公表資料

News Release

株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について
令和６年３月 25 日

個人情報保護委員会は、株式会社エムケイシステムに対し、令和６年３月 25 日に個人情報の保護に関する法律第 147 条に基づく指導等を行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）資料１－１
公 表 資 料株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について
令和６年３月25日
個人情報保護委員会
個人情報保護委員会（以下「当委員会」という。
）は、令和６年３月25日、株式会社エムケイシステム（以下「エムケイ社」という。
）における個人情報等の取扱いについて、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。
）第 147 条の規定による指導等を行った。
１．事案の概要
エムケイ社は、社会保険/人事労務業務支援システム（以下「本件システム」という。
）
を、社会保険労務士（以下「社労士」という。
）の事務所等のユーザ（以下「ユーザ」という。
）に対し、SaaS 環境1においてサービス提供していたところ、令和５年６月、エムケ
イ社のサーバが不正アクセスを受け、ランサムウェアにより、本件システム上で管理されていた個人データが暗号化され、漏えい等のおそれが発生した。
本件システムは、主に社労士向けの業務システムであり、社会保険申請、給与計算及び人事労務管理等の業務のために利用するものである。同システムで取り扱われていた個人データは、社労士の顧客である企業や事業所等（以下「クライアント」という。
）の従業員等の氏名、生年月日、性別、住所、基礎年金番号、雇用保険被保険者番号及びマイナンバー等である。
エムケイ社の報告によれば、現時点において、個人データの悪用などの二次被害は確認されていない。
２．事案の規模(1) エムケイ社からの情報による本件システムの利用実績
社労士事務所：2,754 事業所、管理事業所：約 57 万事業所 (令和５年４月１日時点)
本件システムで管理する本人数：最大約 2,242 万人(令和５年６月 5 日時点)

(2) 当委員会が受領した漏えい等報告件数
令和５年６月６日から現在までに受領した漏えい等報告件数は、報告者ベースで3,067 件（本人数計 7,496,080 人）である2。大部分は社労士事務所からの提出であり、顧問先事業者との連名報告の形での報告が多かった。内訳は、社労士事務所等が 2,459件（本人数計 6,724,609 人）、顧問先事業者が 404 件（本人数計 392,125 人）、企業等が
1

Software as a Service の略。一般的には、事業者がソフトウェアをクラウド上で稼働し、ユーザはインターネット経由でアクセスすることにより、当該ソフトウェアを利用できる仕組みとなっている。
2
エムケイ社からの報告を除く。

1

204 件（本人数計 379,346 人）である3。
３．エムケイ社が本件において個人データを取り扱っていたこと(1) ガイドラインＱ＆Ａ7-53 について
「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ（以下「ガイドラインＱ＆Ａ」という。
）7-53 には、
「クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等」と記載されている。
(2) エムケイ社とユーザとの間の利用規約
本件システムの利用に当たり、エムケイ社は、ユーザに利用規約（以下「本件利用規約」という。）の同意を求めていた。
(3) エムケイ社における実際の個人データの取扱いの状況
・ エムケイ社は、ユーザから本件システムの利用に関する調査・支援要請があった場
合、両者の間で「個人情報授受確認書」（以下「授受確認書」という。
）を取り交わした後、個人データを取り扱っていた。なお、令和５年上半期における、授受確認書によるエムケイ社の個人データ取扱い実績は、合計 20 件であった。
・ 授受確認書には、「個人情報保護法を遵守し、下記目的達成の為に個人情報を授受します。」「媒体 お客様の委託データ」「授受の形態保守用 ID によるデータ調査」などの記載がある。
・ エムケイ社は、保守用 ID を有しており、これを用いて、本件システム上の個人データにアクセスすることが可能であった。
(4) 検討ア

利用規約
本件利用規約においては、エムケイ社がサービスに関して保守運用上又は技術上必要であると判断した場合、ユーザがサービスにおいて提供、伝送するデータ等について、監視、分析、調査等、必要な行為を行うことができる旨が規定されていた。また、本件利用規約において、エムケイ社は、ユーザの顧問先に係るデータを、一定の場合を除き、ユーザの許可なく使用し、又は第三者に開示してはならないという旨が規定されており、エムケイ社は、当該利用規約に規定された特定の場合には、社労士等のユーザの顧問先に係る個人データを使用等できることとなっていた。
イ

アクセス制御エムケイ社は、保守用 ID を有しており、それを利用して本件システム内の個人

3

漏えい等報告において、現時点で本人数不明として報告されているものを除く。また、本人数については社労士事務所等と顧問先事業者とで重複して報告している可能性がある。

2

データにアクセス可能な状態であり、エムケイ社の取扱いを防止するための技術的なアクセス制御等の措置は講じられていなかった。
ウ

エムケイ社がユーザに提供するサービスの性質
ソフトウェアをインターネット経由で利用できるタイプのクラウドサービスにおいては、様々なアプリケーションやソフトウェアの提供があり得るところ、本件システムは、ユーザである社労士事務所や企業等が社会保険及び雇用保険の申請手続や給与計算等をオールインワンで行うことができるというものである。すな
わち、本件においてエムケイ社がクラウドサービス上で提供するアプリケーションは、ユーザである社労士事務所や企業等が、個人の氏名、生年月日、性別、住所及び電話番号などの個人データを記録して管理することが予定されているものであり、実際に大量の個人データが管理されていた。
エエムケイ社による個人データの取扱いの状況
本件では、エムケイ社が、ユーザと授受確認書を取り交わした上で、実際にユーザの個人データを取り扱っていた実績がある。
オ

小括
以上の事実関係を考慮すると、本件において、クラウドサービス提供事業者であるエムケイ社がガイドラインＱ＆Ａ7-53 の「個人データを取り扱わないこととなっている場合」とはいえず、また、個人データの取扱いを防止するための適切なアクセス制御は行われていなかったことが認められる。したがって、本件において、エムケイ社は、個人情報取扱事業者としてユーザから個人データの取扱いの委託4を受けて個人データを取り扱っていたといえる。
(5) 補足ガイドラインＱ＆Ａ7-55 では、「単純なハードウェア・ソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守サービス事業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供に該当」しないこととされている。ここでは、例として、「保守サービスの作業中に個人データが閲覧可能となる場合であっても、個人データの取得（閲覧するにとどまらず、これを記録・印刷等すること等をいう。）を防止するための措置が講じられている場合」等が挙げられており、「取扱いを防止するためのアクセス制御等の措置」が講じられているか否かが重要である。
本件において、エムケイ社が有する保守用 ID については、個人データの取得を防止するための技術的な措置は講じられていないことから、個人データの提供に該当し、委託に基づき個人データを取り扱っているものと認められる。

4

個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4 において、「『個人データの取扱いの委託』とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。」ものとされている。

3

４．法律上の問題点(1) エムケイ社について－安全管理措置（法第 23 条）の不備
法第 23 条において、「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」と規定している。個人情報の保護に関する法律についてのガイドラ
イン（通則編）（以下「ガイドライン」という。
）「10（別添）講ずべき安全管理措置の内容」において、個人情報取扱事業者は、技術的安全管理措置として、「個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。」（10-6(2)アクセス者の識別と認証）とされ、また、「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。」（106(3)外部からの不正アクセス等の防止）とされている。
しかしながら、エムケイ社においては、ユーザのパスワードルールが脆弱であったこと、また、管理者権限のパスワードも脆弱であり類推可能であったことから、アクセス者の識別と認証に問題があった。また、ソフトウェアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかったことから、外部からの不正アクセス等の防止のための措置についても問題があった。
したがって、エムケイ社においては、技術的安全管理措置に不備が認められる。
(2) ユーザ（エムケイ社の委託元）について
本件では、エムケイ社の技術的安全管理措置の不備が原因となり、ランサムウェアの侵入を許し、個人データの漏えい等のおそれが生じた。したがって、本件漏えい等事態
は、クラウドサービス事業者であるエムケイ社側の責任の範囲において生じた事態であり、ユーザには、法第 23 条が求める安全管理措置のうちエムケイ社のような技術的安全管理措置の不備は認められない。
他方、法第 25 条において、「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と規定している。法第 25 条に関するガイドライン 3-4-4 では、委託元である個人情報取扱事業者
は、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、適切な委託先の選定、委託契約の締結及び委託先における個人データ取扱状況の把握について、必要かつ適切な措置を講じなければならないことが規定されている。
本件漏えい等事態発覚当時のエムケイ社のウェブサイトにおいては、本件サービスに関し、万全のデータセンターとセキュリティ管理をしている旨が記載され、また、漏4えい対策についても万全の体制である等と記載されていた。本件において、ユーザの多くは、エムケイ社に対する個人データの取扱いの委託を行っていたとの認識が薄く、委託先の監督が結果的に不十分となっていた可能性がある。
(3) クライアント（ユーザの委託元）について
本件システムのユーザである社労士事務所に対して個人データの取扱いを委託していたクライアントも、個人情報取扱事業者として従業者の個人データを取り扱っていたところ、自らも法第 23 条が求める安全管理措置を講ずる義務を負うとともに、委託先である社労士事務所に対し、法第 25 条が求める委託先の監督義務を負う。
しかしながら、本件において、クライアントの多くは、社労士事務所に対して個人データの取扱いの委託及びエムケイ社に対する再委託を行っていたとの認識が薄く、委託先等への監督が結果的に不十分となっていた可能性がある。
(4) 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25年法律第 27 号。以下「番号法」という。
）上の問題点について本件システムにおいてはマイナンバーも取り扱われていたが、電子申請時等にマイナンバーを入力しても、原則的にマイナンバーは保管されない仕組みであった。また、ユーザが、オプションサービスを利用する場合にマイナンバーが管理されることがあったが、その場合は、高度な暗号化による秘匿化がされた状態で保管されていたものと認められた。
したがって、エムケイ社に対し、番号法の規定による指導は行わないこととする。
５．当委員会の対応(1) エムケイ社
エムケイ社は、本件を機にデータセンターにおける本件システムの提供を停止し、よりセキュリティが強化されている環境で本件システムを再構築し、サービスを再開した。しかしながら、本件システムのユーザである社労士事務所や企業等から大量の個人データの取扱いの委託を受けていること及びエムケイ社の安全管理措置の不備が認められたことに鑑み、以下の対応を行う。
ア法第 147 条の規定による指導・法第 23 条及びガイドラインに基づき、必要かつ適切な措置を講ずること。

・ 再発防止策を確実に実施するとともに、爾後、適切に運用し、継続的に個人データの漏えい等の防止その他の個人データの安全管理のために必要かつ適切な措置を講ずること。
イ法第 146 条第１項の規定による報告徴収
・ 法第 146 条第１項の規定により、再発防止策の実施状況について、関係資料を提出の上、令和６年４月 26 日までに報告するよう求める。

5

(2) ユーザ及びクライアントについて
本件において、ユーザは、クライアントの従業員等の多数の個人データを取り扱っているところ、前述のとおり、ユーザ及びクライアントにおいて本件が個人データの取扱いの委託又は再委託を行っているとの認識が薄く、委託先等の監督が結果的に不十分となっていた可能性がある。
ユーザ及びクライアントの安全管理措置並びにエムケイ社に対する監督の実施状況は、個々のユーザ及びクライアントによって異なり得るため、実際にエムケイ社による個人データの取扱いがあったユーザ及びクライアントを中心に今後も継続して調査し、権限行使を含めた必要な対応を検討する。
(3) 注意喚起
今回、各事業者において、クラウドサービスの利用が委託等に該当する場合があることの理解が不足していたと考えられることから、クラウドサービスを利用して個人データを取り扱う場合及び個人データの取扱いの委託先がクラウドサービスを利用している場合に関し、①クラウドサービスの利用が、法第 27 条第５項第１号に規定される「個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」に該当する場合があること及び②①に該当する場合には、委託元は委託先に対する監督義務があることについて、注意喚起を実施することとする。
以6

上資料１－２

本事案の概要クラウドサービス
提供事業者

エムケイ社

公表資料

ランサム
ウェア攻撃

業務支援
システム

個人データ

暗号化
個人データの取扱いの再委託

個人データの取扱いの委託

社労士事務所等
ユーザ

企業等
報告件数: 204件
本人数計: 379,346人

報告件数: 2,459件
本人数計: 6,724,609人

個人データの取扱いの委託

報告件数

顧問先事業者
クライアント

報告件数: 404件
本人数計: 392,125人

従業員

従業員

本人数計

社労士事務所等

2,459 件6,724,609 人

顧問先事業者

404 件

392,125 人

企業等

204 件

379,346 人

合計3,067 件

7,496,080 人※図中の本人数計は、個人情報保護委員会に提出された漏えい等報告のうち、令和６年３月８日時点のものである（本人数不明として報告されているものを除く）。また、本人数は、社労士事務所等と顧問先事業者とで重複して報告している可能性がある。
※エムケイ社からの情報によると、本件システムで管理する本人数は、令和５年６月５日時点で、最大約2,242万人とのことである。

資料１－３

クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）
令 和 ６ 年 ３ 月 25 日
個人情報保護委員会
今般、クラウドサービス提供事業者が提供する業務システムが不正アクセス被害を受け、クラウド環境で管理されていた多数の個人情報取扱事業者（以下「クラウドサービス利用者」という。）の顧客の従業員の個人データが暗号化され、漏えい等のおそれが生じた事案について、当委員会は、本件クラウドサービ
ス提供事業者が、クラウドサービス利用者から個人データの取扱いの委託を受けて個人データを取り扱うものであり、個人情報の保護に関する法律（平成 15年法律第 57 号。以下「法」という。）上の「個人情報取扱事業者」に該当すると判断しました。
当該事例も踏まえ、クラウドサービスの利用に当たっては、以下の点に留意していただくようお願いいたします。
１

クラウドサービスを利用して個人データを取り扱う場合の留意点(1) 個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用する場合、個人データの安全管理のために必要かつ適切な措置を講ずるために、クラウドサービスの利用が、個人データの取扱いの委託（法第 27 条第５項第１号）に該当するかどうかを判断する必要があります。
また、委託に該当する場合には、クラウドサービス利用者である個人情報取扱事業者は、委託先に対する必要かつ適切な監督を行わなければなりません（法第 25 条）。
(2) 「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ（以下「ガイドラインＱ＆Ａ」という。）の７－53 により、委託（又は本人の同意が必要な第三者提供）に該当するかどうかは、クラウドサービス提供事業者において、個人データを取り扱うこととなっているのか又は取り扱わないこととなっているのかのいずれであるかが判断の基準となります。
当該クラウドサービス提供事業者が、「当該個人データを取り扱わないこととなっている場合」とは、契約条項によって当該クラウドサービス提供事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられるとされています。

1

今回の事例において、クラウドサービス提供事業者が個人情報取扱事業者に該当すると判断された考慮要素は以下のとおりですので御留意ください(なお、以下における「クラウドサービス利用者」とは、冒頭に記載したとおり個人情報取扱事業者です。)。
○ 利用規約において、クラウドサービス提供事業者が保守、運用上等必要であると判断した場合、データ等について、監視、分析、調査等必要な行為を行うことができること及びシステム上のデータについて、一定の場合を除き、許可なく使用し、又は第三者に開示してはならないこと等が規定され、クラウドサービス提供事業者が、特定の場合にクラウドサービス利用者の個人データを使用等できることとなっていたこと。
○ クラウドサービス提供事業者が保守用 ID を保有し、クラウドサービス利用者の個人データにアクセス可能な状態であり、取扱いを防止するための技術的なアクセス制御等の措置が講じられていなかったこと。
○ クラウドサービス利用者と確認書を取り交わした上で、実際にクラウドサービス利用者の個人データを取り扱っていたこと。
２

クラウドサービス利用者による、委託先（クラウドサービス提供事業者）の監督に関する留意点
個人情報の保護に関する法律についてのガイドライン（通則編）（以下「ガイドライン」という。）３－４－４において、個人情報取扱事業者は、個人データの取扱いを委託するに当たって、法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が委託先において講じられるよう監督を行うものとされています。
特に、個人情報取扱事業者が、クラウドサービス提供事業者に個人データの取扱いを委託する場合には、以下のような点について御留意ください。
サービスの機能やサポート体制のみならず、サービスに付随するセキュリティ対策についても十分理解し、確認した上で、クラウドサービス提供事業者及びサービスを選択してください。
個人データの取扱いに関する、必要かつ適切な安全管理措置（個人データの取扱いに関する役割や責任の分担を含みます。）として合意した内容を、規約や契約等でできるだけ客観的に明確化してください（ガイドラインＱ＆Ａ５－８参照）。
利用しているサービスに関し、セキュリティ対策を含めた安全管理措置の状況について、例えば、クラウドサービス提供事業者から定期的に報告を受ける等の方法により、確認してください。

2

３

個人データの取扱いの委託先がクラウドサービスを利用している場合の留意点
例えば、従業者等の個人データを取り扱う個人情報取扱事業者が、個人データの取扱いを外部の事業者に委託している場合に、当該委託先事業者が、クラウドサービス提供事業者が提供するアプリケーションを利用して、委託された個人データを取り扱っているケースがあります。この場合、委託元である個人情報取扱事業者は、委託先事業者に対する監督の一内容として、当該クラウドサービスの安全性などを委託先事業者に確認することが考えられます。
ガイドラインでも、「委託元が委託先について『必要かつ適切な監督』を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する」ものとされています（ガイドライン３－４－４）。
委託元である個人情報取扱事業者においては、前記１のとおり、委託先事業者のクラウドサービスの利用によって、当該委託先事業者からクラウドサービス提供事業者に対する「再委託」となっている場合があることを念頭において、法第 23 条が求める個人データの安全管理のために必要かつ適切な措置及び法第 25 条が求める委託先に対する必要かつ適切な監督を行うよう留意してください。
以 上3