金融個人情報保護オフィサー2級 安全管理措置・監督・漏えい等の報告 練習問題 第18問: X銀行の行員が、顧客データベースに登録された顧客1名分の取引明細を添付したメールを、別の顧客に間違えて送信した。取引明細には、要配慮個人情報も、カード番号やログ

「報告対象事態に当たらなくても、個人である顧客に関する個人データの漏えいなので、関係法令に従い監督当局に報告しなければならない」が適切です。金融分野における個人情報保護に関するガイドライン第11条第1項は、前段で報告対象事態を個人情報保護委員会（権限の委任があれば金融庁長官等）に報告する義務を、後段で個人である顧客等の個人データの漏えい等を関係法令に従って監督当局に報告する義務を定めています。

銀行では、銀行法施行規則第13条の6の5の2がこの関係法令に当たり、人数や情報の種類による限定はありません。「努めるもの（こととする）にとどまる」は、個人データでない個人情報の漏えい（同条第2項）の扱いで、個人データの今回は後段の義務になる点で誤りです。

「監督当局ではなく委員会に報告する」は、報告対象事態でない漏えいは委員会への報告の対象ではない点で誤りです。「1,000人を超える場合などに限られる」は、報告対象事態の要件（規則第7条第4号の千人超など）と業法の報告の範囲を取り違えています。

報告対象事態に当たらない漏えいでも、個人顧客の個人データなら監督当局への報告は義務です。