公表資料

News Release埼玉県熊谷市及び株式会社アクト・ジャパン等に対する行政手続における特定の個人を識別するための番号の利用等に関する法律に基づく行政上の対応について

令和６年７月３日

個人情報保護委員会は、埼玉県熊谷市及び株式会社アクト・ジャパン等に対し、令和６年７月３日に行政手続における特定の個人を識別するための番号の利用等に関する法律第33 条に基づく指導を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）埼玉県熊谷市及び株式会社アクト・ジャパン等に対する行政手続における特定の個人を識別するための番号の利用等に関する法律に基づく行政上の対応について
令和６年７月３日
個人情報保護委員会
個人情報保護委員会（以下「当委員会」という。）は、令和６年７月３日、埼玉県熊谷市（以下「熊谷市」という。）、株式会社アクト・ジャパン（法人番号9030001054232。以下「アクト・ジャパン」という。）及び株式会社アーバンシス
テム（法人番号 8010001010155。以下「アーバンシステム」という。）に対し、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「番号法」という。）第 33 条の規定による指導を行った。
１．事案の概要
本件は、アクト・ジャパンが個人番号利用事務の一部である課税資料等の入力業務（以下「本件事務」という。）を熊谷市から委託されていたところ、委託元である熊谷市の許諾を得ずに本件事務を関連会社であるアーバンシステ
ムに対し再委託した事案である。
２．事実関係⑴ 事案の経緯
日付

内容

令和５年 12 月 ４日

アクト・ジャパンと熊谷市が業務委託契約を締結

12 月 27 日

熊谷市がアクト・ジャパンの作業場所を実地調査

令和６年 １月 18 日
１月 19 日

第１回目の課税資料等（8,170 件）の受渡し
アクト・ジャパンが第１回目の課税資料等の一部（6,312 件、うち 5,843 人分の特定個人情報を含む。
）をアーバンシステムに対し再委託

１月 24 日アーバンシステムがアクト・ジャパンに再委託分の成果物を納品

１月 25 日アクト・ジャパンが熊谷市に第１回目の成果物を納品
熊谷市が、当該成果物と同梱されていた、本件事務を再委託したことが推認できる内容の社内メールを印刷した紙を発見

１月 26 日アクト・ジャパンの営業担当が熊谷市に状況を説明

1

１月 29 日

アクト・ジャパンの現場責任者が熊谷市に状況を説明
熊谷市がアクト・ジャパンに契約解除を通知

１月 30 日

当委員会が熊谷市及びアクト・ジャパンから漏えい等報告書（速報）を受理

２月 15 日熊谷市が再委託先であるアーバンシステムを実地調査

３月 19 日

当委員会が、アクト・ジャパンに対して、番号法第 35 条第１項の規定による報告等の求めを実施

４月 12 日アクト・ジャパンから前記報告等の求めに対する回答を受理⑵

再委託に係る特定個人情報
熊谷市とアクト・ジャパンとの間で締結された業務委託契約書（以下「本件契約書」という。）によると、アクト・ジャパンは、熊谷市から計 60,200
件の課税資料等を 10 回に分けて受領する予定となっていた。アクト・ジャ
パンはその第１回目として受領した課税資料等 8,170 件のうち、6,312 件の入力業務をアーバンシステムに対し再委託しており、その中には 5,843 人分の熊谷市の住民の特定個人情報が含まれていた。
⑶ 再委託に至った背景
アクト・ジャパンは、従業員の病欠により急遽予定していた人員を確保することができなくなったため、本件事務を再委託するに至った。再委託先であるアーバンシステムは、アクト・ジャパンと同一資本の関連会社である。
アクト・ジャパンによれば、再委託に係る作業が行われたアーバンシステム富山営業所は、平成 31 年４月までアクト・ジャパンの事業所であったことから、再委託であることを明確に意識することなく、業務の一部を委託してしまったとのことである。
３．番号法上の問題点⑴ アクト・ジャパン
ア 個人番号利用事務の無許諾再委託（番号法第 10 条第１項）
番号法第 10 条第１項において、個人番号利用事務の全部又は一部の委託を受けた者は、当該個人番号利用事務の委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができることとされている。
本件契約書においても、熊谷市の許諾を得ない特定個人情報の取扱いの再委託を禁止する旨が取り決められており、実際、熊谷市が、アクト・ジャパンに対し、本件事務の再委託を許諾したことはなかった。
それにもかかわらず、アクト・ジャパンは、委託元である熊谷市の許諾を得ることなく、本件事務の一部をアーバンシステムに対し再委託した。
2

以上のことから、アクト・ジャパンのアーバンシステムに対する本件事務の再委託は、番号法第 10 条第１項の規定に違反する。
イ 特定個人情報の提供制限違反（番号法第 19 条）
番号法第 19 条において、「何人も、次の各号のいずれかに該当する場合を除き、特定個人情報の提供をしてはならない。」とされており、特定個人情報の適正な取扱いに関するガイドライン（行政機関等編）（以下「番号法ガイドライン（行政機関等編）」という。）第４-３-⑵の２-Ｂ-ｆにおいて、「個人番号利用事務等の委託を受けた者が、番号法第 10 条の規定に違反して、最初に当該個人番号利用事務等の委託をした者である行政機関等の許諾を得ずにその事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第 19 条第６号の提供に該当しないため、提供制限にも違反することとなる。」と規定されている1。
本件で、アクト・ジャパンは、個人番号利用事務の委託をした者である行政機関等の許諾を得ずに、その事務をアーバンシステムに対し再委託しているから、当該再委託に伴う特定個人情報の提供は、同法第 19 条第６号の提供には該当しない。したがって、アクト・ジャパンのアーバンシステムに対する無許諾の再委託に伴う特定個人情報の提供は、番号法第 19条の規定に違反する。
ウ 安全管理措置の不備（番号法第 12 条）
番号法第 12 条において、個人番号利用事務実施者は、個人番号の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならないとされているところ、アクト・ジャパンにおいては、以下のとおり安全管理措置に不備が認められた。
(ア) 取扱規程等の策定の不備
特定個人情報の適正な取扱いに関するガイドライン（事業者編）（以下「番号法ガイドライン（事業者編）」という。）の（別添１）特定個人情報に関する安全管理措置の２-Ｂにおいて、「特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。」とされている。
しかしながら、アクト・ジャパンにおいては、委託業務における特定個人情報の具体的な取扱いを定める規程等はなかった。そのため、アクト・ジャパンにおいては、本件のように、個人番号利用事務の無許諾再1

特定個人情報の適正な取扱いに関するガイドライン（事業者編）第４-３-⑵の２-Ｂ-ｅにおいても、「個人番号関係事務又は個人番号利用事務の委託を受けた者が、番号法第 10 条の規定に違反して、最初の委託者の許諾を得ずに当該個人番号関係事務又は個人番号利用事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第 19 条第６号の提供に該当しないため、提供制限にも違反することとなる。」と規定されている。

3委託を禁止する番号法の規定及び熊谷市との間で締結された無許諾再委託を認めない旨の契約条項が意識されることなく、委託元の許諾のない状態で再委託が行われたものと考えられる。
(イ) 組織的安全管理措置の不備
番号法ガイドライン（事業者編）の（別添１）特定個人情報に関する安全管理措置２-Ｃ-ａにおいて、事業者は、事務における責任者の設置及び責任の明確化、事務取扱担当者の明確化及びその役割の明確化並びに事務取扱担当者が取り扱う特定個人情報等の範囲の明確化といった安全管理措置を講ずるための組織体制を整備することとされている。
この点、アクト・ジャパンにおいては、事務における責任者の責任の明確化並びに事務取扱担当者の明確化及びその役割の明確化が不十分であったため、自ら実施可能な個人番号利用事務の業務量を適切に把握できず、本件のように業務量に比し人員が足りず、自社以外の協力を得る必要が生じた。そして、本件事務における責任や役割の明確化がなされていなかったため、自社の一事業所と同じような感覚で、他社に業務を依頼しており、番号法上の再委託として委託元に許諾を得るという、番号法の規定や委託元との契約内容に違反しないような適切な措置をとることができなかった。
また、アクト・ジャパンは、アーバンシステムとの間で基本契約を締結しており、個別の取引については、個別契約を締結することとなっていたが、本件事務の委託の際には、個別契約書の締結や発注書の発行を行うことなく本件事務の一部を委託したという点からすると、特定個人情報の取扱いを委託する場合の手続、責任、役割分担等も不明確であったと言える。
以上のことから、アクト・ジャパンにおいては、安全管理措置を講ずるための組織体制の整備に問題があり、組織的安全管理措置に不備が認められる。
(ウ) 人的安全管理措置の不備
番号法ガイドライン（事業者編）の（別添１）特定個人情報に関する安全管理措置２-Ｄにおいて、事業者は、特定個人情報等の適正な取扱いのために、人的安全管理措置（事務取扱担当者の監督及び教育）を講じなければならないとされている。
アクト・ジャパンの従業者においては、同一資本の関連会社であるアーバンシステムに対する本件事務の分担について、それが熊谷市から委託を受けた個人番号利用事務の再委託となるという点についての意識が薄く、また、番号法上及び熊谷市との契約上、委託元の許諾を得ない
4

再委託が違法及び契約違反となることを適切に認識できていなかった。
アクト・ジャパンにおいては、年１回の個人情報に関する一般的な研修は行っていたものの、番号法についての研修は行われていなかった。
そのような状況の下、本件において、事務取扱担当者は、本件事務に関する個別契約の締結ないし発注書の発行等も行わないまま、別会社であるアーバンシステムに対し、特定個人情報の提供及びそれを取り扱う事務の委託を行った。
以上のことから、アクト・ジャパンにおいては、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うこと（事務取扱担当者の監督）及び事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行うこと（事務取扱担当者の教育）のいずれについても不十分であったと言え、人的安全管理措置に不備が認められる。
⑵

アーバンシステム－特定個人情報の収集等の制限違反（番号法第 20 条）
番号法第 20 条では、何人も、第 19 条各号のいずれかに該当する場合を除き、特定個人情報（他人の個人番号を含むものに限る。）を収集し、又は保管してはならないこととされており、番号法ガイドライン（事業者編）第４-３-⑶においては、以下のように記載されている。
「番号法第 10 条において、最初の委託者の許諾を得ずに個人番号関係事務又は個人番号利用事務の再委託を行うことは認められない点が明示されており、当該再委託に伴う特定個人情報の提供は、同法第 19 条各号のいずれにも該当しない。
このため、最初の委託者の許諾を得ていることを確認せずに個人番号関係事務又は個人番号利用事務の再委託を受け、結果として、最初の委託者の許諾を得ていない再委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性がある。
ただし、例えば、個人番号を取り扱う委託業務であることが委託契約書等において明らかでないなど、当該再委託が「個人番号関係事務又は個人番号利用事務の再委託」に該当することを、当該再委託を受ける者が認識できない状況で再委託が行われていた場合は、一般に、特定個人情報を収集したとは解されない。」
本件において、アーバンシステムはアクト・ジャパンの関連会社であること、また、作業を依頼された事務は個人番号が記載された住民の課税資料等の入力業務であることから、アクト・ジャパンからの本件事務の作業依頼が、個人番号利用事務の再委託に該当することは明らかであり、アーバンシステ
5ムは、「個人番号利用事務の再委託」に該当することを認識できない状況ではなかったものと認められる。
したがって、アーバンシステムが本件事務の再委託を受け、本件事務の実施のために特定個人情報を収集及び保管した行為は、番号法第 20 条の規定に違反する。
⑶

熊谷市－委託先の監督の不備（番号法第 11 条）
番号法第 11 条では、「個人番号利用事務等の全部又は一部の委託をする者は、当該委託に係る個人番号利用事務等において取り扱う特定個人情報の安全管理が図られるよう、当該委託を受けた者に対する必要かつ適切な監督を行わなければならない。」とされている。また、番号法ガイドライン（行政機関等編）第４-２-⑴の１-Ｂにおいて、委託をする者は、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な委託契約の締結、③委託先における特定個人情報の取扱状況の把握といった必要かつ適切な監督を行わなければならないこととされている。
この点、熊谷市によれば、アクト・ジャパンがプライバシーマークを取得していること及びアクト・ジャパンの特定個人情報に関する安全管理措置を確認した上で委託先として選定したとのことである。しかしながら、アクト・ジャパンにおいては、委託業務にかかる特定個人情報に関する取扱規程は存在しなかった2とのことであり、そのような状況で本件のような無許諾再委託が行われた。熊谷市は、アクト・ジャパンに対し、特定個人情報に関する取扱規程の有無について確認したとのことであるが、実際には、アクト・ジ
ャパンにおいて、委託業務上の特定個人情報の取扱規程は存在しなかったものであるから、アクト・ジャパンにおける特定個人情報の取扱規程の存在及び内容について確認が不十分であったと言える。
また、熊谷市においては、委託先選定の際、アクト・ジャパンの業務従事者名簿による従事者数から、委託した作業量がアクト・ジャパンにおいて充分可能なものであることを確認したとのことであるが、実際には、熊谷市が第１回目の分としてアクト・ジャパンに渡した課税資料等 8,170 件のうち、約 77％である 6,312 件がアーバンシステムに再委託されており、熊谷市が、アクト・ジャパンの作業能力等の経営環境を適切に把握していたとは言い難い。
以上からすると、熊谷市が、アクト・ジャパンにおける特定個人情報の取扱状況を把握するため、第１回目の課税資料等の受渡し前に、アクト・ジャパンの作業場所を実地調査していたことを考慮してもなお、熊谷市の委託先

2

アクト・ジャパンにおいては、自社従業員の特定個人情報の取扱規程のみ存在していた。

6

に対する監督に不備があったものと言わざるを得ない。
４．番号法第 33 条に基づく指導の内容⑴ アクト・ジャパン
ア 上記３⑴ウの番号法上の問題点（取扱規程等の策定の不備、組織的安全管理措置の不備、人的安全管理措置の不備）を踏まえ、番号法第 12 条及び番号法ガイドライン（事業者編）に基づき、必要かつ適切な措置を講ずること。
イ 番号法第 10 条第１項及び第 19 条の規定に違反することがないよう、定期的な研修及び教育の実施を通じて、代表取締役を含む役員及び従業者に対し、特定個人情報の適正な取扱いについて周知徹底すること。
ウ 再発防止のための措置を確実に実施するとともに、以後、適切に運用し（必要に応じて見直すことを含む。）、継続的に特定個人情報等の漏えい等の防止その他の特定個人情報等の安全管理のために必要かつ適切な措置を講ずること。
⑵ アーバンシステム
番号法第 20 条の規定に違反することがないよう、番号法第 20 条及び番号法ガイドライン（事業者編）に基づき、必要かつ適切な措置を講ずること。
⑶ 熊谷市
ア 上記の番号法上の問題点（委託先の監督の不備）を踏まえ、番号法第 11条及び番号法ガイドライン（行政機関等編）に基づき、必要かつ適切な措置を講ずること。特に、個人番号利用事務等の委託先を選定する際には、委託先において、委託した個人番号利用事務等を実施可能であるか等の委託先の経営環境等について十分に確認を行うこと。
イ 再発防止のための措置を確実に実施するとともに、以後、適切に運用し（必要に応じて見直すことを含む。）、継続的に、特定個人情報等の漏えい等の防止その他の特定個人情報等の安全管理のために必要かつ適切な措置を講ずること。
以7上