履歴書を返却せず、情報まで漏洩させた会社の責任は？

正解　（3）

　個人情報保護法が適用される会社（所有する情報から特定される個人の数が5000を超える会社）は、個人情報を取扱う場合には利用目的を特定する義務を負います。その目的の範囲を超える情報の「取扱い」は原則として禁止されているので（法16条）、不要となった履歴書は返送するのが好ましいといえます。しかし、その情報をそのまま「保有」することを禁止する規定がないので、履歴書を返さないことが、直ちに個人情報保護法違反とはなるわけではありません。

　しかし、その情報を漏洩して本人に損害を与えた場合には、会社は損害賠償責任を負います（民法709条）。わざと情報を漏らした場合でなくとも、情報漏洩について会社に過失があれば民法上の責任が発生します。

　なお、会社が個人情報を第三者に提供したといえる場合には、個人情報保護法違反となります（法23条）。目的の範囲を超える取扱いとして、法16条にも違反します。しかし、そのことのみで直ちに罰則が適用されるわけではありません。まず、主務大臣の勧告、さらには命令がなされます。その命令にも従わない場合に罰則が科されます（法56条）。

　したがって、2は誤りです。
（罰則は、6ヶ月以下の懲役または30万円以下の罰金です。）