資料２－４
公表資料

株式会社中央ビジネスサービス及びネクストステージ合同会社に対する個人情報の保護に関する法律に基づく行政上の対応について
第１ 事案の概要等
１ 事案について多数の委託元（民間事業者、地方公共団体及び独立行政法人）から委託を受けてコールセンター業務を行っていた株式会社 NTT マーケティングアクト ProCX（以下「ProCX 社」という。）が、NTT ビジネスソリューションズ株式会社（以下「BS 社」という。
）にコー
ルセンター業務で用いるシステムの保守運用を委託していたところ、BS 社に所属していた派遣社員（以下「Ｘ」という。
）が、個人データ合計約 928 万人分を不正に持ち出し、その一部を株式会社中央ビジネスサービス（以下「中央ビジネス」という。）1及びネクストステージ合同会社（以下「ネクストステージ」という。
）2へ売却していた事案である。
２ 時系列
日時
令和５年１月 17 日
令和５年１月 18 日
令和５年８月３日
令和６年６月 19 日
令和６年６月 20 日

第２経緯
Ｘが、中央ビジネスに対し、BS 社から持ち出した個人データ約３万人分をメールで送信
中央ビジネスが、Ｘに対し、上記個人データの購入代金を振込入金
中央ビジネスが、当委員会からの報告等の求め（個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。
）第 146 条第１項）に対し、「（令和４年４月１日～令和５年６月 30 日の期間、第三者から個人データの提供を受けた件数について、回答欄に記載すること。
）０」と回答当委員会が、中央ビジネスに対する立入検査（法第 146 条第１項）を実施
当委員会が、ネクストステージに対する立入検査（法第 146 条第１項）を実施

立入検査で判明した事実関係の概要等

１ 中央ビジネス⑴

中央ビジネスは、平成 28 年から令和５年１月までの間、Ｘから個人データを取得しており、Ｘから取得した個人データの合計数は約 650 万人分である。

⑵

中央ビジネスは、Ｘから個人データを取得するに際し、初回取得時のみ、口頭で「盗品ではない」旨を確認したにとどまり、それ以上にＸが個人データを取得した経緯等を確認したことはなかった。

⑶

中央ビジネスは、令和４年３月 31 日までの間、Ｘから取得した個人データを第三者に提供していた。しかし、同年４月１日以降、中央ビジネスが、Ｘから取得した個人データを第三者に提供していた事実は確認できなかった。

⑷

中央ビジネスは、Ｘとの１回の取引において、平均約 10 万件の個人データを取得していた。

1
2

オプトアウト届出番号 2021-100103。法人番号 9011001052896。
オプトアウト届出番号 2022-100174。法人番号 6010003022002。

1

⑸中央ビジネスは、令和５年１月 20 日、Ｘから取得した個人データ等を保存していたPC を岡山県警察に押収され、その後、同個人データ等を削除した上で、中央ビジネスに PC が還付された。
なお、中央ビジネスは、前記 PC の他に、Ｘから取得した個人データ等のバックアップを保管していたが、中央ビジネスは、「バックアップのうち、Ｘから購入した個人データについては全て削除した。」旨を述べており、立入検査時（令和６年６月 19 日）に、Ｘから購入した個人データと思われるデータを発見するには至らなかった。

２ ネクストステージ⑴

ネクストステージは、令和元年９月 19 日、同年 10 月７日、同年 11 月 15 日、令和２年３月 10 日、同年４月 30 日及び同年７月８日の合計６回にわたり、Ｘから個人データを取得していた。

⑵

ネクストステージは、Ｘから個人データを取得するに際し、Ｘから「提供する個人情報は、不正に取得したものではない。
」「個人情報保護法に従い適正に入手したものである。
」旨の定型文言をメールで送信させるにとどまり、それ以上に、Ｘに対し、Ｘが当該個人データを取得した経緯等を具体的に確認することはしていなかった。

⑶

ネクストステージは、令和６年２月 29 日までの間、Ｘから取得した個人データを含む全データから、特定の条件で抽出した個人データを、第三者に提供していた。

⑷

ネクストステージは、令和６年２月 29 日、Ｘから取得した個人データを削除した。
なお、当委員会は、立入検査時（令和６年６月 20 日）に、ネクストステージが同個人データを削除した痕跡を確認した。

第３

法律上の問題点について

１ 中央ビジネス
不適正取得（法第 20 条第１項違反）3⑴
ア

法第 20 条第１項において、個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならないと規定されている。
「不正の手段」には、「偽り」のほかにも、不適法な又は適正性を欠く方法や手続も含まれるところ、第三者が個人データの提供について本人の同意を得ておらず、当該第三者による個人データの提供が法第 27 条第１項の規定に違反することを知り、又は容易に知ることができるにもかかわらず、当該第三者から個人データの提3

平成 28 年～平成 29 年５月 29 日までの取得行為は、平成 15 年５月 30 日に公布された個人情報の保護に関する法律（以下「平成 15 年公布法」という。
）第 17 条違反。平成 29 年５月 30 日～令和４年３月 31 日までの取得行
為は、個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）により改正された個人情報の保護に関する法律（以下「平成27 年改正法」という。
）第 17 条第１項違反。令和４年４月１日以降の取得行為は、デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）により改正された個人情報の保護に関する法律（以下「令和３年改正法」という。
）第 20 条第１項違反。

2

供を受けて個人情報を取得することは、法第 20 条第１項違反となる4。
イ

本件において、中央ビジネスは、Ｘから個人データを取得するに当たり、Ｘの職業や個人データの取得の経緯、第三者提供についての本人同意の有無等を一切確認しないまま、漫然と１回当たり平均約 10 万件、合計約 650 万件という大量の個人情報を取得していた。
この点、中央ビジネスは、個人データの売買をその主たる業務とし、第三者に個
人データを売却する際には、法第 27 条第１項の規定により第三者提供についての本人同意を得ることはせず、法第 27 条第２項本文の規定による個人データの提供を行う個人情報取扱事業者（以下、「オプトアウト届出事業者」という。
）であり、多人数の本人全員から第三者提供についての同意を得ることが極めて困難であることは、当事者として十分に認識していたはずである。
したがって、本件においても、中央ビジネスは、Ｘから大量の個人データを取得しており、Ｘが第三者提供についての本人同意を得ることなく個人データの提供をしようとしていることは当然に想定することができ、中央ビジネスは、Ｘに本人同意の証跡の提出を求める等の方法によって、Ｘが本人同意を得ていないことを容易に知ることができた。
なお、個人データの提供についての本人の同意を得ていなくとも、Ｘがオプトアウト届出事業者として個人データの第三者提供を行っていた場合は、法第 27 条第１項違反には該当しないが5、Ｘがオプトアウト届出事業者ではないことは、当委員会のウェブサイトにより容易に確認することができ、中央ビジネスにおいても、Ｘがオプトアウト届出事業者であるとは認識していなかった。
したがって、中央ビジネスは、法第 27 条第１項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、Ｘから個人情報を取得していたといえ、かかる取得行為は法第 20 条第１項の規定に違反する。

⑵

第三者提供を受ける際の確認義務違反
法第 30 条第１項6において、個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、当該第三者による当該個人データの取得の経緯について確認を行わなければならないこととされ、個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号。以下「規則」という。
）第 22 条第２項7において、「法第 30 条第１項の規定による同項第4

個人情報の保護に関する法律についてのガイドライン（通則編）3-3-1【個人情報取扱事業者が不正の手段により個人情報を取得している事例】事例 5）法第 27 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合。
5
本件個人データの提供が、法第 27 条第１項各号に該当しないことは明らかである。
6
平成 29 年５月 30 日～令和４年３月 31 日までは、平成 27 年改正法第 26 条第１項。令和４年４月１日以降は、令和３年改正法第 30 条第１項。
7
平成 29 年５月 30 日～令和４年３月 31 日までは、平成 28 年 10 月５日に公布された規則第 15 条第２項。令和４年４月１日以降は、令和３年個人情報保護委員会規則第４号により改正された規則第 22 条第２項。

3

２号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。」と規定されている。
また、個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）3-1-2 において、「『取得の経緯』の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。」と規定されている。
本件において、中央ビジネスは、Ｘから個人データを取得するに際し、初回購入時に、口頭で「盗品ではない」という旨を確認したにとどまり、それ以上にＸが個人データを取得した経緯（取得先の別、取得行為の態様等）を確認していなかったのであるから、「当該第三者による当該個人データの取得の経緯」を確認したとはいえず、法第 30 条第１項第２号の規定に違反する。
⑶

報告等の求め（法第 146 条第１項）に対する虚偽報告（法第 182 条第１号、法第 184条第１項第２号）
ア

当委員会は、令和５年２月から同年３月にかけて、「オプトアウト届出事業者に対する実態調査」を実施し、同調査に未回答、回答不十分であった等の理由から別途調査が必要であると判断した 24 事業者に対し、同年７月、法第 146 条第１項の規定により報告等の求めを実施した。

イ

中央ビジネスは、前記報告等の求めを実施した事業者の一つである（当委員会は、令和５年７月 27 日、中央ビジネスに対し、法第 146 条第１項の規定により報告等の求めを実施した）。

ウ

これについて、中央ビジネスは、令和５年８月３日、当委員会に対し、「令和４年４月１日～令和５年６月 30 日の期間、第三者から個人データの提供を受けた件数について、回答欄に記載すること。※提供を受けたデータの数や提供を受けたデータに含まれる個人情報の数ではなく、提供行為を受けた件数を記載すること。なお、上記期間に個人データの提供を受けた実績が無い場合は、回答欄に０と記載すること。
」という設問に対する回答欄に、「０」と記載して報告した。

エ中央ビジネスは、明確に判明しているものとして、少なくとも令和５年１月 17 日には、Ｘから個人データを取得していたのであるから、前記ウの回答は、明らかに虚偽の報告である。したがって、同報告を行った中央ビジネスの取締役の行為は法第 182 条第 1 号に該当し、また、中央ビジネスは両罰規定である法第 184 条第１項第２号に該当する。

4

２ ネクストステージ⑴

不適正取得（平成 27 年改正法第 17 条第１項違反）
ア

前記１⑴アのとおり、第三者が個人データの提供について本人の同意を得ておらず、当該第三者による個人データの提供が平成 27 年改正法第 23 条第１項の規定に違反することを知り、又は容易に知ることができるにもかかわらず、当該第三者から当該提供を受けて個人情報を取得することは、平成 27 年改正法第 17 条第１項違反となる。

イ

本件において、ネクストステージは、Ｘから個人データを取得するにあたり、Ｘの職業や個人データの取得の経緯、第三者提供についての本人同意の有無等を一切確認しておらず、「Ｘがネクストステージに提供する個人情報は、不正に取得したものではないこと、また、個人情報保護法に従い適正に入手したものである。
」旨の定型文を、Ｘにメールで送信させるのみで、漫然と１回当たり少なくとも数万件という大量の個人データを取得していた。
また、ネクストステージは、中央ビジネスと同様に、個人データの売買をその主たる業務としているところ、第三者に個人データを売却する際には、平成 27 年改正
法第 23 条第１項の規定により第三者提供についての本人同意を得ることはせず、オプトアウト規定により個人データの提供を行うオプトアウト届出事業者であり、多人数の本人全員から第三者提供についての同意を得ることが極めて困難であることは、当事者として十分に認識していたはずである。
したがって、本件においても、ネクストステージは、Ｘから大量の個人データを取得するに当たり、Ｘが第三者提供についての本人同意を得ることなく個人データの提供をしようとしていることは当然に想定できるものであり、中央ビジネスは、Ｘに本人同意の証跡の提出を求める等の方法によって、Ｘが本人同意を得ていないことを容易に知ることができたといえる。
なお、個人データの提供についての本人の同意を得ていなくとも、Ｘがオプトアウト届出事業者として個人データの第三者提供を行っていた場合は、平成 27 年改正法第 23 条第１項違反には該当しないが、Ｘがオプトアウト届出事業者事業者ではないことは、当委員会のウェブサイトにより容易に確認することができ、ネクス
トステージにおいても、Ｘがオプトアウト届出事業者であるとは認識していなかった。
したがって、ネクストステージは、平成 27 年改正法第 23 条第１項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、Ｘから個人情報を取得していたといえ、かかる取得行為は平成 27年改正法第 17 条第１項の規定に違反する。

⑵

第三者提供の制限（法第 27 条第１項）違反
法第 27 条第１項は、個人情報取扱事業者は、同項各号に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないと規定す5るところ、その例外として、同条第２項本文では、オプトアウト届出事業者による、本人の同意を得ない個人データの第三者提供について規定している。
しかしながら、同項ただし書では、「第三者に提供される個人データが・・・法第 20条第１項の規定に違反して取得されたもの・・・である場合は、この限りでない。
」と規定され、オプトアウト届出事業者による第三者提供であっても、法第 20 条第１項の規定に違反して取得された個人データについては、本人同意を得ずに第三者提供することはできない。
本件において、ネクストステージは、オプトアウト届出事業者であるところ、前記⑴のとおり、法第 27 条第２項ただし書の規定が施行された令和４年４月１日以降、法第 20 条第１項の規定に違反してＸから取得した個人データを、本人の同意なく第三者に提供している。したがって、当該提供行為は、法第 27 条第２項本文に該当しない第三者提供であるから、このように本人の同意のない提供行為は、法第 27 条第１項の規定に違反する。
⑶

第三者提供を受ける際の確認義務（平成 27 年改正法第 26 条第１項第２号）違反
ア

前記１⑵のとおり、個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、当該第三者による当該個人データの取得の経緯を確認しなれければならない（平成 27 年改正法第 26 条第１項第２号）。

イ

本件において、ネクストステージは、Ｘから個人データを購入するに際し、Ｘに「提供する個人情報は、不正に取得したものではない。
」「個人情報保護法に従い適正に入手したものである。」旨の定型文をメールで送信させるにとどまり、当該個人データの取得の経緯を具体的に確認することはしていなかったのであるから、平成
27 年改正法第 26 条第１項第２号の規定に違反する。
以6上