金融個人情報保護オフィサー2級 安全管理措置・監督・漏えい等の報告 練習問題 第22問: X銀行は、融資の審査モデルを社内で分析するため、顧客の個人情報から仮名加工情報を作成した。その後、氏名などを置き換える際に用いた方式とその鍵（これを使えば元の個

「監督当局に報告することとし、本人への通知等も、報告対象事態の場合に準じて行うこととされている」が適切です。仮名加工情報の作成で行った加工の方法に関する情報（鍵など）は削除情報等に当たります（個人情報保護法第41条第2項）。

金融分野における個人情報保護に関するガイドライン第11条第2項②は、復元できる削除情報等の漏えいを知ったときは監督当局に報告することとし、同条第3項③は本人への通知等もこれに準じて行うこととしています。どちらも「こととする」で、金融機関Q&A（問Ⅴ-2・問Ⅴ-14）は努力義務と説明しています。

「報告対象事態として義務」は、個人データの漏えいではない今回は報告対象事態ではない点で誤りです。「元に戻せない方式だけでも対象」は、第2項②の括弧書きが復元できるものに限り、第3項にも同じ限定が及ぶ点で誤りです。

「監督当局への報告は求められない」は、個人情報そのものが無くても第2項②の対象になる点で誤りです。元の個人情報に復元できる加工の方法の情報の漏えいは、報告対象事態でなくても、報告対象事態の場合に準じて、監督当局への報告と本人への通知等を行う努力が求められます。