LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

カナダの個人情報保護および電子文書法（PIPEDA）には、漏えいが起きたときの手順が第1.1部として置かれています*1。あわせて、内容を定める安全管理措置の侵害に関する規則（SOR/2018-64）があり、2018年11月1日に施行されました*2。

この枠組みの特徴は、報告と記録で対象範囲が違う点です*1*2。報告と本人通知は一定のリスクがある場合に限られますが、記録はすべての漏えいについて求められます*1。ここを取り違えると、後から作れない記録が生まれます。

カナダに拠点や取引先を持つ企業、カナダの利用者を持つサービスを運営している企業に向けて、条文と規則から読み取れる要件を整理します。制度の当てはめは事情によりますので、現地の専門家の確認を経て進めてください。

報告するかどうかはRROSHで決まる

判定の基準を先に確認します*1。

第10.1条第1項は、組織が、自らの管理下にある個人情報に関わる安全管理措置の侵害について、その状況において当該侵害が個人に重大な害の現実的なリスク（real risk of significant harm）を生じさせると信じることが合理的である場合、コミッショナーに報告することとしています*1。

第10.1条第3項は、同じ基準で本人への通知を求めています*1。法律により禁じられている場合を除き、当該個人の個人情報に関わる侵害について通知することとされています*1。

この「重大な害」には何が含まれるのか。第10.1条第7項が列挙しています*1。身体的な害、屈辱、名誉または人間関係の毀損、雇用・事業・職業上の機会の喪失、金銭的損失、なりすまし、信用記録への悪影響、そして財産の毀損または喪失です*1。

「屈辱」や「名誉の毀損」が明文で入っているのが特徴です*1。金銭的な被害だけで判断する枠組みではありません*1。

判定に関わる要素も条文にあります*1。第10.1条第8項は、(a) 漏えいに関わる個人情報の機微性、(b) その個人情報が悪用された、悪用されている、または悪用されるであろう確率、(c) その他、規則で定める要素を挙げています*1。

二つの軸で考える構造です。機微なデータが少量出た場合と、機微でないデータが大量に出た場合。どちらもこの二軸で評価することになります。

報告の期限は日数で書かれていません*1。第10.1条第2項は、報告を組織が当該侵害が発生したと判断した後、実行可能になり次第（as soon as feasible）行うこととしています*1。本人通知についても第10.1条第6項が同じ言い方をしています*1。

もう一つ、条文の言葉づかいを押さえておく価値があります*1。基準は「重大な害が生じた」ことではなく、「重大な害の現実的なリスクを生じさせると信じることが合理的である」ことです*1。実害の確認を待つ枠組みではありません*1。調査の途中で判断することになります。

逆に、リスクがないと判断できる場合もあります*1。第10.1条第8項が挙げる二つの軸のうち、悪用の確率が十分に低いと評価できる事情——たとえば強度の高い暗号化がなされ鍵が別に管理されていたなど——があれば、報告に至らない整理もありえます*1。ただしその評価自体を記録に残す必要があるのは、後述のとおりです*2。

「実行可能になり次第」は、GDPRの72時間のような固定の期限とは違う設計です。いつ「判断した」のかを記録しておかないと、遅かったかどうかを説明できません。インシデント対応の体制づくりで扱う起算点の設計が、そのまま効いてきます。

報告と通知に書く項目

書く内容は規則が定めています*2。

コミッショナーへの報告は、規則第2条第1項により書面で行い、次を含むこととされています*2。

報告後に新たな情報を得た場合は、規則第2条第2項により追加して提出できるとされています*2。最初の報告で全部が揃っていなくてもよい建て付けです*2。報告は安全な通信手段によりコミッショナーへ送付できるとされています*2。

本人への通知は規則第3条です*2。次を含むこととされています*2。侵害の状況の記述*2。侵害が発生した日または期間、いずれも不明な場合は概算の期間*2。対象となった個人情報の記述（判明している範囲で）*2。組織がとった、害のリスクを減らす措置の記述*2。影響を受けた個人がとりうる、害のリスクを減らす、またはその害を緩和する措置の記述*2。そして、侵害についてさらに情報を得るために本人が使える連絡先です*2。

報告と通知で項目が違うことに注意が要ります*2。通知には「本人がとりうる措置」が入り、報告には「人数」と「担当者の連絡先」が入ります*2。同じ文面を使い回すと、どちらかに足りない項目が出ます。

通知の方法も規則が定めています*2。第4条は、直接通知を対面、電話、郵便、電子メール、またはその状況において合理的な者が適切と考えるその他の通信手段で行うとしています*2。

間接通知が求められる場合も列挙されています*2。規則第5条第1項は、(a) 直接通知が影響を受けた個人にさらなる害を生じさせる可能性が高い場合、(b) 直接通知が組織に不当な困難（undue hardship）を生じさせる可能性が高い場合、(c) 組織が影響を受けた個人の連絡先を持っていない場合を挙げています*2。その場合、影響を受けた個人に届くと合理的に期待できる公表その他の類似の手段によることとされています*2。

もう一つ、他の組織への通知があります*1。第10.2条第1項は、第10.1条第3項に基づき本人に通知する組織が、他の組織や政府機関（またはその一部）が当該侵害に起因する害のリスクを減らし、または緩和できると信じる場合、その他の組織や政府機関に通知することとしています*1。時期は、侵害の発生を判断した後、実行可能になり次第です*1。

この通知のために、本人の同意なく個人情報を開示できるとも定められています*1。第10.2条第3項は、第10.2条第1項に基づき通知された他の組織や政府機関に対する開示であって、侵害に起因する本人への害のリスクを減らすまたは緩和することのみを目的とする場合に、同意なしの開示を認めています*1。

記録はリスクの有無を問わない

この枠組みでもっとも見落とされやすいのが、記録の義務です*1。

第10.3条第1項は、組織が、規則の定める要件に従い、自らの管理下にある個人情報に関わるすべての安全管理措置の侵害について記録を作成し維持することとしています*1。

「すべての」です*1。第10.1条の報告・通知とは違い、重大な害の現実的なリスクの有無を条件にしていません*1。報告するほどではないと判断した侵害についても、記録は残すことになります*1。

保持期間は規則が定めています*2。規則第6条第1項は、第10.3条第1項の目的上、組織が当該侵害が発生したと判断した日から24か月、すべての侵害の記録を維持することとしています*2。

記録の中身も定められています*2。規則第6条第2項は、記録がコミッショナーが第10.1条第1項および第3項の遵守を検証できるようにする情報を含むこととしています*2。つまり、報告と通知の判断が妥当だったかを後から検証できる粒度が求められます*2。

これは実装への含意が大きい規定です。「報告しない」と判断した理由も記録に残す必要があるという読み方になります*2。機微性をどう評価したか、悪用の確率をどう見たか。判断の過程が残っていなければ、遵守を示せません。

コミッショナーは、第10.3条第2項により、請求に応じて記録へのアクセスまたは写しの提供を受けられるとされています*1。

罰則も置かれています*1。第28条は、第10.1条または第10.3条第1項に故意に違反した組織、あるいはコミッショナーもしくはその委任を受けた者による苦情の調査や監査を妨げた組織について、略式起訴による有罪の場合に1万カナダドルを超えない罰金、正式起訴による有罪の場合に10万カナダドルを超えない罰金を定めています*1。

記録の粒度をどう決めるかは、実務的な悩みどころです。条文と規則は項目を列挙していませんが*2、報告の7項目と通知の6項目に対応する欄を持たせておけば、検証の要求におおむね応えられる形になります*2。加えて、判定の日時と判定者、機微性と悪用確率をどう評価したか、報告・通知の要否と理由を欄として持つのが実務的です。

24か月という期間も、設計に影響します*2。起算点は「発生したと判断した日」であって、発生日ではありません*2。同じ事案でも判断が遅れれば保持の終期が後ろへずれます*2。台帳に発生日と判断日の二つの欄を持たせておくのが確実です。

金額そのものは他国の制度に比べて大きくありません*1。ただし記録義務の違反が罰則の対象として名指しされている点は押さえておく価値があります*1。

適用範囲についても一言添えます*1。第30条第1項は、州の立法府が当該情報の収集・利用・開示を規制する権限を持つ州において組織が行う場合、この部が適用されないとし、ただし連邦の事業・企業の運営に関連して行う場合、または対価を得て当該州の外へ情報を開示する場合を除くとしています*1。州法との関係は個別の確認が必要です*1。

着手の順序と、受託で進めるときの要点

順序をつけます。

第一に、判断の起算点を決めることです。報告と通知の期限は「侵害が発生したと判断した後、実行可能になり次第」です*1。記録の24か月も「発生したと判断した日」から数えます*2。この「判断した日」を誰がいつ確定するのかを、運用に書いておく必要があります*1*2。

第二に、RROSHの判定表を作ることです。機微性と悪用の確率という二つの軸で評価することとされています*1。評価の観点を紙に落としておくと、担当者が替わっても判断がぶれません。

第三に、記録の対象を広く取ることです。報告しないと判断した侵害も記録の対象です*1。判定の結果と理由をセットで残す形にしておきます*2。

第四に、報告と通知のテンプレートを分けることです。規則第2条第1項の7項目と規則第3条の6項目は重なりつつ違います*2。二つの雛形を用意しておくほうが、いざというときに速いです。

第五に、連絡先の保持状況を確認することです。規則第5条第1項(c)は、連絡先を持っていない場合に間接通知を求めています*2。逆に言えば、連絡先を持っているなら直接通知が原則です*2。どのデータに連絡先が紐づいているかを把握しておくことです。

受託で進める場合の要点も挙げます。

人数を出せる設計にすることです。報告の項目(d)は影響を受けた個人の数を求めています*2。不明なら概数でよいとされていますが*2、概数すら出せないと報告の質が下がります。テーブル設計とログ設計の段階で、範囲を絞り込める形にしておくことです。

判定の記録を機能として持つことです。規則第6条第2項は、コミッショナーが第10.1条第1項および第3項の遵守を検証できる情報を記録に含めることとしています*2。表計算で管理していると、24か月後には辿れなくなります。

追加報告を前提に組むことです。規則第2条第2項は、報告後に得た新たな情報の提出を認めています*2。初報で全部を揃えようとして遅れるより、出せる範囲で出して追う設計のほうが条文に沿います*2。

他の法域と管理項目を揃えることです。漏えい対応の要件は台湾の個人資料保護法やGDPRの枠組みでも問われます。期限の表現や報告先は違いますが、洗い出す元の情報は同じです。共通の台帳を先に決めておくほうが後で楽です。

体制としては、判定をする人と、ログを追える人が同じ場にいるかが分かれ目になります。「実行可能になり次第」という期限は、調査が止まると守れません。事実を集める工程と判断する工程を同時に進められる進め方ができる委託先かどうかを、選定の観点に入れておくとよいでしょう。

まとめ：PIPEDAの漏えい対応で押さえる3つの視点

カナダのPIPEDAは第1.1部で安全管理措置の侵害への対応を定め、内容は安全管理措置の侵害に関する規則（SOR/2018-64、2018年11月1日施行）が具体化しています。押さえたい視点は三つです。第一に、報告と通知の基準。第10.1条第1項と第3項は、その状況において侵害が個人に重大な害の現実的なリスクを生じさせると信じることが合理的である場合に、コミッショナーへの報告と本人への通知を求めます。重大な害には身体的な害、屈辱、名誉や人間関係の毀損、雇用や事業や職業上の機会の喪失、金銭的損失、なりすまし、信用記録への悪影響、財産の毀損または喪失が含まれ、判定の要素として個人情報の機微性と悪用される確率が挙げられています。第二に、記録の範囲。第10.3条第1項は、リスクの有無を問わず管理下にある個人情報に関わるすべての侵害の記録を求め、規則第6条第1項は侵害の発生を判断した日から24か月の保持を求めます。記録にはコミッショナーが遵守を検証できる情報を含めることとされているため、報告しないと判断した理由も残す形になります。第三に、期限の考え方。報告も通知も「侵害が発生したと判断した後、実行可能になり次第」とされており、固定の日数ではありません。だからこそ、いつ判断したのかを記録できるかが実務の要点になります。

よくある質問

出典

1. *1　参考：Justice Laws Website（カナダ司法省）「Personal Information Protection and Electronic Documents Act（S.C. 2000, c. 5）」（https://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html）。第1.1部（安全管理措置の侵害）、第10.1条（第1項のコミッショナーへの報告と重大な害の現実的なリスクという基準、第2項の実行可能になり次第という時期、第3項の本人通知、第4項の通知の内容、第5項の直接通知と例外的な間接通知、第6項の通知の時期、第7項の重大な害の内容、第8項の判定要素）、第10.2条（第1項の他の組織や政府機関への通知、第2項の時期、第3項および第4項の同意なき開示）、第10.3条（第1項のすべての侵害の記録、第2項のコミッショナーへの提供）、第28条（第10.1条・第10.3条第1項への故意の違反に対する略式起訴1万カナダドル以下・正式起訴10万カナダドル以下の罰金）、第30条第1項（州法との関係）の一次情報として（2026年8月確認）
2. *2　参考：Justice Laws Website（カナダ司法省）「Breach of Security Safeguards Regulations（SOR/2018-64）」（https://laws-lois.justice.gc.ca/eng/regulations/SOR-2018-64/FullText.html）。第2条（第1項の報告の書面性と7項目、第2項の追加情報の提出、第3項の安全な通信手段）、第3条（本人への通知に含める6項目）、第4条（直接通知の方法＝対面・電話・郵便・電子メールその他合理的な手段）、第5条（第1項の間接通知が求められる三つの場合、第2項の公表その他の手段）、第6条（第1項の侵害の発生を判断した日から24か月の記録保持、第2項の記録がコミッショナーによる第10.1条第1項・第3項の遵守の検証を可能にする情報を含むこと）、第7条（デジタルプライバシー法第10条の施行日に施行される旨と、規則が2018年11月1日に施行されたこと）の一次情報として（2026年8月確認）

Tweet