個人情報保護委員会（第２７２回）議事概要
１ 日時：令和６年２月 14 日（水）１５：３０～

２ 場

所：個人情報保護委員会

委員会室・オンライン

３ 出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、加藤委員、梶田委員、髙村委員、小笠原委員、
松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：株式会社 NTT ドコモ及び株式会社 NTT ネクシアに対する個人情報の保護に関する法律に基づく行政上の対応について事務局から、資料に基づき説明を行った。
小川委員から「今回、株式会社 NTT ドコモ（以下「ドコモ社」という。）
は、ネットワーク監視を行っていたことにより、外部への持ち出しが発生したことを当日中に発見した。このような監視機能は、監視されていることが従業者に認識されることにより不正行為を抑止するなど一定の効果はある。
その一方で、全ての不正を検知することは難しく、漏えい自体を防止することはできない。
大量かつ重要な個人データの取扱いがあった本件業務においては、漏えいが生じる余地のない仕組みを構築する必要がある。そのために、物理的・技術的な安全管理措置と、組織的・人的な安全管理措置を、総合的に組み合わせたリスク対策を実行することが重要である」旨の発言があった。
梶田委員から「今回の調査では、複数の安全管理措置の不備が明らかになったものであり、中でも、組織的安全管理措置の問題については、個人データを取り扱う現場における取扱状況を適切に把握できておらず、現場任せになっていたのではないかと思われる。
ドコモ社は、事業の吸収合併に伴う情報システム及びその管理ルールの見直しが間に合わなかったことに対して、追加的なルールを定め徹底すると経営判断をしたにもかかわらず、実態としては、月に１度のみ確認結果を受け取ることしかしていなかったということである。
ドコモ社には、今回委員会が指摘した点を重く受け止めていただき、今後このような事態が発生しないよう徹底した改善策を尽くしていただきたい」
旨の発言があった。
なお、本議題については、事案の社会的な影響を勘案し、配布の公表資料と当該資料に係る議事録、議事概要の部分を準備が整い次第公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については非公表とすることとなった。

（２）議題２：いわゆる３年ごと見直し（ヒアリング）
個人情報保護委員会議事運営規程第９条の規定に基づき、京都府総務部政策法務課久野課長、岡山市総務局総務部行政事務管理課藤原文書管理公開担当課長、都城市総務部長丸部長、上里町総務課山下課長、全国知事会山本主事、全国市長会大沼主事、指定都市市長会辻下次長及び全国町村会前田参事が会議に出席した。
京都府、岡山市、都城市及び上里町から、資料に基づき説明があった。
小笠原委員から「都城市及び上里町にお聞きしたい。比較的小規模な団体においては、個人情報保護制度の担当者が少人数にならざるを得ず、かつ他の業務と兼務する状況が少なくないと理解している。御説明の中でも人員体制について触れられていたが、定期的に人事異動がある中で、適正な保有個人情報の取扱いを継続的に運用していくために、小規模団体であるが故の課題や、どういった措置が必要であるかなど、お考えをお聞きしたい」旨の質問があった。
これに対し、都城市から「我々地方自治体は、業務上今後も個人情報を取扱い続けると思われるため、改正法など最新の情報を全職員へ浸透させることが重要であると考えている。この浸透のためには、定期的な研修などを継続的に実施していくことが大切であると考えており、今後、オンライン研修や研修素材の充実が図られることで、小規模団体であってもそれぞれに見合った方法で対応ができるのではないかと考えている」旨の回答があった。
また、上里町から「小さい自治体であることから苦慮しているところである。先ほど都城市からも話があったように、職員一人ひとりの個人情報保護に関する正しい知識、正しい認識が必要であると考えている。研修会やリモートラーニング、e ラーニングなどを引き続き実施していきたいと考えている。また、小さい自治体であるが故に、職員のスキルはある程度把握ができるため、人事異動の際には、そういったことも勘案し、適材適所を考えながら実施していきたいと考えている」旨の回答があった。
梶田委員から「４団体共通の質問をさせていただきたい。昨年４月から個
人情報保護法が適用されているが、その前後で、個人情報の取扱いで、特に大きく変化した点は何か。御説明と重複する部分があるかもしれないが、特に大きく変化した点についてお聞きしたい。また、これに対して、どのように対応しているかお聞きしたい」旨の発言があった。
これに対し、岡山市から「岡山市では、適用前後で取扱いに大きく変化した点はなく、以前と同様に開示対応はあり、運用について特に大きく変化した点はない」旨の回答があった。
また、京都府から「先ほど触れたとおり、審議会の諮問の仕組みがなくなったことである。本人以外から収集する場合やセンシティブ情報を収集する場合において審議会の諮問がなくなったことで、従来以上に我々行政側のほうでしっかりとした説明をする必要があると考えており、担当課にもそのように説明している。今年度に入り、具体的にそのような案件が出てきたわけではないが、過去の経験を活かしながら指導していきたい。従来、法が求める個人情報ファイル単位の帳簿は作成しておらず、今年度から作成するようになった。初めての経験で、どういうくくりで考えるかかなり悩んだ。また、行政機関等匿名加工情報の提案募集という仕組みが入ったことで、悩みながら進めていこうと考えているところである」旨の回答があった。
また、都城市から「皆様仰せのとおり、今までは条例で設置していた弁護士等の外部有識者で構成される審査会に諮問する形で目的外利用の判断をしていたが、今年度からは組織内で判断するようになったことが大きな変化である。これに対しては、特段の対応は行っていないが、案件ごとにデータ所管課、利用を希望する課、総務課で協議を行って判断している状況である」旨の回答があった。
また、上里町から「当町も審議会への諮問がなくなった点、一元化により安全管理という点で変化があったと感じている。また、事例で話したとおり、委託先の情報漏えいのおそれという点で、今後、専門的なデータシステムを取り扱う課との連携が必要であると感じている」旨の回答があった。
清水委員から「目的外利用について４団体に伺いたい。苦慮されているということであるが、相当性の判断にあたって、どのような議論があったか。
あるいは、提供した後に判明する課題もあったかと思うので、お話しいただける範囲でお聞きしたい」旨の発言があった。
これに対し、岡山市から「利用目的以外の提供については、内部利用や他の行政機関への提供については、原則として法令に基づく場合に提供しており、相当な理由があると認めた例は今のところない」旨の回答があった。
また、京都府から「今年度は、目的外提供の例は、刑事訴訟法照会に限られており、判断に悩むものはなかった。ただ、制度改正前であれば、コロナ感染者情報の市町村との共有や、協力金の重複受給を防ぐために国・自治体と情報共有をする事案があり、その場合には、どの範囲まで、どの情報まで出すべきかを審議会で議論した記憶がある」旨の回答があった。
また、都城市から「災害発生時の要救助者情報の事前共有を目的外利用で取り扱った事例がある。災害対策部署が所管しているシステムに、あらかじめ福祉分野の情報を取り込むことで、災害時の救助の優先順位を設定するものであった。まず、法令等に明記されているかどうかの議論となったが、こういったピンポイントの用途は明記がなかったため、先ほど説明したとおり、データ主管課と利用を希望する課、総務課で協議した結果、人命優先ということで、相当な理由として、利用可能という判断をした」旨の回答があった。

また、上里町から「警察によるオレオレ詐欺のローラー作戦に伴う提供依頼があった。最終的には町の判断ということで、情報提供可能であるという考え方もあったが、これまでどおり住民基本台帳法に基づく閲覧ということで協議が整ったところである」旨の回答があった。
小川委員から「安全管理措置について４団体共通に質問させていただく。
最近の漏えい等事案では、職員による USB メモリ等の紛失、窓口業務の従事者やシステムの委託先従事者による持ち出し、不正アクセス等による漏えい等が見られる。そういった意味で、地方公共団体による適切な安全管理措置の重要性は高まっている。
また、先ほど、岡山市から、安全管理措置について委託先と覚書を締結しているが、理解をしていただくのに苦慮している旨の説明があった。各団体
において、漏えい等を防ぐために、特に重点的に取り組んでいることや、委託先の理解を深めるための取組などがあれば、お聞きしたい。
あわせて、委託先に必要な安全管理措置を求めるにあたって、その根拠となる条例、規則、覚書の締結などを採用されている場合は、その形式を教えていただきたい」旨の発言があった。
これに対し、岡山市から「委託先との覚書の締結を徹底している。理解を得られない委託先に対しては、法律を丁寧に説明するしかない。また、他の取組として、情報システムを使用した業務の外部委託が多いが、情報部門が作成している情報セキュリティポリシーに基づく管理も併せて求めている。
内部統制が始まっているが、情報通信機器からの情報漏えいは、全庁共通のリスクということで、特に取り上げて対応している状況である」旨の回答があった。
また、京都府から「様々な契約に合わせた標準契約書を定めており、その中で、今回の改正を踏まえ、委託先に対して体制の整備、定期的な報告、実地調査を行う場合の協力義務を定めている。また、それぞれの委託内容に応じて別途仕様書を定めている」旨の回答があった。
また、都城市から「覚書の締結はしていないが、京都府と同様、指定した契約書を使用している。そこには業務の種別ごとに約款等を書いており、そのなかに個人情報の取扱いや第三者への委託について記載している。また、情報システムに関しても、情報セキュリティポリシーを定めており、当市が管理する情報資産に関する対策と総合的体系について、細かく定めているが、代表的なものとしては庁内ネットワークについて、原則 USB メモリを使用できないようにしている。また、データ格納領域をもった USB デバイス、デジカメやスマートフォンをパソコンに接続しても動かないようにしている。USB メモリがどうしても必要な場合は、情報システム部門が用意しているパスワードロック機能付きの USB メモリを利用するなどの対応もしている」旨の回答があった。

また、上里町から「契約の際、個人情報の保護に関する情報を盛り込み、別記にその特記事項を遵守するようお願いしている。情報システムのセキ
ュリティに関しては、総務省のガイドラインに基づき町の情報セキュリティポリシーを策定している。このセキュリティポリシーでは、業者選定、あるいは契約において必要な情報セキュリティ要件を明記し、契約を締結しなければならないという旨を規定している。重要性分類２以上の情報を取り扱う業務委託等については、委託先の選定において、仕様や参加要件に、P マークや ISO27001 の取得を明記するとともに、契約時には保護条項を入れている。また、再委託は原則禁止だが、事業者で限定的に安全管理が認められる場合には、認めているところである。その場合は必ず覚書を締結している」旨の回答があった。
髙村委員から「行政機関等匿名加工情報について、岡山市と京都府に質問したい。先ほど岡山市から『１件の提案審査を行った』という説明があったが、提案募集、審査等に当たり、具体的にどのような課題があり、どのように対応したか、お話できる範囲でお聞きしたい。
また、京都府から『全国的な事例が少なく、提案審査等に関するノウハウがない』という説明があったが、提案募集等に当たり、具体的にどのような課題があったか、どのようなノウハウの必要性を感じたか、お聞きしたい」
旨の発言があった。
これに対し、岡山市から「審査に当たっては、個人情報保護法第 114 条第１項第４号に規定する具体的な審査基準があるが、とても不明確であったため、審査をどのように行うべきか苦慮した。提案者が提出した書面で、事業の目的及び内容が新たな産業の創出等に資する事業であることをまず確認した上で、事務対応ガイドに記載されている事業内容が反社会的なもの、興味本位の提案ではなく、匿名加工情報を利用する必要性が乏しいと認められるものには該当しなかったため、この基準に適合すると判断し、審査をした」旨の回答があった。
また、京都府から「まさにこれからやろうとしているところであり、手探りで考えているところである。岡山市からあったように法律の基準がかなり抽象的で、活力ある経済社会の実現となると、何でも入ってしまうのではないかと思うので、どう審査するか、どういう提案書を作成いただくことによりこういった点がクリアになっていくのかを考えていかなければならない。本日の岡山市の事例など、様々な事例を参考に提案いただければと考えている」旨の回答があった。
藤原委員長から「本日のお話の中で、審議会、審査会等の関与がなくなって、庁内で判断するのが不安な部分があるとのことであったが、都城市の場合、弁護士は何人入っていたか。法律専門家はどのくらい入っていたのか、お話しできる範囲でお聞きしたい」旨の発言があった。

これに対し、都城市から「都城市の審査会は５名で構成されている。弁護士１名、行政書士１名、市の法規委員が２名、ほか１名となっている」旨の回答があった。
藤原委員長から「本日頂いた御意見も含め、個人情報保護を巡る様々な状況について、各方面の意見を聴きながら、課題を整理、審議してまいりたい」
旨の発言があった。
以上