資料８
公表資料

令和６年〇月〇日
個人情報保護委員会

資源エネルギー庁が保有する「再生可能エネルギー業務管理システム」内の保有個人情報の漏えい等事案における再発防止策の実施状況について
・個人情報保護委員会（以下「当委員会」という。）は、令和５年６月 29 日、資源エネルギー庁に対して個人情報の保護に関する法律（平成 15 年法律第 57 号。
以下「法」という。
）第 157 条の規定による指導、並びに電力の送配電を行う事業者（以下「一般送配電事業者」という。
）及びそのグループ会社又は同一会社の小売部門である電力の小売事業を行う電力各社（以下「関係小売電気事業者」という。
）に対して法第 147 条の規定による指導をそれぞれ行った。また、資源エネルギー庁に対して法第 156 条の規定により、並びに一般送配電事業者及び関係小売電気事業者に対して法第 146 条第１項の規定により、再発防止策の実施状況に係る報告等を求めた。
・資源エネルギー庁、一般送配電事業者及び関係小売電気事業者の再発防止策について確認したところ、現時点において、当委員会の各事業者等に対する個別の指導事項に係る改善措置に一定の取組が認められた。当委員会は、今後も引き続き再発防止のための措置の実施状況を注視していく。

〇本件事案において判明した問題点と指導事項についての主な改善状況
問題点
資源エネ
ルギー庁

指導事項についての改善状況

再生可能エネルギー業務管理システム1（以 安全管理措置
下「再エネ業務管理システム」という。
）アカ

アクセ

ウントのＩＤ及びパスワード管理に関する定ス制御

・一般送配電事業者ごとに再エネ業務管理システムの利用責任者を選定し、当該システムのＩＤ及びパスワードの管理責任の所在を明確化した。

めの整備及びその見直し、並びにパスワード・ＩＤ及びパスワードは、個人ごとに付与することとし、システム管理者（資源エネルギー庁の委託先）は、ＩＤ及びパスワードの発行時、の変更や管理に関する指示等を一般送配電事

システム利用者の個人属性（氏名、電話番号及びメールアドレス等）の登録を求め、システム利用責任者を通してＩＤ及びパスワードを業者に対して行わず、再エネ業務管理システ発行することとした。

ムのアクセスログの定期的分析も行わなかっ

・ＩＤ及びパスワードを付与されたシステム利用者に人事異動が生じた場合、当該利用者のアカウントを停止し、６か月以上利用がないアた。また、一般送配電事業者に付与した再エカウントも自動的に停止することとした。また、ＩＤ及びパスワードに多要素主体認証（利用の都度、端末で認証を取得）を導入するこネ業務管理システムアカウントのＩＤ及びパととした（これら一連の技術的安全管理措置は、経済産業省、資源エネルギー庁及び地方経済産業局の各職員にも適用することとした。
）。

スワードがどのように利用されているか長期・これらの事項を再エネ業務管理システム利用者向けマニュアル等に規定することとし、上記の一連の措置を反映した再エネ業務管理シス間確認しなかった等、法第 66 条第１項が求める保有個人情報の安全管理措置に不備が認められた。

テムの改修とマニュアルの整備を、令和５年 10 月に完了した。
アクセ・再エネ業務管理システムの管理者（資源エネルギー庁の委託先）による定期的な自己点検を毎事業年度末に実施させることとし、アクセス記録

スログに基づくアカウントごとのシステム利用状況（アクセスの頻度変化、時間帯及びＩＰアドレス等）やアカウントの管理状況を分析し、不審な利用があれば資源エネルギー庁に報告させ、その結果を踏まえ、必要に応じシステム改修を行うこととした。

1

再生可能エネルギー電気の利用の促進に関する特別措置法（平成 23 年法律第 108 号）に基づく再生可能エネルギーの固定価格買取制度を運営する上で必要な手続を実施し、認定事業者に関する情報等を一元的に管理するための業務システム。
1

監査及び点検・外部監査法人の臨時システム監査を令和６年１月に実施した。資源エネルギー庁内で実施される監査も、より実効的なものとなるよう、監査担当部署による証拠書類の確認や実地監査を精緻化することとし、監査対象課室は監査に積極的に協力することとした。の実施

問題点

該当する事業者指導事項についての改善状況

実施した事業者

一 般

資源エネルギー庁

北海道電力ネットワーク（株） 安全管理措置

送 配から付与された再エ

東北電力ネットワーク（株）

電 事

ネ業務管理システム

東京電力パワーグリッド（株）

業 者

アカウントのＩＤ及中部電力パワーグリッド（株）

びパスワードを関係

北陸電力送配電（株）

・再エネ業務管理システムアカウントのＩＤ及びパスワードの付与を申請する従 北海道電力ネットワーク（株）

小売電気事業者も利

関西電力送配電（株）

業者を、本社で当該システムに係る業務に従事する部署の特定の従業者に限定 東北電力ネットワーク（株）用できる状態であっ中国電力ネットワーク（株）

し、当該従業者１名につき一つのＩＤ及びパスワードを使用させることとした。 中部電力パワーグリッド（株）

たにもかかわらずこ

四国電力送配電（株）

関西電力送配電（株）

れを是正せず、適切に九州電力送配電（株）

中国電力ネットワーク（株）

アクセス制御を実施

沖縄電力（株）四国電力送配電（株）

技術的安全管理措置
アクセス制御・再エネ業務管理システムアカウントに係るシステム管理責任者を指定すること 東京電力パワーグリッド（株）とした。

九州電力送配電（株）

しなかったため、法第九州電力送配電（株）

23 条が求める個人デ

沖縄電力（株）ータの安全管理措置

・ＩＤ及びパスワードが付与された従業者のみがアクセス可能となるよう、イン 北陸電力送配電（株）に不備が認められた。

ターネット接続用システムの設定を実施した。
・システム利用者がアカウントの利用の都度、システム管理責任者の承認を得て 中国電力ネットワーク（株）
資源エネルギー庁に利用申請することとした。

四国電力送配電（株）

・ＩＤを付与されたシステム利用者が、当該システムにアクセスする都度、シス 九州電力送配電（株）
テム管理責任者の承認を要する運用（二段階認証）とした。
パスワードの定期的な変更

・システム利用者が、再エネ業務管理システムアカウントのパスワードを定期的 北海道電力ネットワーク（株）に及び人事異動期に、他者に容易に推測できないものに変更することとし、関 東北電力ネットワーク（株）
連ルールを社内で整備した。また、システム管理責任者は、システム利用者の 北陸電力送配電（株）
ＩＤ及びパスワードの利用状況を定期的に確認することとした。

中国電力ネットワーク（株）
九州電力送配電（株）

アクセスログの・システム管理責任者が、再エネ業務管理システムアカウントのアクセスログを 東北電力ネットワーク（株）

解析、利用状況定期的に確認し、利用権限を有する者以外からのアクセスがないかを確認する 北陸電力送配電（株）のモニタリングこととした。

2

九州電力送配電（株）

・再エネ業務管理システムアカウントの日々の利用とＩＤ及びパスワードの取扱 北海道電力ネットワーク（株）
いをシステム管理責任者が定期的に監視することとした。

中部電力パワーグリッド（株）
四国電力送配電（株）
九州電力送配電（株）

組織的安全管理措置
監査

・内部監査体制を強化するため、内部監査のチェック項目に「ＩＤ及びパスワー 東北電力ネットワーク（株）
ドの管理状況、パスワード変更の確認」を追加した。また、再エネ業務管理シ 北陸電力送配電（株）
ステムにおける法令遵守の取組を監査時にヒアリングし、 当該アカウントのパ 関西電力送配電（株）
スワードの定期的な変更を含むＩＤ及びパスワードの管理を確認することとし 中国電力ネットワーク（株）
た。

組織体制の整備

九州電力送配電（株）

・一般送配電事業者は、「三線管理」の観点から、「第一線」（再エネ業務管理シス

東京電力パワーグリッド（株）テム担当部署）の再発防止策の確実な実行、進捗、定着を確認するため、「第二線」（コンプライアンス部門）が担当部署の取組をモニタリングすることとし、「第三線」（監査担当部署）が、「第一線」の取組と「第二線」の監視の有効性を検証し、必要に応じて改善のため助言することとした。
・資源エネルギー庁による再エネ業務管理システムの改修が完了し本格的な運用 四国電力送配電（株）が開始されることに伴い、同システムの新仕様と利用ルールを踏まえ、適切な監査方法を改めて検討した。
個人データの取・システム利用者が取得したＩＤ及びパスワードを他者と共有しないこと、他の 北海道電力ネットワーク（株）扱いに係る規律従業者が当該アカウントにアクセスしないことを徹底し、当該従業者が当該部 東北電力ネットワーク（株）に従った運用

署に在籍時に取得した情報を関係小売電気事業者へ人事異動となった後も保有 中部電力パワーグリッド（株）
及び利用しないよう、持ち出し制限を社内規則に明記したり、持ち出ししてい 北陸電力送配電（株）ない旨の誓約書を提出させたりすることとした。また、転出者のアカウントＩ 九州電力送配電（株）Ｄを停止することとした。

人的安全管理措置・法令遵守や情報の取扱いに関する社内規程やマニュアルの理解を高める定期的 北海道電力ネットワーク（株）
な教育、ＩＤ及びパスワードの適切な管理・使用及び情報セキュリティの重要 北陸電力送配電（株）性を再認識させる教育等を実施した。

3

問題点

該当する事業者指導事項についての改善状況

実施した事業者

関係小一般送配電事業

北海道電力（株）

適正な取得

売電気者に付与された再東北電力（株）

再エネ業務 ・再エネ業務管理システムの利用を禁止する（自社が発電事業者として業務上必要な場合北海道電力（株）

事業者

エネ業務管理シス

東京電力エナジーパートナー（株）

管理システを除く。）旨、全社（委託会社がある場合はこれを含む。
）へ通知するとともに、固定価

東北電力（株）

テムアカウントの中部電力ミライズ（株）

ムアカウン

格買取制度に基づく買取業務を担当する従業者にも、一般送配電事業者に付与された東京電力エナジーパートナー（株）

ＩＤ及びパスワー

北陸電力（株）

トへのアクＩＤ及びパスワード利用してはならないことを確実に認識させ、人事異動の際も新任

中部電力ミライズ（株）

ドを用いて認定事

関西電力（株）セスの禁止者に同様の周知を行うこととした。

北陸電力（株）業者の個人情報を中国電力（株）

関西電力（株）

取得し、自社の業

四国電力（株）中国電力（株）務のために利用し九州電力（株）

四国電力（株）た行為は、再エネ

沖縄電力（株）九州電力（株）特措法第 19 条第１沖縄電力（株）項第１号の趣旨に遵守状況の・他の事業者のＩＤ及びパスワードを利用した個人情報の取得を、不正な取得手段の事例

北海道電力（株）

反し、社会通念上モニタリン

として、個人情報保護に関する社内規程やマニュアルや自己点検表に記載し、「個人情

東北電力（株）適正とは認められグ報の不正な取得をしていないか」、「取得した個人情報の利用目的を明示しているか」を中部電力ミライズ（株）ないため、「適正性定期的に確認することとした。また、適切でない事象があった部署には速やかに改善を北陸電力（株）を欠く」方法によ指示、改善策の内容を確認することとし、必要に応じて該当部署を訪問、所属長や担当関西電力（株）

る個人情報の取得者への聞き取り調査及び執務室の現地調査で、点検結果の有効性を確認することとし

中国電力（株）に該当し、法第 20た。

条第１項（適正な監査及び点取得）の規定に違検の実施反していた。

・「第一線」（各営業部署）にて個人データが適切に取り扱われているか点検し、「第二線」 北陸電力（株）（コンプライアンス部門）にて当該点検状況を把握、必要に応じて是正を指示し、「第三線」（監査部門）にて第二線による定期的な点検を継続的に確認することとした。
・第三線による監査体制を強化し、再発防止策が継続的かつ効果的に実施されているか、 北海道電力（株）
関係小売電気事業者の従業者による再エネ業務管理システムへのアクセスがないかに

東京電力エナジーパートナー（株）

ついて、内部監査により定期的に検証することとした。

中部電力ミライズ（株）
四国電力（株）

教育・研修

・個人情報の取扱いなどに関する従業者への教育・研修として、全管理職と一般送配電事

東京電力エナジーパートナー（株）

業者からの転入者に、改定された「営業活動における行動規範」の精読・実践を要請し、当該規範に違反した場合、就業規則に基づき懲戒対象になり得る旨、注意喚起した。さらに、全従業者に法に関する設問を含む理解度テストを全問正答になるまで進捗管理を行った。
・行為規制や個人情報保護に関する e-ラーニングに一連の不適切事案及び個人情報保護の徹底を追加した。
・階層別教育における個人情報の適正な取得に係る内容を充実・強化し、営業部門の従業者に行為規制及び個人情報保護に係る教育を実施し、ＩＤ及びパスワードの不適切利用事案に関係する営業部門の従業者の意識向上を図った。

4

北陸電力（株）関西電力（株）北陸電力（株）