんも、ぜひ、しっかりと個人情報の保護に取り組んでくださいね。
　　
　　
このメルマガが、皆様のWebサイト活用のお役に立てば幸いです。