法的リスクマネジメント応用
G社のウェブサイトに顧客の個人情報（氏名、住所、電話番号）が不正アクセスにより流出した。流出人数は200人であった。G社が講じるべき最初の法的対応の優先順位として、最も適切な順序はどれか。
A.個人情報保護委員会への速報→流出原因の究明→本人通知→再発防止策の策定← 正解
✓ 正解です。2022年改正個人情報保護法により、一定の漏洩事案では個人情報保護委員会への速報（概ね3〜5日以内）が義務付けられ、その後速やかに本人通知（30日以内）を行い、原因究明と再発防止策を進めるのが適切な対応順序です。
B.再発防止策の策定→本人通知→個人情報保護委員会への報告→法的責任の検討
✗ 再発防止策は重要ですが二次的対応です。改正法では個人情報保護委員会への速報が最優先の法的義務であり、これを後回しにすることは法令違反となります。
C.流出原因の究明→本人通知→個人情報保護委員会への報告→再発防止策の策定
✗ 原因究明も重要ですが、改正個人情報保護法では個人情報保護委員会への速報（概ね3〜5日以内）が最優先の法定義務です。原因究明を待って報告を遅延させることは法的リスクを高めます。
D.本人通知→個人情報保護委員会への報告→法的責任評価→外部コンサルティング
✗ 本人通知は重要な対応ですが、改正法では個人情報保護委員会への速報が本人通知より先行する法的義務として定められています。順序が逆です。
この問題のポイント
2022年改正個人情報保護法により、一定の漏洩事案では個人情報保護委員会への速報（概ね3〜5日以内）が義務付けられ、その後速やかに本人通知（30日以内）を行い、原因究明と再発防止策を進めるのが適切な対応順序です。