個人情報の保護に関する法律（以下、本問において「個人情報保護法」という。）に関する次の記述のうち、誤っているものの組合せはどれか。
ア 個人情報取扱事業者が個人情報を取得する場合は、利用目的をできる限り特定して通知又は公表する必要があるが、要配慮個人情報でない限り、本人の同意を得る必要はない。
イ 個人情報取扱事業者が、個人データを漏えいした場合、不正アクセスによる場合であっても、本人の数が1,000人を超える漏えいでない限り、個人情報保護委員会に報告する義務はない。
ウ 個人情報取扱事業者が委託先に個人データを提供することは、それが利用目的の達成に必要な範囲内であっても、個人データの第三者提供に該当するため、本人の同意を得る必要がある。
エ 取り扱う個人情報の数が5,000人分以下である事業者であっても、個人情報データベース等を事業の用に供している者には、個人情報保護法による規制が適用される。
正答3
解説
正解は3です。
この問題は、個人情報保護法（2022年4月施行の改正後）について、誤っている記述の組合せを問うものです。
記述別解説の○×は、各記述そのものの正誤を示します。
【記述別解説】
ア：○ 個人情報を取得する際は、利用目的をできる限り特定し、通知又は公表する必要があります（同法17条・21条）。
本人の同意が必要なのは、要配慮個人情報を取得する場合です（同法20条2項）。
イ：× 不正アクセスなど不正の目的による漏えいは、人数にかかわらず報告が必要です（同法26条）。
報告対象は、要配慮個人情報、財産的被害のおそれ、不正の目的のおそれ、1,000人超のいずれかに当たる漏えいです。
ウ：× 利用目的の達成に必要な範囲で取扱いを委託する場合、委託先は第三者に当たりません（同法27条5項1号）。
そのため、本人の同意は必要ありません。
ただし、委託元は委託先を監督する義務を負います（同法25条）。
エ：○ 2017年施行の改正で、取り扱う個人情報が5,000人分以下の事業者を除外する規定は廃止されました。
現在は、個人情報データベース等を事業に用いていれば、規模にかかわらず規制の対象です。
誤っているものはイ・ウなので、正解は3です。
【ポイント】
漏えい等の委員会への報告と本人への通知は、2022年4月施行の改正で義務化されました。
委託・事業承継・共同利用は、第三者提供に当たらない場面として押さえましょう。