金融個人情報保護オフィサー2級 安全管理措置・監督・漏えい等の報告 練習問題 第21問: X銀行は、本人の同意を得て、住宅ローンの顧客の個人データを提携先の住宅メーカーに提供した。その後、提携先の住宅メーカーで、その個人データの漏えいが発生した。提携

「本人の同意を得て提供した後に提供先で起きた漏えいなので、提供元のX銀行は漏えい等の報告の義務を負わない」が適切です。個人情報保護法第26条第1項の報告の義務は、事業者が「その取り扱う個人データ」の漏えい等について負うもので、金融機関Q&A（問Ⅴ-11）も、本人の同意を得て第三者に提供した後に提供先で漏えい等が起きても、提供元の金融機関は報告の義務を負わないと説明しています。

報告が要るかどうかは、その個人データを取り扱う提供先の側で判断されます（通則ガイドライン3-5-3-2: 義務を負うのは、原則として、漏えい等した個人データを取り扱う事業者）。「双方が報告の義務を負う」は、取扱いの委託に伴って委託先に渡した個人データが委託先で漏えいした場合の原則で、委託先ではない提携先への提供には当てはまりません。

「通知をもって報告に代えられる」は、委託先が委託元に通知した場合に委託先の報告が要らなくなる仕組み（同項ただし書）と取り違えています。「確かめていなかった場合に限って義務を負う」という決まりはありません。

委託先でない第三者に同意を得て提供した後の漏えいは、提供元の報告の対象外です。