一般財団法人日本情報経済社会推進協会(JIPDEC)の「プライバシーマーク付与に関する規約(PMK500)」により、事業者からの事故報告が義務付けられております。
プライバシーマーク付与事業者、審査中事業者および申請検討中事業者は、個人情報に関わる事故等が発生した場合、下記の要領に基づき、ご報告をお願いいたします。個人情報の取扱いにおける事故等の報告を受けて、「プライバシーマーク付与に関する規約(PMK500)」に基づく判断・対応を行います。
プライバシーマーク制度における事故等の定義
プライバシーマーク制度における事故等とは、「プライバシーマーク付与に関する規約(PMK500)」により『個人情報の外部への漏えいその他本人の権利利益の侵害(以下「事故等」という)』と位置付けており、具体的には、同規約で示している次の事象のことをいいます。
①漏えい、 ②紛失、 ③滅失・き損、 ④改ざん、正確性の未確保、 ⑤不正・不適正取得、 ⑥目的外利用・提供、⑦不正利用、 ⑧開示等の求め等の拒否、 ⑨上記①~⑧のおそれ
※付与事業者の皆様におかれましては、2022年4月1日施行の「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」内「J.4.4.2 緊急事態への準備」への対応のため、上記「事故等の定義」に則り、「漏えい、滅失、き損」の他、「改ざん、正確性の未確保」「不正・不適正取得」「目的外利用・提供」「不正利用」「開示等の求め等の拒否」(いずれも、おそれを含む)を事故報告の対象とし、文書化をおこなってください。また、同様に「報告の対象」「提出までの目安の日数」「報告先」等も含める必要があります。
報告対象事業者
- 当協会のプライバシーマーク付与事業者(付与事業者)※更新申請中事業者含む
- 当協会にプライバシーマーク付与適格性審査の申請をしている事業者(審査中事業者)
- 当協会にプライバシーマーク付与適格性審査の申請することを検討している事業者(申請検討中事業者)
事故報告の期限(速報・確報)
報告対象事業者において事故等が発生した場合には、発覚した日から原則として30日(不正の目的をもって行われたおそれがある事故等の場合は60日)以内に、審査機関へ事故報告(「確報」)を行ってください。
速報が必要な事故等
次のいずれかに該当する事故等が発生した場合には、「速報」として概ね発覚した日から3~5日以内に審査機関へ報告を行ってください。(速報の場合、全てをご記入いただく必要はありません。わかる範囲でご記入ください。)
- 要配慮個人情報が含まれる事故等が発生し、又は発生したおそれがある事態
- 不正に利用されることにより財産的被害が生じるおそれがある事故等が発生し、又は発生したおそれがある事態
- 不正の目的をもって行われたおそれがある事故等が発生し、又は発生したおそれがある事態
- 個人データに係る本人の数が1000人を超える事故等が発生し、又は発生したおそれがある事態
- その他、付与機関がプライバシーマーク付与適格性審査基準における重大な違反、又は重大な違反のおそれがあると認めた事態
特定個人情報(マイナンバー)に関する事故等
事故等の対象となった個人情報に特定個人情報(マイナンバー)が含まれており、次の事故等に該当する場合は、「速報」として概ね発覚した日から3~5日以内に審査機関へ報告を行ってください。
- 情報提供ネットワークシステム等からの漏えい、滅失、き損
- 不特定多数の者に閲覧された
- 不正の目的による漏えい、滅失、き損
- 100人を超える場合
速報・確報の判断フロー
事故の報告先
報告する場合は、報告書の様式をダウンロードのうえ必要事項を入力いただき、以下いずれかの方法でご提出ください。
・プライバシーマーク会員マイページ「ファイル送信」よりPDFをアップロード
・下記「報告先」記載のアドレス宛にメールにてPDFを提出
【事故報告書の提出方法について】
報告書(PDF)は下記いずれかの方法で提出してください。
《プライバシーマーク会員マイページにて提出》
・報告書(PDF)名称:【事故報告書】●●●株式会社 (事業者名を記入) としてください
・プライバシーマーク会員マイページの「ファイル送信」よりPDFをアップロードしてください
※速報の場合は、「メッセージ」に「速報」と入れてお送りください。
《メールにて提出》
・報告書(PDF)名称:【事故報告書】●●●株式会社 (事業者名を記入) としてください
・メールの件名:【事故報告書提出】●●●株式会社
※速報の場合:【事故報告書提出・速報】●●●株式会社
・パスワード付きメール添付とし、パスワードは別送ください。
事故報告に関するお問い合わせについてもご連絡ください。
・発生した事象が事故に該当するかどうかのご確認
・事故報告書提出にあたってのご質問等(記載方法など)
JUAS事故担当:sec-icdt@juas.or.jp (@を半角に変更してください。)
審議結果の通知(報告書提出後)
報告された事故等については、「プライバシーマーク付与に関する規約(PMK500)」の規則、手順に基づき、欠格レベルの判定を行い、外部有識者を交えた委員会の審議を経て措置を決定し、事業者には文書にてその結果を通知します。
個人情報保護委員会への報告について
2022年4月1日施行の改正個人情報保護法により、漏えい等が発生し個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告が義務化されました。以下の個人情報保護委員会規則で定められた漏えい等が発生した場合は、個人情報保護委員会に「速報」及び「確報」として報告を行ってください。
また、特定個人情報(マイナンバー)に係る事故等についても、個人情報保護委員会への報告が必要です。
詳細は、個人情報保護員会WEBサイトをご参照ください。
報告書の取扱い
当該報告書は、報告いただいた個人情報の取扱いにおける事故等の欠格性を判断するために、JUAS セキュリティセンターで利用します。また、付与機関である一般財団法人日本情報経済社会推進協会(JIPDEC)への報告にも利用します。なお、本報告書は、JUAS セキュリティセンターで保管・管理します。
JUAS認定個人情報保護団体対象事業者の場合には、認定個人情報保護団体事務局へ共有します。