金融個人情報保護オフィサー2級 安全管理措置・監督・漏えい等の報告 練習問題 第17問: X銀行で、顧客データベースから出力した、顧客1名分の病歴を含む帳票を、担当者が宛先を取り違えて別の顧客に郵送したことが分かった。誤送付であり、不正の目的による行

「知った時点からおおむね3〜5日以内に、その時点で把握している事項を速報し、知った日から30日以内に確報する」が適切です。病歴は要配慮個人情報で、それを含む個人データの漏えいは、人数にかかわらず個人情報保護法施行規則第7条第1号の報告対象事態です。

同規則第8条第1項は、事態を知った後「速やかに」その時点で把握している事項を報告（速報）するよう定め、通則ガイドライン3-5-3-3は「速やか」の目安を知った時点からおおむね3〜5日以内としています。同条第2項は、知った日から30日以内に全ての事項を報告（確報）するよう定めています。

「速報と確報は別々に2回に分けて行わなければならない」は、通則ガイドライン3-5-3-4が、速報の時点で全ての事項を報告できる場合は1回の報告で両方を兼ねられるとしている点で誤りです。「60日以内」は第7条第3号（不正の目的によるおそれ）の事態の期限（第8条第2項の括弧書き）で、誤送付には当てはまりません。

「1名にとどまるので当たらない」は、第1号に人数の要件がない点で誤りです。確報は知った日から30日以内で、60日は不正の目的によるおそれのある事態だけです。