資料１

改正個人情報保護法の施行状況について②

令和５年10月18日
個人情報保護委員会事務局

個人情報取扱事業者等に対する監督の状況（令和４年度）
対応事項
漏えい等事案に関する報告件数（令和４年度）
7,685件（内訳）
委員会直接受付分：4,217件（うち域外適用分：８件）
委任先省庁経由分：3,468件〔参考〕任意の報告等：837件（※１）

報告徴収

176件
（内訳）
委員会実施分：81件
委任先省庁実施分：95件（※２）

立入検査

26件（※３）（内訳）
委員会実施分：１件
委任先省庁実施分：25件（※４）

指導及び助言115件（うち域外適用分：０件）

勧告

１件

命令１件

（※１）法令上報告が義務付けられていないものの任意に報告がなされたものや、速報提出後に法令上の報告義務対象ではないことが明らかになったもの等を計上しており、「7,685件」の外数である。
（※２）委任先省庁実施分は、業法に基づく計画検査等と合わせて実施されたものである。
（※３）立入検査の件数は、立入検査開始日を基準として計上している。
（※４）委任先省庁実施分は、業法に基づく定期検査と合わせて実施されたものである。

1行政機関等に対する監視の状況
従来の行政機関個人情報保護法においては、独立した監視機関は存在しなかったが、令和３年改正法による官民一元化に伴い、令和４年度から、個人情報保護委員会が第三者機関として行政機関等を監視することとなった（地方公共団体については令和５年度から）。

対応事項
漏えい等事案に関する報告件数（令和４年度）
114件〔参考〕任意の報告等：50件（※１）

資料提出の求め20件（※２）

実地調査

26件（※３）

指導及び助言24件（※２）

勧告

０件

勧告に基づいてとった措置についての報告の要求

０件（※１）法令上報告が義務付けられていないものの任意に報告がなされたものや、速報提出後に法令上の報告義務対象ではないことが明らかになったもの等を計上しており、「114件」の外数である。
（※２）資料提出の求め並びに指導及び助言の実施件数は、計画的に行われた実地調査に伴うものも含み、計画的に行われた実地調査に伴うものについては当該実地調査の開始日を基準として計上している。
（※３）実地調査の件数は、計画的に行われたものを含み、実地調査開始日を基準として計上している。

2個人情報取扱事業者等に係る漏えい等報告の件数の推移
令和２年改正法の施行により、令和４年度から漏えい等報告が義務化されたこともあり、漏えい等報告の件数は増加している。同一の事業者において繰り返し漏えい等が発生している事例も存在する。

令和元年度

令和２年度

令和３年度

令和４年度

4,520件

4,141件5,846件

7,685件（内訳）
委員会直接受付分：
1,066件（内訳）
委員会直接受付分：
1,027件（内訳）
委員会直接受付分：
1,042件（内訳）
委員会直接受付分：
4,217件（うち域外適用分：13件）（うち域外適用分：８件）（うち域外適用分：５件）（うち域外適用分：８件）委任先省庁経由分：
1,519 件

委任先省庁経由分：
1,122件

委任先省庁経由分：
2,386件

委任先省庁経由分：
3,468件認定団体経由分：
1,935 件認定団体経由分：
1,992件認定団体経由分：
2,418件（※）（※）令和２年改正法が令和４年４月１日に施行されたことに伴い、認定団体を経由した漏えい等事案の報告制度は廃止された。

3

漏えい等事案の状況①：漏えい等した人数
漏えい等した人数は多くの事案において1,000人以下であるものの、50,000人超という非常に大規模な個人の権利利益の侵害に繋がるケースも存在する。
（令和４年度）

件数
（割合）

個人情報取
扱事業者等

漏えい等した人数
1,000人以下

1,001～ 10,001～ 50,001人
10,000人 50,000人
以上

不明

7,685件（100％）

7,206件（93.8％）

245件（3.2％）

56件（0.7％）

42件（0.5％）

136件（1.8％）

行政機関等

114件（100％）

109件（95.6％）

５件（4.4％）

０件（0.0％）

０件（0.0％）

０件（0.0％）

計7,799件（100％）

7,315件（93.8％）

250件（3.2％）

56件（0.7％）

42件（0.5％）

136件（1.7％）（注１）漏えい等事案には、「漏えい」のほか、「滅失」、「毀損」の事案及びこれらのおそれがある場合を含む。
（注２）「漏えい等した人数」とは、漏えい等した個人情報によって識別される特定の本人の数であり、人数が確定できない
場合は、漏えい等した可能性のある本人を含む最大人数として報告を受けている。

4

漏えい等事案の状況②：漏えい等した情報の種類
漏えい等した情報は、個人情報取扱事業者等であれば顧客情報、行政機関等であれば国民等の情報が多くなっている。
（令和４年度）

件数（割合）

漏えい等した情報の種類
顧客情報

個人情報取
扱事業者等

うち基本情報のみ

4,217件（100％）

89件（2.1％）

うち基本情報のみ

3,540件（83.9％）

74件（1.8％）

国民等の情報うち基本情報のみ

行政機関等
114件
（100％）

４件（3.5％）

従業員情報４件（3.5％）

うち基本情報のみ

うち基本情報のみ

369件（8.8％）

８件（0.2％）

職員情報

うち基本情報のみ

99件（86.8％）

その他の情報595件（14.1％）

その他の情報うち基本情報のみ

うち基本情報のみ

12件（10.5％）

０件（0.0％）

13件（0.3％）

10件（8.8％）

０件（0.0％）（注１）個人情報取扱事業者等に係る件数は、漏えい等事案に関する報告のうち、委員会に報告されたもの（委員会直接受付分）の件数である。
（注２）「基本情報」とは、氏名、生年月日、性別、住所を指す。
（注３）１つの事案で複数の情報が漏えい等した場合は、全て計上しているため、「漏えい等した情報の種類」欄の件数は合計件数を超えることがある。同様に、「漏えい等した情報の種類」欄の割合合計が100％を超えることがある。

5

漏えい等事案の状況③：漏えい等原因
漏えい等の原因は、誤交付、誤送付等のいわゆるヒューマンエラーによる事案が多いものの、不正アクセスによるものも一定程度存在する。不正アクセスを原因とする事案の中には、100万人を超える個人データの漏えいのおそれが生じたものもあった。
（令和４年度）

原因件数（割合）

個人情報取
扱事業者等

行政機関等

4,217件（100％）

114件（100％）

誤交付

誤送付

誤廃棄

紛失

2,485件（58.9％）

801件（19.0％）

34件（0.8％）

207件（4.9％）

盗難

内部不正

不正アクセス

その他

42件（1.0％）

17件（0.4％）

366件（8.7％）

265件（6.3％）

誤交付

誤送付

誤廃棄

紛失

12件
（10.5％）

52件（45.6％）

13件（11.4％）

12件（10.5％）

盗難

内部不正

不正アクセス

その他

２件（1.8％）

０件（0.0％）

４件（3.5％）

19件（16.7％）（注）個人情報取扱事業者等に係る件数は、漏えい等事案に関する報告のうち、委員会に報告されたもの（委員会直接受付分）の件数である。

6

指導等の状況①
個人情報取扱事業者等や行政機関等に対して指導等を行った直近の重大事案として、以下のものが挙げられる。安全管理措置や委託先の監督が適切に実施されていないことを理由とするものが多く、不適正な取得や利用を理由とするものは少ない。
指導等を行った重大な事案（指導等の主な理由）
決済代行業者が不正アクセスを受けて個人データの漏えいのおそれを生じさせた事案（安全管理措置）
地方公共団体から住民の個人データの取扱いの委託を受けたITサービス業者において、同社から当該個人データの取扱いを受託した委託先従業者が、当該個人データが記録されているUSBメモリを一時紛失した事案（安全管理措置、委託先の監督）
複数の医療機関が眼科手術における手術動画を医療機器メーカーに提供した事案（利用目的の特定・本人への通知又は公表、個人データの第三者提供に係る同意、安全管理措置、従業者の監督）
次世代医療基盤法に基づく医療情報の提供に際し、医療機関、その委託先及び再委託先において、同法が求める通知を行っていない患者に係る医療情報が漏えいした事案（安全管理措置、委託先の監督）
個人情報取扱事業者がその子会社に対し、当該企業のサービス利用者の個人データの取扱いを委託していたところ、当該子会社が管理するサーバ内の個人データが外部から閲覧できる状態となっていた事案（安全管理措置、委託先の監督）
個人情報取扱事業者が保有する顧客の情報を、そのグループ会社等が閲覧し自社の営業活動のため等に利用していた事案（適正な取得、安全管理措置、委託先の監督）
複数の地方公共団体において、個人情報取扱事業者の開発した証明書の交付に関するシステムを利用し、各種証明書の交付事務を行っているところ、申請者とは別人の証明書が誤交付される事態が連続して発生した事案（安全管理措置）
国の機関及びその委託先が運営管理するデータベースに含まれる保有個人情報を漏えいさせた事案（安全管理措置）
国の機関が運営管理するデータベースについて、個人情報取扱事業者に割り当てられたアカウントのID・パスワードを、そのグループ会社等が利用して同データベース内の保有個人情報を閲覧し利用していた事案（安全管理措置）
国の機関が管理するシステムにおいて登録・管理されている保有個人情報について、当該登録手続を支援するために市区町村に設置された窓口において、誤登録による漏えいが発生した事案（安全管理措置）

7

指導等の状況②
令和２年改正法により新設した不適正利用の禁止の規律に基づき、個人情報取扱事業者が、多数の破産者等の個人情報を個人情報保護法に反する態様で継続的にウェブサイトに掲載していたという悪質な事案に対して、半年を要して勧告、命令、告発という順次の対応に至った。
破産者情報掲載サイト事案（令和４年度）①不特定多数の者による当該破産者等に対する人格的、財産的差別が誘発されるおそれがあることが十分に予見できるにもかかわらず、インターネット上に公開されている地図データと紐づける形で個人情報を掲載している（法第19条違反）、②個人情報の取得に際して速やかにその利用目的を本人に通知し、又は公表していない（法第21条第１項違反）、③インターネット上において個人データが不特定多数の者から閲覧可能な状態におかれているにもかかわらず係る第三者提供に際してあらかじめ本人の同意を得ていない（法第27条第１項違反）という事実が確認された。
令和４年

７月：勧告（法第160条（現：第163条）に基づく公示送達の手続を実施）

令和４年１１月：命令（法第160条（現：第163条）に基づく公示送達の手続を実施）
令和５年

１月：捜査機関に告発

このほか、本年９月、勤務先の名刺管理システムのID・パスワードを転職先の会社に不正に提供した者が、個人情報保護法違反（個人情報データベース等不正提供罪）の容疑等で逮捕された事案は、同提供罪の全国初の適用事例とみられている。
8

指導等の状況③
いわゆる「闇名簿」や生成AI、サーマルカメラ等の新たな事案や、高度な技術を利用して個人情報を扱うサービスについて、個人の権利利益侵害リスク等を含めた実態を十分に把握しながら、監視や指導等を行う必要がある。
当委員会が最近行った注意喚起
オプトアウト届出事業者に対する実態調査を踏まえた個人情報の適正な取扱いについて（オプトアウト届出事業者のみなさまへ）（令和５年４月）【参考】「オプトアウト届出事業者に対する実態調査」の主な調査結果• オプトアウトにより個人データを提供するに当たり、提供先が提供を受けたデータを法第19条の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回答が約３割あった。
• オプトアウトにより個人データを提供するに当たり、提供先に対して、本人確認手続等を実施していないとの回答が約３割あった。

「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」を踏まえた個人情報の適正な取扱いについて （事業者のみなさまへ）（令和５年４月）
生成AIサービスの利用に関する注意喚起等について（令和５年６月）
サーマルカメラの使用等に関する注意喚起について（令和５年９月）

不正アクセス等の技術が巧妙化する中、個人情報の漏えい等をより効果的に防止・抑止する観点か
ら、情報共有等、サイバーセキュリティ関係省庁・機関との連携を進めていくこととしている。
関係省庁・機関との連携の強化
連携の仕組みを整理するとともに、個別の省庁・機関と覚書を締結（令和５年３月）
セキュリティインシデント発生時における関係省庁・機関への報告制度の相互紹介・共同でのヒアリング等の実施、平時における統計データ等の情報共有等を行っていくこととしている。

9