日時：令和６年７月３日（水）13：00～

場

所：個人情報保護委員会

委員会室

出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、小嶋参事官、片岡参事官、澤田参事官○森川総務課長

それでは、定刻になりましたので、会議を始めます。

本日は、加藤委員が御欠席です。
以後の委員会会議の進行につきましては、藤原委員長にお願いいたします。
○藤原委員長それでは、ただいまから、第293回個人情報保護委員会を開会いたします。

本日の議題は二つです。
議題１「宮崎県綾町における保有個人情報の取扱いについての個人情報の保護に関する法律に基づく行政上の対応について」、事務局から説明をお願いいたします。
（内容について一部非公表）○事務局

それでは、説明させていただきます。

まず、「事案の概要」といたしまして、本件は、綾町町民課税務係の職員が税申告相談の予約状況を綾町ホームページに掲載する際、公開する予定ではない住民基本台帳に登録されている保有個人情報を含むエクセルファイルを誤って掲載した結果、令和６年１月１日時点の全町民の保有個人情報が漏えいした事案であります。
次に、「漏えいした保有個人情報とその件数」についてですが、本件により漏えいした保有個人情報は、氏名、生年月日、住所及び住民コードであり、本人数は6,939人であります。このうち297人については、電話番号及び申告予定内容も漏えいしました。また、申告予定内容が漏えいした297人のうち２人については、要配慮個人情報が含まれていました。
次に、「事実関係」といたしまして、「事案発生の時系列」になります。
令 和 ６年 ２ 月 16 日 にホ ー ム ペー ジ の 予 約 状況 を 更 新し 、 個 人 情 報の 閲 覧 が可 能 な 状態
が 発生 し ま し た。 ２ 月 26 日 には ホ ー ム ペー ジ の お 問合 せ フ ォ ーム か ら 匿 名で 本 件 保 有個人 情報 の 漏 え いを 指 摘 す るメ ー ル を 受信 し ま し た。 ２ 月 29 日、 上 記 メ ール を 開 封 いた しまして内容を確認し、本件保有個人情報が記載された本件エクセルファイルをホームペー
ジから削除しております。
続いて、「本件エクセルファイルの作成過程及び構成について」御説明します。
住 民 基本 台 帳 に 登 録さ れ て いる デ ー タ は 、町 民 課 町民 係 の 個 人 番号 利 用 事務 系 PC から取得する必要があります。そこで、税務係は、税申告相談の予約を受け付けるためのバックデータを作成するため、住民基本台帳に登録されているデータのうち、使用する項目の抽出を町民係に依頼し、利用許可されたパスワード付きUSBで当該抽出データを受け取り、
1

LGWAN接続系PCにて本件エクセルファイルを作成していました。
本件エクセルファイルは、住民から電話で受け付けている税申告相談の予約状況管理等の目的で使用され、①全日程の予約受付状況一覧シート、②受付予約者の情報（氏名、生年月日、住所、申告予定内容等）が管理されるシート、③町民係から受け取った住民基本台帳データを貼付したシート等の複数のシートで構成されています。
綾町が税申告相談の予約状況管理等のため住民基本台帳データを利用した理由は、町民から予約電話の受付時に、税務係の職員が町民から電話で聞き取った予約者の氏名及び生年月日から住民コードを特定し、シート②に住民コードを入力することで、シート③に記録されている氏名、生年月日、住所等が自動で反映され、予約者情報と予約日時の確認書送付を容易に管理できるとともに、随時更新であるシート①にも連動する仕様としているためであります。
続きまして、「税申告相談の予約受付及び予約状況のホームページ掲載について」御説明します。
綾町では、綾町のホームページに掲載する情報として、以下のように三つの掲載場所を設定し、該当するデータをPDFに変換して掲載しておりました。
このうち、アとイの掲載場所に掲載する情報については、申告相談の日程表と電話予約が可能な日時を示したものであります。したがいまして、初日である令和６年２月１日にホームページを掲載した後は、内容に変更はなく、最終日まで更新する必要はないものであります。
他方、ウの掲載場所については、電話で受け付ける税申告相談の予約状況を反映したシート①の最新データを掲載し、随時更新していく予定でありました。
綾町では、通常、職員Aがシート①の最新データをホームページに掲載する作業を担当しておりました。しかしながら、本件誤掲載が発生した令和６年２月16日は、職員Aが作業を行えない状況であったため、代わりに普段当該作業を担当していない職員Bが臨時で作業を行ったところ、イの掲載場所に本件エクセルファイルを掲載し、保有個人情報の漏えいが生じたものであります。
次に、「個人情報保護法上の問題点」です。
まず、「ウェブサイトへの誤掲載を防止するための措置の不徹底」です。
綾町では、相談予約状況表の更新、すなわちシート①のホームページ掲載について、１人の担当者である職員Aのみが詳細な掲載手順を把握しており、組織として定められた
手 順書 は 存 在 しま せ ん で した 。 そ の ため 、 令 和 ６年 ２ 月 16 日に 臨 時 で 予約 状 況 を 更新 する作業を担当した職員Bは、手順書に従って作業を行うのではなく、同月１日から14日まで当該作業を行っていた職員Aから口頭で簡単な引継ぎを受け、それを基に作業を行っていました。
また、ホームページ掲載の最終決裁者である町民課長は、ウの掲載場所に相談予約状況表が正しく掲載されているかの確認のみを行い、ア及びイの掲載場所については、もとも2

と更新の必要がない場所であったため、確認を行っていませんでした。
さらに、その後外部からの通報により綾町が本件を認識するまでの間、職員Aによる相談予約状況表の更新の機会があり、町民課長による掲載確認も行われていましたが、本件誤掲載に気付くことができませんでした。
綾町においては、ホームページ掲載が予定されているシート①と全町民の保有個人情報が含まれるシート③を同一のファイルで管理していたものであるから、シート①をPDFに変換する手作業を経てホームページに掲載を行うことについて、同一ファイルで管理する点についてのリスクを適切に把握し、そのリスクに応じた複数の職員による確認やチェックリストの活用等により誤掲載を防止するために必要な措置を執るべきでありました。それにもかかわらず、綾町においては、ホームページ掲載作業時及び掲載後の確認の段階において、そのような措置を行っていませんでした。
以上のとおり、綾町においては、全町民分の住民基本台帳データを使用して作成するファイルのホームページ掲載について、手順書もないまま、口頭の引継ぎのみで臨時で担当する職員に作業を行わせ、また、その後の確認も不十分であったものであり、事務対応ガイド 4-8-5(7)に規 定さ れるウ ェブサ イト等 へ の誤掲 載を防 止する た めの措 置に不 備が 認められます。
次に、「安全管理措置を講ずる組織体制の整備に関する問題点」です。
綾町で は、 ホー ムペ ー ジの確 認不 足に より 、 令和６ 年２ 月 16 日か ら 同月 29 日ま での 14日間、本件誤掲載の状態に気付くことができず、また、ホームページのお問合せフォームに 匿名 で 本 件 保有 個 人 情 報の 漏 え い を指 摘 す る メー ル を 同 月26 日 に 受 信し て か ら も、 ３日間漏えい発生の事実を認識できなかったため、対応が遅れ、本件保有個人情報が記載された本件エクセルファイルをホームページから削除するまで時間を要することになりました。
したがって、綾町においては、保有個人情報の安全管理措置を講ずる組織体制の整備に問題があったものと認められます。
最後に、対応方針案としまして、指導を行い、また、再発防止策の実施状況について、資料の提出及び説明をするよう求めることとしたいと考えております。
事務局からは以上です。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いします。特にはよろしいですか。
それでは、特に修正の御意見もないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分
3

を準備が整い次第、委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。どうもありがとうございました。
それでは、議題２「埼玉県熊谷市及び株式会社アクト・ジャパン等に対する行政手続における特定の個人を識別するための番号の利用等に関する法律に基づく行政上の対応について」、事務局から説明をお願いします。
（内容について一部非公表）○事務局

埼玉県熊谷市及び株式会社アクト・ジャパン等に対する番号法に基づく行政上の対応について御説明いたします。
本件は、株式会社アクト・ジャパンが個人番号利用事務の一部である課税資料等の入力業務を埼玉県熊谷市から委託されていたところ、委託元である熊谷市の許諾を得ずに本件事務を関連会社である株式会社アーバンシステムに再委託した事案です。アクト・ジャパ
ンは熊谷 市から 計60,200 件の課 税資料 等を 10 回に分け て受領 する予 定となっ ていま したが、その第１回 目とし て受領した課税 資料等 8,170件のうち 6,312件 の入力業務をア ーバンシステムに再委託しており、その中には5,843人分の熊谷市民の特定個人情報が含まれていました。
また、アクト・ジャパンは、従業員の病欠により急遽予定していた人員を確保することができなくなったため、本件事務を再委託するに至りましたが、再委託先であるアーバンシステムはアクト・ジャパンと同一資本の関連会社であり、再委託に係る作業が行われた
ア ーバ ン シ ス テム 富 山 営 業所 は 平 成31 年 ４ 月 ま でア ク ト ・ ジャ パ ン の 事業 所 で あ った ことから、アクト・ジャパンは再委託であることを明確に意識することなく業務の一部を委託してしまったとのことでした。
次に 、 ア ク ト・ ジ ャ パ ンの 番 号 法 上の 問 題 点 につ い て 御 説明 い た し ます 。 番 号 法第 10条第１項では、個人番号利用事務の全部又は一部の委託を受けた者は、当該個人番号利用事務の委託をした者の許諾を得た場合に限り、その全部又は一部を再委託することができることとされております。熊谷市とアクト・ジャパンの業務委託契約書においても、熊谷市の許諾を得ない特定個人情報の取扱いの再委託を禁止する旨が取り決められておりまし
たが、アクト・ジャパンは委託元である熊谷市の許諾を得ることなく本件事務の一部をアーバンシステムに再委託しており、番号法第10条第１項の規定に違反しております。
ま た、 番 号法 第 19 条 では 、何 人 も第 19条 各 号の いず れ かに 該当 す る場 合を 除 き、 特定個人情報を提供してはならないとされております。本件においてアクト・ジャパンが行った 無許 諾 再 委 託に 伴 う 特 定個 人 情 報 の提 供 は 、 番号 法 第 19 条各 号 の い ずれ に も 該 当し ない た め 、 ア ク ト ・ ジ ャ パ ン の ア ー バ ン シ ス テ ム に 対 す る 特 定 個 人 情 報 の 提 供 は 番 号 法第19条の規定に違反しております。
続い て 、 番 号法 第 12 条 では 、 個 人 番号 利 用 事 務実 施 者 は 、個 人 番 号 の漏 え い 、 滅失 又4

は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならないとされておりますが、アクト・ジャパンにおいては安全管理措置について三つの不備が認められました。
一つ目は、取扱規程等の策定の不備です。アクト・ジャパンにおいては、委託業務における特定個人情報の具体的な取扱いを定める規程等が策定されておりませんでした。そのため、アクト・ジャパンでは、個人番号利用事務の無許諾再委託を禁止する番号法の規定及び熊谷市との間で締結された無許諾再委託を認めない旨の契約条項が意識されることなく、委託元の許諾のない状態で再委託が行われたものと考えられます。
二つ目は、組織的安全管理措置の不備です。アクト・ジャパンにおいては、事務における責任者の責任の明確化並びに事務取扱担当者の明確化及びその役割の明確化が不十分であったため、自ら実施可能な個人番号利用事務の業務量を適切に把握できず、業務量に比し人員が足りず、自社以外の協力を得る必要が生じました。そして、本件事務における責任や役割の明確化がなされていなかったため、自社の事業所と同じような感覚で他社に業務を依頼しております。
また、アクト・ジャパンはアーバンシステムとの間で基本契約を締結しており、個別の取引については個別契約を締結することとなっていましたが、本件事務の委託の際には個別契約書の締結や注文書の発行を行うことなく本件事務の一部を委託していたことから、特定個人情報の取扱いを委託する場合の手続、責任、役割分担等も不明確であったと言えます。
三つ目は、人的安全管理措置の不備です。アクト・ジャパンの従業者は、同一資本の関連会社であるアーバンシステムに対する本件事務の分担について、それが熊谷市から委託を受けた個人番号利用事務の再委託になるという意識が薄く、また、番号法上及び熊谷市との契約上、委託元の許諾を得ない再委託が違法及び契約違反になることを適切に認識できておりませんでした。また、アクト・ジャパンは年１回の個人情報に関する一般的な研修を行っていたものの、番号法についての研修は行われていませんでした。
続 い て 、 ア ー バ ン シ ス テ ム の 番 号 法 上 の 問 題 点 に つ い て 御 説 明 い た し ま す 。 番 号 法第20条 では 、 何人 も、 第 19条 各号 の いず れか に 該当 する 場 合を 除き 、 特定 個人 情 報を 収集し、又は保管してはならないこととされております。また、番号法ガイドライン（事業者編）では、「最初の委託者の許諾を得ていることを確認せずに個人番号関係事務又は個人番号利用事務の再委託を受け、結果として、最初の委託者の許諾を得ていない再委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性がある。ただし、例えば、個人番号を取り扱う委託業務であることが委託契約書等において明らかでないなど、当該再委託が「個人番号関係事務又は個人番号利用事務の再委託」に該当することを、当該再委託を受ける者が認識できない状況で再委託が行われていた場合は、一般に、特定個人情報を収集したとは解されない。」とされております。
本件において、アーバンシステムはアクト・ジャパンの関連会社であること、また、作5

業を依頼された事務は個人番号が記載された住民の課税資料等の入力業務であることから、アクト・ジャパンからの本件事務の作業依頼が個人番号利用事務の再委託に該当することは明らかであるため、アーバンシステムが本件事務の再委託を受け、本件事務の実施のために 特 定 個人 情 報 を収 集及 び 保 管し た 行 為は 、番 号 法 第20 条 の 規定 に違 反 し てお り ま す。
続い て 、 熊 谷市 の 番 号 法上 の 問 題 点に つ い て 御説 明 い た しま す 。 番 号法 第 11 条 では 、
「個人番号利用事務等の全部又は一部の委託をする者は、当該委託に係る個人番号利用事務等において取り扱う特定個人情報の安全管理が図られるよう、当該委託を受けた者に対す る 必 要 か つ 適 切 な 監 督 を 行 わ な け れ ば な ら な い 。 」 と さ れ て お り ま す 。 熊 谷 市 は アクト・ジャパンに対し特定個人情報に関する取扱規程の有無を確認したとのことでしたが、実際にはアクト・ジャパンにおいて委託業務上の特定個人情報の取扱規程は存在していなかったことから、熊谷市の確認は不十分であったと言えます。
また、熊谷市においては業務先選定の際、アクト・ジャパンの業務従事者名簿による従事者数から、委託した作業量がアクト・ジャパンにおいて十分可能なものであることを確認したとのことでしたが、実際には、熊谷市が第１回目の分としてアクト・ジャパンに渡した課税資料等8,170件 のうち約77％である 6,312件がアーバンシステ ムに再委託されており、熊谷市がアクト・ジャパンの作業能力等の経営環境を適切に把握していたとは言い難いです。
以上のことから、熊谷市の委託先に対する監督に不備があったと言えます。
最後 に 、 本 件に つ き ま して 、 ア ク ト・ ジ ャ パ ンに 対 し て は番 号 法 第 10条 第 １ 項 及び 第19条 の規 定 違反 並び に 番号 法第 12 条が 求め る 安全 管理 措 置の 不備 に つい て、 ア ーバ ンシ
ステ ムに 対 して は番 号 法第 20条 の 規定 違反 に つい て、 熊 谷市 に対 し ては 番号 法 第11 条が求 める 委 託 先 の監 督 の 不 備に つ い て 、番 号 法 第 33条 の 規 定 によ り 指 導 を行 い た い と考 えております。
御説明は以上でございます。
○藤原委員長ありがとうございました。

ただいまの説明について御質問、御意見をお願いいたします。
清水委員、どうぞ。
○清水委員

ありがとうございます。

熊谷市の問題点について、一言コメントさせていただきたいと思います。資料にありますとおり、当委員会は委託元である熊谷市、以下「市」と申しますけれども、こちらに対して番号法が求める委託先の監督に不備があった点について指導を行う予定にしております。本件は、第１に、市が個人番号利用事務をアクト・ジャパンに委託するに当たり、その業務遂行能力が十分かどうかを適切に把握せず、プライバシーマークを取得していた点等をもって適格と判断したものであり、その点で「委託先の適切な選定」ができていなかったことが問題であったと認識しております。
このことから、許諾のない限り再委託を禁ずる契約の趣旨や番号法が個人番号の適正な6管理を求めていることについて、担当者の理解が十分でなかったことがうかがえます。したがいまして、市におかれましては、今後、同様の問題が起こらないよう再発防止策を十分に講じていただきたいと思います。
以上です。
○藤原委員長ありがとうございました。

ほかにはいかがでしょうか。よろしいですか。
それでは、特に修正の御意見がないようですので、原案のとおり決定したいと思います
が、よろしいでしょうか。
ありがとうございました。御異議がないようですので、そのように取り扱うことといたします。事務局においては所要の手続を進めてください。
また、本議題の資料、議事録及び議事概要の取扱いについてお諮りします。本議題は、事案の社会的な影響を勘案し、配付の公表資料と当該資料に係る議事録、議事概要の部分を準備が整い次第、当委員会のホームページで公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については公表しないこととしてよろしいでしょうか。
ありがとうございます。御異議がないようですので、そのように取り扱うことといたします。
本日の議題は以上となります。
それでは、本日の会議はこれにて閉会といたします。

7