正解：ア
各選択肢の解説
アIPAへの届出は任意の協力で、委員会への報告と本人への通知は別に必要になる。
正解。IPAの届出は、経済産業省の告示に基づいて被害の実態把握と再発防止のために 協力を求めるものです。個人情報保護法が事業者に課す、個人情報保護委員会への報告と 本人への通知の義務は、これとは別に果たす必要があります。
イIPAに届け出た内容は委員会にも共有されるので、委員会への報告は不要になる。
誤り。IPAへの届出が個人情報保護委員会への報告の代わりになる仕組みはありません。 どちらも「公的機関に知らせる」手続なので一本化できると思いやすいのですが、 根拠も目的も別です。委員会への報告は、個人情報保護法に基づく事業者の義務です。
ウ被害を警察に相談すれば、委員会への報告と本人への通知は警察から行われる。
誤り。警察への相談・被害の届出は、攻撃者の捜査を求めるためのものです。 犯罪の被害なので警察が窓口になると考えやすいのですが、 委員会への報告と本人への通知は、漏えいを起こした事業者自身が行う義務です。
エIPAへの届出は法令で義務づけられた手続なので、届け出た時点で完了している。
誤り。IPAの届出は告示に基づく任意の届出で、法令上の義務ではありません。 IPAの受付が国の機関らしく見えるため義務と思い込みやすいのですが、 ここで法令上の義務になっているのは、個人情報保護法に基づく報告と通知のほうです。
理解を深めるために
「知らせる先」ごとに、目的と根拠が違う
インシデントが起きたときに外部へ知らせる先は1つではありません。 病気になったとき、病院にかかることと、会社に休みの届を出すことが別の手続であるのと同じで、 どこかに届け出たからといって、ほかの手続が済むわけではありません。
届出・報告・相談の違い
不正アクセスで個人データが漏えいしたおそれがある場面では、知らせる先が少なくとも3つあります。
- IPA（コンピュータウイルス・不正アクセスに関する届出） — 経済産業省の告示 （コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準）に基づく届出。 被害の実態把握と、同様の被害の防止に役立てるためのもので、IPAは協力を求める形で受け付けています
- 個人情報保護委員会 — 個人情報保護法に基づく漏えい等の報告。不正の目的によるおそれの事案は、 人数にかかわらず報告の対象で、本人への通知も併せて必要です
- 警察 — 攻撃者の捜査を求めるための相談・被害の届出
このうち法令上の義務として事業者に課されているのは、委員会への報告と本人への通知です。 IPAへの届出は、他の組織への報告に使った様式でも受け付けるとされていますが、 それはIPAが受け取る側の話で、IPAに出せば委員会への報告が済むという意味ではありません。
混同しやすいものとの違い
| 知らせる先 | 根拠 | 目的 |
|---|---|---|
| 個人情報保護委員会 | 個人情報保護法（義務） | 本人の権利利益の保護 |
| IPA | 経済産業省の告示（任意の協力） | 実態把握・被害の防止 |
| 警察 | 被害の届出・相談 | 捜査 |
「どこに知らせたか」ではなく「どの法令の義務を果たしたか」で、手続が済んだかを判断します。