事故等の報告

トップページ
申請・報告
事故等の報告

1．事故報告の期限（速報・確報）

2．報告先と様式・提出方法
2-1．JIPDEC以外の審査機関に報告する事業者
2-2．JIPDECに報告する事業者

3．事故等の定義
4．事故等への対応（動画）

プライバシーマーク付与事業者の個人情報の取扱いにおける事故等の報告については、「プライバシーマーク付与に関する規約（PMK500）」において、事業者からの事故報告を義務づけ、その適用についてプライバシーマーク付与契約事項としています。事故等が発生した場合は、下記に示すとおり、報告を行ってください。

プライバシーマーク付与に関する規約（PMK500）
( 運営要領ページへ)

1．事故報告の期限（速報・確報）

事故等が発生した場合には、原則として発覚日から30日（不正の目的をもって行われたおそれがある事故等の場合は60日）以内に、審査機関へ事故報告（「確報」）を行ってください。

速報が必要な事故等

次のいずれかに該当する事故等が発生した場合には、「速報」として発覚日から概ね３～5日以内に審査機関に事故報告を行ってください。

要配慮個人情報が含まれる事故等
不正に利用されることにより財産的被害が生じるおそれがある事故等
不正の目的をもって行われたおそれがある事故等
個人情報に係る本人の数が１,０００人を超える事故等
その他、付与機関がプライバシーマーク付与適格性審査基準における重大な違反があると認めた事態

※いずれも事故等が発生したおそれがある事態も含める

特定個人情報（マイナンバー）に関する事故等

事故等の対象となった個人情報に特定個人情報（マイナンバー）が含まれており、次の事故等に該当する場合は、「速報」として発覚日から概ね3～5日以内に審査機関へ報告を行ってください。

情報提供ネットワークシステム等からの漏えい、滅失、き損
不特定多数の者に閲覧された
不正の目的による漏えい、滅失、き損
100人を超える場合

事故報告の流れ（297KB）
- 速報と確報の報告の流れ

速報・確報の判断フロー

2．報告先と様式・提出方法

報告対象者	報告先
1．付与事業者	付与適格決定を受けた審査機関（ただし、更新審査中の場合は、審査中事業者の例による。）
2．審査中事業者	付与適格性審査の申請をしている審査機関
3．申請検討中事業者	付与適格性審査の申請を予定している審査機関

2-1．JIPDEC以外の審査機関に報告する事業者
2-2．JIPDECに報告する事業者

2-1．JIPDEC以外の審査機関に報告する事業者

事故報告の様式・提出方法等の詳細については、各審査機関にご確認ください。

2-2．JIPDECに報告する事業者

JIPDECへの報告様式・提出方法等は、次の「JIPDECへの事故等の報告」をご確認ください。

JIPDECへの事故等の報告

審議結果の通知（事故報告提出後）

報告された事故等については、「プライバシーマーク付与に関する規約（PMK500）」に基づいて欠格レベルの判定を行い、外部有識者を交えた委員会の審議を経て措置を決定し、事業者には文書にてその結果を通知します。

事故報告書の取扱い

提出された事故報告書は、報告いただいた個人情報の取扱いにおける事故の欠格性を判断するために利用します。また、概要作成や注意喚起の為に内容を利用することがあります。
報告をいただいた事故の内容については、プライバシーマーク付与適格性の審査に反映するために、JIPDECプライバシーマーク推進センター並びに、更新申請先の審査機関にて情報を共有します。
JIPDEC認定個人情報保護団体対象事業者の場合には、認定個人情報保護団体事務局へ共有します。
JIPDECは「プライバシーマーク付与に関する規約（PMK500）」に基づき、事故等の調査を実施している旨について公表することがあります。

3．事故等の定義

プライバシーマーク制度における事故等とは、「プライバシーマーク付与に関する規約（PMK500）」により『個人情報の外部への漏えいその他本人の権利利益の侵害（以下「事故等」という）』と位置付けており、具体的には、同規約で示している次の事象のことをいいます。

①漏えい、 ②紛失、 ③滅失・き損、 ④改ざん、正確性の未確保、 ⑤不正・不適正取得、 ⑥目的外利用・提供、⑦不正利用、 ⑧開示等の求め等の拒否、 ⑨上記①～⑧のおそれ

プライバシーマーク制度において事故報告が必要な案件かどうかは、「よくあるご質問：個人情報の取扱いにおける事故の報告＞事故の該当性」をご覧ください。

よくあるご質問：個人情報の取扱いにおける事故等の報告

4．事故等への対応について（動画）

プライバシーマーク付与事業者において事故等が発生した場合の対応については、以下をご覧ください。

事故発生時におけるプライバシーマーク付与事業者の対応の流れ
（399KB:2023年5月1日更新）

※付与事業者の皆様におかれましては、2022年4月1日施行の「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」内「J.4.4.2 緊急事態への準備」への対応のため、上記「事故等の定義」に則り、「漏えい、滅失、き損」の他、「改ざん、正確性の未確保」「不正・不適正取得」「目的外利用・提供」「不正利用」「開示等の求め等の拒否」（いずれも、おそれを含む）を事故報告の対象とし、文書化をおこなってください。また、同様に「報告の対象」「提出までの目安の日数」「報告先」等も含める必要があります。