公表資料

News Release

BIPROGY 株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について
令 和 ４ 年 ９ 月 21 日

個人情報保護委員会は、BIPROGY 株式会社に対し、本日、個人情報の保護に関する法律第 144 条の規定に基づく指導を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）BIPROGY 株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について

令和４年９月 21 日
個人情報保護委員会

個人情報保護委員会は、BIPROGY 株式会社に対し、個人情報の保護に関する法律（以下「個人情報保護法」という。）第 143 条第１項の規定に基づく立入検査等の調査を実施した結果を踏まえ、令和４年９月 21 日に、個人情報保護法第 144条の規定に基づく指導を行った。
個人情報保護法上の指導の原因となる事実及び指導の内容は以下のとおり。
１．指導の原因となる事実(1) BIPROGY 株式会社は、多くの行政機関・地方公共団体・民間企業からシステム開発・保守業務の委託を受ける IT サービス事業者であり、尼崎市から臨時特別給付金支給事務を受託していた（以下、「本件業務」という。）。当該事務は、生活・暮らしの困難に直面している住民に対して速やかに金銭的支援を行う重要な事務であり、かかる事務が適切に遂行されることに対する住民の期待は大きい。他方、本件業務において同社が取り扱う個人データは、尼崎市全住民の住民基本台帳上の情報が含まれる多量の個人データであり、給付該当審査のための障害有無等の要配慮個人情報や、給付金支給のための口座番号等が含まれているため、当該個人データの量及び性質からすると、漏えい等が発生した場合のリスクは特に高く、本人が被る権利利益の侵害の程度が大きいものである。
このように、重要な事務に関連して多量かつ機微性の高い個人データを恒常的に取り扱うという BIPROGY 株式会社の事業の性質を踏まえると、同社においては、個人データの取扱いに関して個人情報保護法を厳に遵守すること、とりわけ、高い水準の安全管理措置等を講じることが求められる。
また、尼崎市の情報システムにおいては、個人データが分離された複数のネットワーク環境で管理されているところ、システム間のデータ持ち運びを USBメモリ等の電子媒体に頼らざるを得ない業務が多く存在することからすれば、当該媒体等を紛失等した場合の影響は大きいものとなる。

(2) しかしながら、本件業務に関し、BIPROGY 株式会社の個人データの取扱い実態及び再委託先等（BIPROGY 株式会社の委託先及び再委託先をいう。以下同じ。）における個人データの取扱状況の把握実態について調査したところ、「個人情報の保護に関する法律についてのガイドライン（通則編）」記載の個人情報保護法第 23 条に定める安全管理措置及び個人情報保護法第 25 条に定める委託先の監督について、以下の問題点が認められた。
① BIPROGY 株式会社では、個人データの取扱いに係る規律自体は存在していたものの、同規律に従った運用を確保するための組織的安全管理措置が適切に講じられておらず、本件業務に携わった同社の従業者等が、同規律に反して、セキュリティ部門等に許可を得ずに USB メモリに個人データを保存し、当該 USB メモリを施錠機能のないかばんに入れて管理区域外に搬送し、利用目的を果たした後も当該 USB メモリ内の個人データを消去しないまま、当該 USB メモリを所定の保管場所に戻さず持参した状態にて飲食を行い、その結果、個人データが保存された当該 USB メモリを紛失するに至ったものである。
② ①の事態を招いた原因として、そもそも BIPROGY 株式会社では、本件業務に関し、プロジェクト工程における情報システム間の個人データの移行等の尼崎市から委託された個人データの取扱い上のリスクについて、その影響、対処可否、ネットワーク制約等により残存するリスクがある場合の許容可否といった事項を、組織的に分析し承認するといったリスクに応じて必要かつ適切な措置を検討するための体制がなく、前記した事項を現場担当者のみで判断することが実態となっており、適切な安全管理措置を講ずるための組織体制が整備されていなかった。
③ BIPROGY 株式会社では、個人データを取り扱う区域に対する入退室管理、個人データを保存する電子媒体に対して盗難等を防止するため施錠できるキャビネット等に保管する等の措置、個人データへの不要なアクセスを防ぐためのアクセス制御等の措置といった物理的・技術的安全管理措置が適切に講じられていなかった。
④ 本件業務では、BIPROGY 株式会社の従業者であるプロジェクト責任者の指示の下で、再委託先等の従業者が実業務を担っていたところ、USB メモリを用いた拠点間の個人データ運搬作業を含む個人データの取扱いについて、前記プロジェクト責任者は、具体的な手順や講ずべき安全管理措置に関して何ら指示することなく、再委託先等の従業者らに一任し、その検討結果の確認も行わず、また、再委託先等に対し実際の個人データの取扱いについて報告を求め又は指示を行うことをしないなど、個人データの取扱状況を把握しておらず、再委託先等の監督を適切に行っていなかった。

２．個人情報保護法第 144 条の規定に基づく指導の内容(1) 組織的安全管理措置
BIPROGY 株式会社では、網羅的にリスクに応じて必要かつ適切な措置を検討し承認するといった適切な安全管理措置を講ずるための組織体制が整備されておらず（上記１(2)②）、また、本件業務において個人データの取扱いに係る規律に従った運用が確保されていなかったこと（上記１(2)①）を踏まえ、同社が個人データの取扱いの委託を受けている全ての事業において、網羅的にリスクに応じて必要かつ適切な措置を検討し承認するといった適切な安全管理措置を講じるための組織体制を整備し、同社の管理規程及び委託元と取り決めた管理規程等個人データの取扱いに係る規律の遵守状況を確認し、必要に応じてそれらの規律又は管理体制を見直すこと。
(2) 物理的・技術的安全管理措置
BIPROGY 株式会社は、物理的・技術的安全管理措置（上記１(2)③）に関し、既に策定された再発防止策を確実に実施すること。
(3) 委託先の監督
BIPROGY 株式会社では、再委託先等に対し実際の個人データの取扱状況について報告を求め又は指示を行うといった個人データの取扱状況の把握のために必要な措置を行っていなかった点（上記１(2)④）を踏まえ、今後、同社が再委託先等に個人データの取扱いを委託する場合には、安全管理措置及び個人データの取扱いに係る規律の意識及び知見を持った責任者が再委託先等における個人データの取扱状況を適切に把握できるよう、モニタリング機能の強化を図ること。
３．その他
本件では、BIPROGY 株式会社において、同社の規律・組織体制を見直すことで同社内及び同社が委託した業務における前記問題点を改善することが直接的な対処としては必須であるが、それに加え、同社の委託元及び再委託先等を含めた関係者全体が個人情報の適正な取扱いを図ることが可能な状態を醸成することが、抜本的な問題解決に向けて重要である。この点に関して、今後公表予定とされる尼崎市等での調査結果を十分に踏まえて、今後も、当委員会の追加対応の要否を継続検討することとしたい。
現在、地方公共団体については、各地方公共団体における個人情報保護条例等が適用されているが、令和５年４月に改正個人情報保護法が全面施行された後は、尼崎市を含む地方公共団体における個人情報の取扱いについては、個人情報保護法の規律が適用され、当委員会が監視・監督を行うことから、各地方公共団体においても本件を踏まえた個人情報の適正な取扱いを確保することが重要である。
以 上