⚠ ひっかけパターン：義務・任意の混同
🔍 漏えい等発生時の対応の流れ
事業者
個人情報保護委員会
本人
✅ 結論：委員会への報告と本人への通知は原則どちらも法律上の義務である
⚠＝ひっかけポイント（試験で狙われる箇所）
- ① どこが間違いか
- 「本人への通知については、事業者の判断により任意に行えば足り、法律上の通知義務は課されていない」という部分が誤り。「任意」「義務は課されていない」という表現がひっかけ
- ② なぜ間違いか
- 個人情報の保護に関する法律26条2項は、同条1項の報告義務が生じる場合には、本人に対しても原則として通知しなければならないと定めている。個人情報保護委員会への報告だけでなく、本人への通知も原則として法律上の義務であり、事業者の任意の判断に委ねられているわけではない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するために必要な代替措置をとるときは、通知義務が免除される例外がある。
- ③ 正しい記述
- 個人情報取扱事業者は、要配慮個人情報の漏えい等により個人の権利利益を害するおそれが大きいときは、個人情報保護委員会への報告に加え、原則として本人に対しても遅滞なくその旨を通知しなければならない。
⚖ 対比で覚える：個人情報保護委員会への報告と本人への通知の違い
| 委員会への報告 | 本人への通知 |
|---|
| 根拠条文 | 個人情報保護法26条1項 | 個人情報保護法26条2項 |
|---|
| 義務の性質 | 原則として義務 | 原則として義務 |
|---|
| 例外 | 委員会規則で定める場合 | 本人通知困難時は代替措置可 |
|---|
💡 なぜそのルールがあるのか漏えい等が生じた場合、本人自身が二次被害（なりすまし・詐欺等）を防ぐための対応をとれるようにする必要があるため、事業者に本人への通知を原則として義務付けている。
📌 覚え方のコツ「委員会には報告、本人には通知」とセットで覚える。どちらも『しなければならない』が原則であり、通知の方だけ『任意でよい』とひっかける問題が出やすいので注意する。
🎯 試験での問われ方個人情報保護委員会への報告義務は知っていても、本人への通知義務まで正確に覚えていない受験生を狙い、『任意』『義務なし』とする形で出題されやすい。
- 正しいルール
- 個人情報取扱事業者は、要配慮個人情報の漏えい等が発生し個人の権利利益を害するおそれが大きいときは、個人情報保護委員会への報告義務に加え、原則として本人への通知義務も負う
- 根拠条文
- 個人情報の保護に関する法律26条1項、26条2項
個人情報の保護に関する法律26条の条文を見るe-Gov法令API取得
（漏えい等の報告等）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
令和8年（2026年）4月1日施行の法令を参考にしています。