個人情報保護委員会とは？

01何をしているか

個人情報保護委員会は、個人情報の扱いを監督する国の機関です。2016年1月に設置されました。委員長と委員8人で構成する合議制の機関で、独立した専門的な立場から仕事をします。

主な役割は次のとおりです。

• 個人情報保護の基本方針をつくり、進める
• 民間の事業者や行政機関などを監視・監督する
• 漏えい等の報告を受け付ける
• 苦情のあっせん、広報や啓発、海外の当局との協力

個人情報保護法は委員会が所管しています。マイナンバー法はデジタル庁の所管ですが、マイナンバーを含む個人情報（特定個人情報）の扱いについては、委員会が監視・監督します。

02会社がすること

会社にとって委員会との接点の多くは、漏えい等が起きたときの報告です。報告先は業種によって違います。

ランサムウェアなどのサイバー攻撃による事案では、共通の様式（Excel）をメールで出す方法も案内されています。報告者の欄には担当者の名前ではなく、会社の名前を書きます。

報告と別に、本人への通知も必要です。報告の対象になる事態を知ったら、状況に応じて速やかに本人に知らせます。本人に連絡がつかないなど通知が難しい場合は、事案の公表などの代わりの措置をとります。

報告の項目には、漏えいした個人データの内容と人数、原因、二次被害のおそれ、本人への対応の状況、再発防止策などがあります。速報の時点で分からない項目は、分かった範囲で書き、確報で埋めます。

平時にしておくことは、自社の業種の報告先を確かめておくことです。事故の最中に調べ始めると、速報の目安（発覚からおおむね3〜5日以内）に間に合わないことがあります。

03よくある誤解

• 「報告すると罰せられる」わけではない。報告は法律上の義務で、出さないことの方が問題になります。委員会は報告から得た課題や対策を、再発防止のために発信するとしています。
• 警察への通報とは別。不正アクセスやランサムウェアの被害は警察への相談も必要です。委員会への報告とは窓口も目的も違います。
• 委員会は個別の被害の回復をする機関ではない。漏れたデータの削除依頼や調査は、会社自身が専門家（事故対応・フォレンジック）と進めます。