日時：令和６年６月５日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第288回個人情報保護委員会を開催いたします。

本日の議題は二つです。
議題１「株式会社NTTドコモ及び株式会社NTTネクシアにおける再発防止策の実施状況について」、事務局から説明をお願いします。
（内容について一部非公表）○事務局

資料１に沿って説明させていただきます。

個人情報保護委員会は、株式会社NTTドコモ（以下「ドコモ社」という。）における顧客情報の流出事案に関して、ドコモ社及び同社の個人データの取扱いの委託先である株式会
社NTTネクシア（以下「ネクシア社」という。）に対し、令和６年２月15日に指導を行い、３月15日までに再発防止策の実施状況について報告するよう求めておりました。下の表に沿ってそれぞれの再発防止策の実施状況を説明させていただきます。
まず、ドコモ社の再発防止策の実施状況です。
一つ目、物理的安全管理措置の指導に対しては、個人データを取り扱う区域の管理ということで、令和５年５月に、専用PCを配備し、専用PCはパーティションで区切られた専用エリア内でのみ利用可能とする措置をとっております。さらに、同月に生体認証を導入し、措置を講じているところです。
加えまして、専用PC及び専用エリアの利用に関する運用については、月に１度、事前申請の内容と専用PCのアクセスログ及び専用エリアの入退室ログとの突合を行い、不正利用防止の対策を講じているところです。
続きまして、二つ目、技術的安全管理措置の指導に対する再発防止策の実施状況です。
インターネットアクセスの制御見直しということで、令和５年４月に、外部インターネットへのアクセス制御をブラックリスト方式からホワイトリスト方式に変更しまして、管理者による承認の下でホワイトリストへの追加を行い、アクセス制御の状況について管理簿にて適切な管理が行われているか確認を継続しております。
顧客情報の暗号化ということで、令和５年９月に、個人データの暗号化対策を完了しております。
1

個人データの外部送信手段の制限ということで、令和５年５月に、個人データの受渡しを行う場合には、管理者立会いの下、専用HDD等の環境のみとするよう、手段を制限して行っているところです。
三つ目の組織的安全管理措置の指導に対する再発防止策の実施状況です。ルールの周知徹底ということで、令和５年４月に、個人情報取扱いルールの再周知を実施しまして、従業者に対する研修を実施しております。
また、点検・監査という観点で、令和５年７月に、個人データの取扱いのある全部署及び全委託先に対して自己点検を行わせた上で情報セキュリティ部による確認を行っております。
組織体制の強化として、令和５年11月より、情報セキュリティマネジメント検討会を設置しまして、主管部署一任とせず、役員を交えて不適合事項に対する対策の進捗や取組状況を確認する体制としております。
最後に、委託先の監督の指導に対する再発防止策の実施状況です。全てのPCの総点検ということで、令和５年５月から６月にかけて、個人データを取り扱う全てのPCにおいて、PC上に個人データが残存していないかの総点検を実施しました。さらに、委託先への実地監査ということで、令和５年６月に、個人データを取り扱う業務を委託している委託先企業に対して、抜き打ちにて、実地で監査をしているところです。
今後の導入予定となりますが、貸与PCのチェック機能の導入ということで、令和６年８月に、ドコモ社が委託先へ貸与するPCに対しまして、遠隔監視をする機能を導入する予定であるということで報告を受けております。
続けて、ネクシア社の再発防止策の実施状況です。
一つ目、組織的安全管理措置の指導に対する再発防止策の実施状況ですが、組織体制の整備としまして、令和６年１月に、リスクマネジメント室を新設し、内部監査室を社長直結組織に変更しております。
また、グループ会社での監査ということで、親会社であるNTT東日本と連携し、現場調査を実施しております。
内部監査の強化ということで、令和５年11月より、年に１回実施する内部監査において、私的なインターネット接続、USBメモリの使用禁止、外部ストレージへの不正持ち出し防止対策等の内部監査を実施しているところです。
二つ目の人的安全管理措置の指導に対する再発防止策の実施状況です。組織トップからのメッセージ発信ということで、令和５年７月と11月に、ネクシア社社長から全従業者に対しメッセージを発信しております。
教育研修の充実ということで、令和５年８月に、緊急情報セキュリティ研修を実施し、さらに、令和６年３月に、カリキュラムを充実させた研修を実施し、研修後の理解度テストを実施しているところです。
コンプライアンスチェックの徹底ということで、令和６年２月以降、新規採用者にコン2

プライアンス遵守に関する確認書の提出を求め、一定数以上の顧客情報を取り扱う従業者には、年に１回、同確認書の提出を求め、必要に応じて面談を実施しております。
その他としまして、当委員会からの指導事項に直接対応するものではありませんが、情報システムの使用に伴う漏えい等の防止ということで、業務に関係のないインターネット接続制限としてUTM機器を設置し、私的なインターネット接続を行えない環境を構築済みであることを確認しております。
以上から、今般、ドコモ社及びネクシア社から報告を受けた再発防止策の実施状況に関して、現時点において一定の取組が認められるものであったと考えております。当委員会としては、今後も、再発防止策が確実に実施されることを引き続き注視していきたいと考えております。
なお、本事案に関しては社会的な影響等も鑑みて資料１の範囲で公表することを事務局としては考えております。
説明は以上です。
○藤原委員長ありがとうございました。

それでは、ただいまの説明について御質問、御意見をお願いいたします。
清水委員、どうぞ。
○清水委員

御説明ありがとうございました。

本件は、旧ぷらら社のシステムの基準不適合事項に適用されるべき追加的運用ルールが適切に運用されていなかったことによって、顧客情報がインターネット経由で外部に漏えいした事案だと理解しております。
これに対する措置として、１ページに、当該ぷらら社系のシステム対象と推察されます
けれども、専用PCを外部インターネットから分離して、個人データ受渡しの場合は、管理者立会いの下、専用HDD等の環境のみとする手段の制限を行っているということです。このような取扱いが継続されるのか、あるいは、２ページにあるような、他のインターネット接続が可能な委託先と同様の扱いにいずれかの時点で移行するのか明確ではありません。
いずれにしましても、２ページに記載されているように、貸与PCに係るチェック機能の導入が８月までに予定されているということですので、今回の問題の原因となったシステムについて最終的にどのような対応がなされるのか、注視すべきと考えます。
以上です。
○藤原委員長○事務局

ありがとうございました。

承知しました。

○藤原委員長よろしくお願いいたします。

ほかにはいかがでしょうか。よろしいですか。
それでは、修正の御意見は特にないようでございますので、原案のとおり決定したいと思いますが、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うこととします。
3

事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題は事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を、準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
それでは、次の議題に移りたいと思います。
議題２「監視・監督について」、事務局から説明をお願いいたします。
（内容について非公表）
本日の議題は以上でございます。
それでは、本日の会議は閉会といたします。

4