事故等が発覚した場合は規模に関わらず、原則として発覚日から30日(不正の目的をもって行われた
おそれがある事故等の場合は60日)以内に、審査機関へ事故報告(「確報」)を行う必要があります。
また、次の基準に該当する場合には、確報の前に、発覚日から概ね3~5日以内に「速報」を行う必要があります。
[個人情報]
・要配慮個人情報が含まれる事故等
・不正に利用されることにより財産的被害が生じるおそれがある事故等
・不正の目的をもって行われたおそれがある事故等
・個人情報に係る本人の数が1,000人を超える事故等
・その他、付与機関がプライバシーマーク付与適格性審査基準における重大な違反があると認めた事態
[特定個人情報(マイナンバー)]
・情報提供ネットワークシステム等からの漏えい、滅失、き損
・不特定多数の者に閲覧された
・不正の目的による漏えい、滅失、き損
・100人を超える場合
【参考情報】
・JIPDEC「個人情報の取扱いに関する事故等の報告について」
<https://privacymark.jp/system/accident/index.html>