個人情報保護士認定試験 個人データに関する義務 練習問題 第38問: 漏えい等の報告対象事態のうち「発生したおそれがある事態」の判断と、その後の対応について、ガイドライン（通則編）上、正しいものはどれか。

正解: 3. C&Cサーバが使用するものとして知られているIPアドレスへの通信が確認された場合は、漏えいのおそれがある事態に当たり得る例とされている。

ガイドライン（通則編）3-5-3-1の注は、サイバー攻撃の事案で漏えいが発生したおそれがある事態に該当し得る例として、C&Cサーバが使用しているものとして知られているIPアドレス・FQDNへの通信が確認された場合を挙げており、3が正しいものです。 1は誤りで、不正アクセスについて例に挙げられているのは、外部からの不正アクセスによりデータが窃取された痕跡が認められた場合です。 2は誤りで、当初報告対象事態に当たると判断したものの、その後実際には当たらなかったと判明した場合、本人への通知は不要とされています（3-5-4-3）。 4は誤りで、「おそれ」は、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断します（3-5-3-1※2）。

根拠・参照資料: 個人情報の保護に関する法律第26条第1項・第2項、個人情報の保護に関する法律施行規則第7条

関連キーワード: おそれ・報告対象事態・不正アクセス・本人への通知