公表資料

News Release

宮崎県綾町における保有個人情報の取扱いについての個人情報の保護に関する法律に基づく行政上の対応について
令和６年７月３日

個人情報保護委員会は、綾町長に対し、令和６年７月３日に個人情報の保護に関する法律第 157 条に基づく指導等を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）宮崎県綾町における保有個人情報の取扱いについての個人情報の保護に関する法律に基づく行政上の対応について
令和６年７月３日
個人情報保護委員会
個人情報保護委員会（以下「当委員会」という。）は、令和６年７月３日、宮崎県東諸県郡綾町（以下「綾町」という。）における個人情報等の取扱いについて、綾町長に対し、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 157 条の規定による指導等を行った。
１．事案の概要
本件は、綾町町民課税務係（以下「税務係」という。）の職員が税申告相談の予約状況を綾町ホームページに掲載する際、公開する予定ではない住民基本台帳に登録されている保有個人情報を含むエクセルファイル（以下「本件エクセルファイル」という。）を誤って掲載（以下「本件誤掲載」という。）した結果、令和６年１月１日時点の全町民の保有個人情報が漏えいした事案である。
２．漏えいした保有個人情報とその件数
本件により漏えいした保有個人情報（以下「本件保有個人情報」という。）は、氏名、生年月日、住所及び住民コード1であり、本人数は 6,939 人である。このうち 297人については電話番号及び申告予定内容も漏えいした2。また、申告予定内容が漏えいした 297 人のうち２人については、要配慮個人情報が含まれていた。
３．事実関係(1) 事案発生の時系列（令和６年２月以降）
日時

経緯

２月 16 日（金） ホームページの予約状況を更新。
（個人情報の閲覧が可能な状態が発生）
ホームページの予約状況を更新。
（個人情報の閲覧が可能な状態が継続）
２月 26 日（月） ホームページのお問合せフォームから匿名で本件保有個人情報の漏えいを指摘するメールを受信。
上記メールを開封し、内容を確認。本件保有個人情報が記載された本件エクセルファイルをホームページから削除3。
３月４日（月） 当委員会へ漏えい等報告（速報）を提出。
３月 29 日（金） 当委員会へ漏えい等報告（確報）を提出。
２月 29 日（木）

1

住民コードとは、住民票コードではなく、綾町役場のシステム内で付番・使用される町独自の個人識別符号である。
2
なお、綾町のアクセス調査により、職員以外によるアクセスを全 39 件確認している。
3
税務係は、漏えいに関する指摘を認識してから約 10 分で削除を行っている。

1

(2) 本件エクセルファイルの作成過程及び構成について
住民基本台帳に登録されているデータは、町民課町民係（以下「町民係」という。
）の個人番号利用事務系 PC から取得する必要がある。そこで、税務係は、税申告相談の予約を受け付けるためのバックデータを作成するため、住民基本台帳に登録されているデータのうち、使用する項目の抽出を町民係に依頼し、利用許可されたパスワード付き USB で、当該抽出データ（以下「住民基本台帳データ」という。
）を受け取り、LGWAN 接続系 PC にて本件エクセルファイルを作成していた。
本件エクセルファイルは、住民から電話で受け付けている税申告相談の予約状況管理等の目的で使用され、①全日程の予約受付状況一覧シート（以下「シート①」という。）、②受付予約者の情報（氏名、生年月日、住所、申告予定内容等）が管理されるシート（以下「シート②」という。
）、③町民係から受け取った住民基本台帳データを貼付したシート（以下「シート③」という。）等の複数のシートで構成されている。
綾町が、税申告相談の予約状況管理等のため住民基本台帳データを利用した理由
は、町民からの予約電話の受付時に、税務係の職員が町民から電話で聞き取った予約者の氏名及び生年月日から住民コードを特定し、シート②に住民コードを入力することで、シート③に記録されている氏名、生年月日、住所等が自動で反映され、予約者情報と予約日時の確認書送付を容易に管理できるとともに、随時更新であるシート①にも連動する仕様としているためである。
(3) 税申告相談の予約受付及び予約状況のホームページ掲載について
綾町では、綾町のホームページに掲載する情報として、以下のように三つの掲載場所を設定し、該当するデータを PDF に変換して掲載していた。
掲載場所

内容

ア

「税申告相談日程表」…申告相談ができる日時と場所を示した表。

イ「相談予約受付日表」…地区ごとに電話予約できる日時が定められており、その日時を示した表。

ウ「相談予約状況表」…前記３(2)のシート①。

このうち、アとイの掲載場所に掲載する情報については、申告相談の日程表と電話予約が可能な日時を示したものである。したがって、初日である令和６年２月１日にホームページ掲載した後は、内容に変更はなく、最終日まで更新する必要はな
いものである。
他方、ウの掲載場所については、電話で受け付ける税申告相談の予約状況を反映したシート①の最新データを掲載し、随時更新していく予定であった。
綾町では、通常、職員 A がシート①の最新データをホームページに掲載する作業を担当していた。しかしながら、本件誤掲載が発生した令和６年２月 16 日は、職員 A が作業を行えない状況であったため、代わりに、普段当該作業を担当していな

2

い職員 B が臨時で作業を行ったところ、イの掲載場所に本件エクセルファイルを掲載し、保有個人情報の漏えいが生じたものである。
４．個人情報保護法上の問題点
個人情報保護法第 66 条第１項は、「行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。」と規定している。しかしながら、綾町では、個人情報等の取扱いについて、以下の問題点が認められた。
(1) ウェブサイトへの誤掲載を防止するための措置の不徹底
個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）（以下「事務対応ガイド」という。）において、職員は、保有個人情報を含む電磁的記録又は媒体の誤送信・誤送付、誤交付、又はウェブサイト等への誤掲載を防止するため、個別の事務・事業において取り扱う個人情報の秘匿性等その内容に応じ、複数の職員による確認やチェックリストの活用等の必要な措置を講ずることとされている(事務対応ガイド 4-8-5(7)誤送付等の防止)。
この点、綾町では、相談予約状況表の更新すなわちシート①のホームページ掲載について、１人の担当者である職員 A のみが詳細な掲載手順を把握しており、組織として定められた手順書は存在しなかった。そのため、令和６年２月 16 日に臨時で予約状況を更新する作業を担当した職員 B は、手順書に従って作業を行うのではなく、同月１日から 14 日まで当該作業を行っていた職員 A から口頭で簡単な引継ぎを受け、それを基に作業を行った。
また、ホームページ掲載の最終決裁者である町民課長は、前記３(3)ウの掲載場所に相談予約状況表が正しく掲載されているかの確認のみを行い、ア及びイの掲載場所については、もともと更新の必要がない場所であったため、確認を行っていなかった。
さらに、その後外部からの通報により綾町が本件を認識するまでの間、職員 A による相談予約状況表の更新の機会があり、町民課長による掲載確認も行われていたが、本件誤掲載に気付くことができなかった。
綾町においては、ホームページ掲載が予定されているシート①と全町民の保有個人情報が含まれるシート③を、同一のファイルで管理していたものであるから、シート①を PDF に変換する手作業を経てホームページに掲載を行うことについて、同一ファイルで管理する点についてのリスクを適切に把握し、そのリスクに応じた複数の職員による確認やチェックリストの活用等により誤掲載を防止するために必要な措置をとるべきであった。それにもかかわらず、綾町においては、ホームペー
ジ掲載作業時及び掲載後の確認の段階において、そのような措置を行っていなかった。

3

以上のとおり、綾町においては、全町民分の住民基本台帳データを使用して作成するファイルのホームページ掲載について、手順書もないまま、口頭の引継ぎのみで臨時で担当する職員に作業を行わせ、また、その後の確認も不十分であったものであり、事務対応ガイド 4-8-5(7)に規定されるウェブサイト等への誤掲載を防止するための措置に不備が認められる。
(2) 安全管理措置を講ずる組織体制の整備に関する問題点
綾町では、前記(1)のとおり、ホームページの確認不足により令和６年２月 16 日から同月 29 日まで 14 日間、本件誤掲載の状態に気付くことができず、また、ホームページのお問合せフォームに匿名で本件保有個人情報の漏えいを指摘するメールを同月 26 日に受信してからも、３日間漏えい発生の事実を認識できなかったた
め、対応が遅れ、本件保有個人情報が記載された本件エクセルファイルをホームページから削除するまで時間を要することとなった。
したがって、綾町においては、保有個人情報の安全管理措置を講ずる組織体制の整備に問題があったものと認められる。
５. 個人情報保護法第 157 条の規定による指導及び第 156 条の規定による資料提出等の求めの内容(1) 前記４の問題点を踏まえ、ホームページへの誤掲載を防止するための措置及び安全管理措置を講ずるための組織体制の整備について対策を講ずるとともに、個人情報保護法第 66 条第１項、個人情報の保護に関する法律についてのガイドライン（行政機関等編）及び事務対応ガイドに基づき、必要かつ適切な措置を講ずること。
(2) 既に策定した事務処理手順の見直しなどの再発防止策を確実に実施するとともに、爾後、適切に運用し、継続的に保有個人情報の漏えい等の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講ずること。
(3) 再発防止策の実施状況について、関係資料を提出の上、令和６年９月 30 日（月）までに説明するよう求める。
以 上4