漏えいは時計を動かす — 起点は「知った時点」、動かすのは「おそれ」

起点について、通則編 3-5-3-3 はこう書きます。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3～5日以内である。

「いずれかの部署」です。監視を見ていた開発チームが気づいた時点も入り得ます。

「おそれ」は 3-5-3-1 の注が説明します。

漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

同じ節は、サイバー攻撃で「おそれ」に該当し得る事例を挙げます。多くはエンジニアが最初に見るものです。

(ア) 不正アクセスでデータが窃取された痕跡
(イ) 情報を窃取する振る舞いが判明しているマルウェアの感染
(ウ) C&C サーバとして知られる IP アドレス・FQDN への通信
(エ) 入力ページのファイルに、入力情報を窃取する改ざんの痕跡
(オ) 公的機関・専門家等の第三者から、一定の根拠に基づく連絡

GDPR 第33条第1項(2016年官報版)は次のとおりです。

In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 55, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.

起点は after having become aware of it、ここは日本と似た形です。72時間には where feasible が付き、過ぎたら遅延の理由を添える構造です。「72時間を過ぎたら違法」とは書いていません。 第2項は処理者から管理者への通知を定めます。