取り扱う個人データの一部が漏えいし、当該漏えいした個人データによっては第三者が特定の個人を識別することができない場合でも、報告対象となりますか。
漏えい等した情報が個人データに該当するかどうかは、当該個人データを漏えい等した個人情報取扱事業者を基準に判断するため、報告対象事態に該当すれば、報告が必要となります。
法第 27 条第５項第３号に定める事項（事業内容及び個人データの項目、共同して利用する者の範囲、利用目的、データの管理について責任を有する者の氏名又は名称等）について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、共同利用に該当し、当該提供先である各健保組合は「第三者」に当たらないことから本人の同意は不要です。ただし、不必要な情報はマスキングなどの加工の必要があります。
ガイドライン（匿名加工情報編）２－１にもあるように、統計情報は、複数人の 情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に示すのみで特定の個人との対応関係が排斥されてい  る限りにおいては、「個人に関する情報」に該当するものではないため、個人情報保護法 の対象外となります。一方、特定の個人が識別できる情報であれば、個人情報に該当する こととなりますので留意が必要です。
個別の事案ごとに判断することとなりますが、メールアドレスについて、個人情報に該当しない場合には、通常、当該メールアドレスに係るアカウントの利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。
同一事業者内での個人データの提供は、第三者提供には該当しないため、第三者提供に関する本人の同意は必要ありません。ただし、他の部署によって、当初特定した利用目的の達成に必要な範囲を超えて個人情報が利用される場合には、あらかじめ、目的外利用に関する本人の同意を得る必要があります（法第 18 条第１項）。
医療・介護関係事業者において個人データの漏えい等の事故が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、迅速かつ適切に対応する必要があります。
通報に関する秘密保持や個人情報保護の徹底を図るため、行政機関向けガイドライン(外部の労働者等からの通報)では、通報対応の段階ごとに遵守すべき事項をあらかじめ取り決めて、通報又は相談への対応に関与する者に対して十分周知することとしています。 同ガイドラインは、通報への対応を行うに際して共通して遵守すべき事項のうち、特に重要なものとして、•情報を共有する範囲及び共有する情報の範囲を必要最小限に限定すること•通報者等の特定につながり得る情報(通報者等の氏名、所属等の個人情報のほか、調査が通報を端緒としたものであること、通報者等しか知り得ない情報等を含む。)については、調査等の対象となる事業者に対して開示しないこと•調査等の対象となる事業者に対し、通報対応を適切に行う上で真に必要な最小限の情報を開示する場合には、通報者等の書面、電子メール等による明示の同意を取得すること•上記の同意を取得する際には、開示する目的及び情報の範囲並びに当該情報を開示することによって生じ得る不利益について、明確に説明することなどを例示的に掲げています。このように、同ガイドラインでは、当該調査が通報を端緒としたものであること等、通報者の特定につながり得る情報については、調査等の対象となる事業者に対して開示しないことが定められており、通報等があったことを事業者に伝えることも適切ではありません。やむを得ず伝えることが必要な場合には、通報者の意向を確認するため、通報者本人の書面、電子メール等による明示の同意を取得することが必要と考えられます。
健保組合は産業医に特定保健指導を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを産業医に委託することに伴って当該個人データを提供する場合には、当該提供先である産業医は「第三者」には当たらないため、本人の同意は要しません（法第 27 条第５項第１号）。
防犯カメラに映った映像情報も、それによって特定の個人が識別される場合は、「個人情報」に該当します（個人情報保護法第２条第１項）。