G検定（ジェネラリスト検定） AIに関する法律と契約 練習問題 第30問: 架空のECサイトを運営する事業者Aで、個人データの漏えいが発生した。個人情報の保護に関する法律第26条と同法施行規則第7条に基づく、個人情報保護委員会への報告と

肢4が不適切です。個人情報の保護に関する法律第26条第1項は、個人の権利利益を害するおそれが大きいものとして規則で定める漏えい等が生じたときに個人情報保護委員会への報告を、同条第2項は本人への通知を求めています。

委員会に報告しても本人への通知は別に必要で、問合せを待つものではありません（規則第10条は、事態の状況に応じて速やかに通知するとしています）。規則第7条は報告の対象を、要配慮個人情報を含む個人データ（高度な暗号化その他の必要な措置を講じたものを除く）、不正に利用されると財産的被害が生じるおそれがある個人データ、不正の目的をもって行われたおそれがある行為によるもの、本人の数が千人を超えるものの漏えい等と定めています（肢1・肢2）。

委託先が委託元に規則で定めるところにより通知したときは、委託先は報告を要せず（第1項ただし書）、本人への通知の義務も負いません（第2項。肢3）。