個人情報保護士認定試験 個人データに関する義務 練習問題 第30問: 個人情報保護委員会への漏えい等の報告（法第26条第1項）の対象となる事態と、暗号化や不正行為の扱いについて、施行規則第7条及び通則編ガイドライン上、正しいものは

正解: 1. 不正行為の相手方には、事業者が個人データを取り扱うに当たって利用しているサービスを提供する第三者も含まれる

通則編ガイドライン3-5-3-1は、規則第7条第3号の「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」（不正行為）の相手方には、委託先のほか、事業者が個人データを取り扱うに当たって利用しているサービスを提供する第三者も含まれるとしています。よって1が正しいです。 2：第2号の財産的被害が生じるおそれは、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断します。 3：同項は、高度な暗号化等の秘匿化がされている場合は報告を要しないとしており（規則第7条第1号括弧書き）、不正アクセスによる場合も同じです。 4：ランサムウェア等により個人データが暗号化され、復元できなくなった場合は、第3号の報告を要する事例とされています。

根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条

関連キーワード: 漏えい等の報告・報告対象・高度な暗号化・ランサムウェア