資料３
公表資料
一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について

令和６年６月●●日
個人情報保護委員会

本件は、一般送配電事業者1及びそのグループ会社である電力の小売を行う事業者（以下「関係小売電気事業者」という。）等における顧客情報の不適切な取扱い（以下「不適切事象」という。
）に関する事案である。

１．東京電力パワーグリッド株式会社、東京電力エナジーパートナー株式会社、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社における不適切事象(1)事実関係
個人情報保護委員会（以下「当委員会」という。
）は、東京電力パワーグリッド株式会社、東京電力エナジーパートナー株式会社、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社（以下「東京電力グループ４社」という。
）において、以下の２つのシステムに係る不適切事象の発生に伴い、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）に対する違反の有無を検討した。
ア

接点情報システム
システムの機能不適切事象

東京電力エナジーパートナー株式会

当該システムのアクセス権限が東京電力パワ社及び東京電力パワーグリッド株式

ーグリッド株式会社の親会社である東京電力会社が顧客と接点を有する業務におホールディングス株式会社及び当該親会社のける顧客情報や顧客との接触に関す子会社である東京電力リニューアブルパワーる情報を集約。

株式会社に誤って設定され、当該システム上の管理及び運営：東京電力エナジーパー

東京電力パワーグリッド株式会社及び東京電トナー株式会社

力エナジーパートナー株式会社の顧客の個人

共同利用：東京電力パワーグリッド株

データを、東京電力ホールディングス株式会社

式会社

及び東京電力リニューアブルパワー株式会社
から閲覧できる状態となっていた。

1

電気事業法（昭和 39 年法律第 170 号）に基づき経済産業大臣より国内の電力供給地域への送配電事業の営業に関する許可を受けている者。

１

イ

要請応対システム
システムの機能不適切事象

東京電力エナジーパートナー株

東京電力エナジーパートナー株式会社には「顧客検式会社及び東京電力パワーグリ索機能」における自社の顧客情報及び「要請事項とッド株式会社 が顧 客からの意対応結果の登録機能」へのアクセス権限のみが設定

見・要望、対応状況や結果を共されているはずであったが、「顧客検索機能」におけ有。
「顧客検索機能」と「要請事 る東京電力パワーグリッド株式会社の顧客情報へ項と対応結果の登録機能」からのアクセス権限も誤って設定されたままになって構成。

いた。また、本来、当該システムを利用しないはず管理及び運営：東京電力エナジの東京電力ホールディングス株式会社及び東京電ーパートナー株式会社

力リニューアブルパワー株式会社にも両機能への共同利用：東京電力パワーグリ

アクセス権限が誤って設定されたままになっていッド株式会社

た。

(2)不適切事象の概要
ア

不適切事象の原因
不適切事象の根本的原因は、旧東京電力株式会社の分社化（東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社の設立（平成 27 年４月）並びに持株会社制度の導入に伴う旧東京電力株式会社によるこれら両会社への会社分割（事業承継）及び旧東京電力株式会社の東京電力ホールディングス株式会社への商号変更（平成 28 年４月））の際、東京電力ホールディングス株式会社の接点情報システム及び要請応対システムへのアクセス権限並びに東京電力エナジーパートナー株式会社の要請応対システムの「顧客検索機能」における東京電力パワーグリッド株式会社の顧客情報へのアクセス権限を、それぞれ適切に制御できていなかったことである。
東京電力ホールディングス株式会社及び同社を親会社として令和元年 10 月に設立された東京電力リニューアブルパワー株式会社による接点情報システム及び要請応対システムへのアクセスを制御する必要性についても、認識が不足していた。
その後、電気事業法に基づく送配電部門の分社化（いわゆる法的分離2）が実施された令和２年４月、さらに、東京電力パワーグリッド株式会社がシステムの総点検を自2

電気事業法の改正により、発電及び小売部門と送配電部門を同一の会社で業務を運営することが禁止された。

２

主的に実施した令和３年のいずれの時点においても、不備が是正されることはなかった。
イ

東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社における内部監査の不実施
加えて、接点情報システム及び要請応対システムを管理及び運営する東京電力エナジーパートナー株式会社並びに当該システムを共同利用していた東京電力パワーグリッド株式会社は、令和５年の一般送配電事業者における一連の顧客情報の漏えい事案の発生を踏まえ、令和５年度内に、「非公開情報の管理の用に供するシステム」に対してアクセス権限等の確認を実施することとしていたが、本件不適切事象が発覚する令和６年１月まで、接点情報システム及び要請応対システムに対する内部監査を実施していなかった。
ウ

不適切事象に対する各社の認識等
東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社においては、本件不適切事象の発覚前、接点情報システム及び要請応対システムにおいて東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社が顧客情報を閲覧することが可能であり、一部の従業者が当該顧客情報の漏えい又はそのおそれがあることを認識していたにもかかわらず、これを是正することができなかった。
他方、接点情報システム及び要請応対システムにおいて顧客の個人データを実際に閲覧していた東京電力ホールディングス株式会社では、平成 28 年の分社化に伴い、東京電力グループ会社間で、非公開情報の共有を制限する方針を定めており、その際に所要のアクセス制限がなされたものと誤認していた。また、東京電力リニューアブルパワー株式会社においても、接点情報システム及び要請応対システムで顧客の個人データを閲覧することが可能であったこと及び実際に閲覧していたことを一部の従業者が認識していたが、大半の従業者はそのような認識がなかった。さらに、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社の従業者の中には、システム画面上表示されていた顧客の個人データを、業務上の目的及び業務外の目的のため利用していた者がいた。
なお、東京電力エナジーパートナー株式会社が「顧客検索機能」を利用した際に、関係小売電気事業者以外の小売電気事業者（新電力事業者）と契約する電気需要家庭（以下「新電力顧客」という。
）の氏名と住所等が表示されることがあったが、当該情報だ
けでは、当該顧客が新電力顧客であるか否かの判別はできなかった。

３

(3)個人情報保護法上の問題点
ア

個人情報の適正な取得（個人情報保護法第 20 条第１項）
東京電力ホールディングス株式会社が接点情報システム及び要請応対システムにおいて東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社の顧客の個人データを閲覧及び利用していた行為は、当該個人データを営業活動に利用するために行われたものとは認められなかったものの、一部の従業者が能動的に当該個人データを閲覧しており、不適切であった、と経済産業省電気・ガス取引監視等委員会（以下「電取委」という。
）が認めている。
また、東京電力リニューアブルパワー株式会社が接点情報システム及び要請応対システムにおいて東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株
式会社の顧客の個人データを閲覧及び利用していた行為は、水力発電所の水利関係業
務や用地関係業務に関連する地権者の連絡先等を確認するなど発電事業の業務において当該個人データを利用するために行われたものであり、電気事業法の行為規制の趣旨からすると不適切であった、と電取委が認めている。
さらに、東京電力パワーグリッド株式会社による電気事業法上の体制整備義務（電気事業法第 23 条の４第１項）への違反行為及び送配電業務に係る差別的取扱の禁止（電気事業法第 23 条第１項第２号）への違反行為があり、これらが東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社による東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社の顧客の個人データの閲覧及び利用の元となった、と電取委が認めている。
東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社は、これらの電気事業法の規律と趣旨を知り又は容易に知ることができる立場にあったことを鑑みると、当該２社による東京電力パワーグリッド株式会社及び東京電力エナジーパートナー株式会社の顧客の個人データの閲覧及び利用は、社会通念上適正とは認められない行為といえ、「適正性を欠く」個人情報の取得行為であると認められ、「偽りその他不正の手段」による個人情報の取得に該当する。
したがって、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社による接点情報システム及び要請応対システムにおける顧客の個人データの取得は、個人情報保護法第 20 条第１項の規定に違反する。
他方、東京電力エナジーパートナー株式会社が要請応対システムの「顧客検索機能」を用いて東京電力パワーグリッド株式会社の顧客の個人データを取得した行為は、東４京電力エナジーパートナー株式会社が自社の業務に係る依頼事項を受けたことに伴い、自社の顧客の契約情報を検索しようとする際に東京電力パワーグリッド株式会社の顧客情報を偶発的に閲覧してしまうものであり、東京電力パワーグリッド株式会社の顧客情報を自社の業務や業務外の目的に利用することを意図したものではないことから、電取委は、不適切と認められる情報の閲覧があったとは認められないとしている。このような事情を考慮すると、社会通念上、不適正とは認められないため、「適正性を欠く」取得には該当しない。
イ

安全管理措置（個人情報保護法第 23 条）（ア）技術的安全管理措置
以下の点について、アクセス制御に問題点が認められる。
①

東京電力パワーグリッド株式会社は、接点情報システム及び要請応対システ

ムについて、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社がアクセスできないように適切なアクセス制御を実施できていなかった。
②

東京電力パワーグリッド株式会社は、要請応対システムの「顧客検索機能」について、東京電力エナジーパートナー株式会社が自社の顧客情報以外にアクセスできないよう適切なアクセス制御を実施できていなかった。
（イ）組織的安全管理措置
東京電力パワーグリッド株式会社においては、接点情報システム及び要請応対シ
ステムに関する個人データの取扱状況について、定期的な点検や内部監査を実施していなかったため、組織的安全管理措置に不備が認められる。
（ウ）人的安全管理措置
東京電力パワーグリッド株式会社においては、従業者に対し、一般的な内容の研修を行うにとどまっていた。同社の従業者の中には、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社がアクセス可能な状態となっていることを知りながら、適切な対応を講じなかった従業者も存在したことからすると、個人データの適正な取扱いの重要性に関する認識を醸成するには不十分なものであり、人的安全管理措置に不備が認められる。
なお、東京電力エナジーパートナー株式会社の顧客の個人データには、電気事業法上の非公開情報は含まれていない。また、本事象において電取委から顧客の個人データの情報管理について電気事業法への違反行為を特段指摘されていない。これらの事

５

情を考慮すると、東京電力エナジーパートナー株式会社の個人データの取扱いについて、個人情報保護法上の安全管理措置の不備を指摘するほどの問題点があったとは認められない。

２．全社的総点検の追加結果等
当委員会による個人情報保護法第 147 条の規定による一般送配電事業者及び関係小売電気事業者に対する令和５年６月 29 日の指導（以下「令和５年指導」という。
）に基づく全社的総点検の一環として、下表の不適切事象Ａ及びＢが当委員会に報告された。さらに、全社的総点検後に新たに発覚した顧客の個人データの不適切な取扱いとして、下表の不適切事象Ｃが当委員会に報告された。当委員会は、これらの事象について個人情報保護法違反の有無を検討した。

ＡＢＣ

事象

検討結果

業務システム、情報共有基盤及びその当該事象の根本的原因である情報遮断措

他のシステムにおける個人データの置の不備は、電力小売の全面自由化時であ取扱いに関する追加的調査の結果にる平成 28 年４月又は一般送配電事業と関より発覚した事象（関西電力株式会係小売電気事業の分社時である令和２年社）４月に発生しており、当該時期は、令和５

各種システムの追加的調査により発年指導の対象期間内であり、また、当該不覚した事象（中国電力ネットワーク株

備については所要の改善措置が既になさ式会社）れている。

集合住宅等の空室への入居に伴い電当該システムにおいて漏えい等又はその気供給の再開の申込みを処理するた

おそれが生じた個人データは限定的であめのシステムにおいて生じた不適切ることから、本人の権利利益を侵害する度な事象（中部電力パワーグリッド株式合いは比較的小さい。また、当該事象は、会社）特殊な状況下においてのみマスキングが外れる不具合であり、令和５年指導を踏まえて実施された総点検の手法や実効性に問題があったとは認められない。

３．対応方針(1)東京電力グループ４社における不適切事象

６東京電力グループ４社において判明した事象では、東京電力パワーグリッド株式会社、東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社の３社について、個人情報保護法の規定違反が認められたことから、同法第 147 条の規定による指導を行う。
＜指導の概要＞・東京電力パワーグリッド株式会社においては、前記の問題点を踏まえ、確実な対策を講ずるとともに、個人情報保護法第 23 条及び個人情報の保護に関する法律に関するガイドライン（通則編）に基づき、必要かつ適切な措置を講ずること。
・東京電力ホールディングス株式会社及び東京電力リニューアブルパワー株式会社においては、前記の問題点を踏まえ、確実な対策を講ずるとともに、個人情報保護法第 20条第１項及び前記ガイドラインに基づき、必要かつ適切な措置を講ずること。
・今般の事案を踏まえ、個人情報の適正な取扱いについて、全社的に総点検を実施し、必要に応じて改善策を講ずること。
東京電力エナジーパートナー株式会社については、個人情報保護法上の安全管理措置の不備を指摘するほどの問題点があったとは認められないことから、指導を行わない。

(2)全社的総点検の追加結果等
上記２．の事象Ａ及びＢについては、いずれも電力小売の全面自由化時である平成 28
年４月又は一般送配電事業と関係小売電気事業の分社化時である令和２年４月に向けた対応を行った際に発生した不備であり、当該時期は令和５年指導の対象期間内であること、かつ当該不備については、所要の改善措置が既になされており、一定の取組が認められることから、今回重ねての指導は行わない。
上記２．の事象Ｃについては、漏えい等又はそのおそれが生じた個人データは限定的であり、当該個人データの本人の権利利益を侵害する度合いは比較的小さいこと、また、当該事象は特殊な状況下においてのみマスキングが外れる不具合であることを踏まえ、当委員会は、当該事象についての指導を行わない。
当委員会は、今後も引き続き再発防止のための措置の実施状況を注視していく。

以７上