個人情報の保護に関する法律 第66条（安全管理措置）

保有個人情報の漏えい・滅失・毀損を防ぐための必要かつ適切な措置です。組織的・人的・物理的・技術的の四側面すべてを含み、USB 持ち出しルールや退職者のアクセス権削除も射程内です。

行政機関の長等に加え、委託を受けた者・指定管理者・第 58 条各号の者・再委託先です。2 項が準用により、外注の連鎖の末端の民間業者まで義務主体としています。

負います。66 条 2 項 5 号は二以上の段階にわたる委託を含めて義務者を定めており、再委託・再々委託の相手も自ら安全管理義務を負います。委託元の監督責任も別途残ります。

漏れた情報の種類と実際の管理主体を書面で確認し、口座・パスワード変更等の二次被害防止を実施します。委員会報告（68 条）や本人通知の状況を保管し、実害があれば損害賠償を検討します。

1 項の安全管理措置義務を、委託先や指定管理者など別の主体にも当てはめて適用することです。これにより民間業者でも行政機関等と同じ公的義務を負います。

組織的・人的・物理的・技術的の四側面です。責任体制の整備、従業者教育、USB や書類の管理、システムのアクセス制御など、IT だけでなく運用全体が対象になります。

一定の漏えい等が発生・発覚した場合、68 条に基づき委員会規則の定める期間内に速やかに報告します。本人への通知の要否も併せて判断が必要です（最新の規則をご確認ください）。

23 条は民間事業者の安全管理措置、66 条は行政機関等およびその委託先の安全管理措置を定めます。指定管理者は 66 条 2 項でより厳格な行政機関等編の基準が適用されます。

漏えいの内容と拡散範囲によります。氏名、住所程度の流出では過去の裁判例で一人数千円から1万円前後、病歴や思想信条など機微情報だと数万円以上になったケースもあります（民法709条、710条）。業界裏話ヒント：集団漏えいでは一人当たりは低くても総額が巨額になるため、企業側は早期に500円から1000円程度の見舞金や金券で個別賠償を回避しようとする。これを受け取ると和解扱いで追加請求権を失う場合があるので、機微情報が含まれるなら安易に受け取らない

いいえ。地方自治法244条の2に基づく指定管理者は、公の施設の管理業務については66条2項により行政機関等と同じ公的な安全管理義務が準用されます。一般の民間事業者向け（23条）より厳格な基準です。業界裏話ヒント：指定管理者の現場スタッフはこの区別を知らないことが多く、自社の民間向けプライバシーポリシーだけで運用しているケースがある。貸出履歴のような機微データを扱うなら、行政機関等編のガイドラインに沿った運用かを確認する価値がある

免れません。66条2項5号は二以上の段階にわたる委託を含めて義務者を定めており、再委託、再々委託の相手も自ら義務を負う一方、委託元の監督責任（民法715条の使用者責任や契約上の責任）も残ります。業界裏話ヒント：尼崎市のUSB紛失事件では市、委託先、再委託先の重層構造が問題化した。契約書で再委託を許容していたか、再委託先の監督記録があるかが、賠償額と行政指導の分かれ目になる