公表資料

News Release

資源エネルギー庁が保有する「再エネ業務管理システム」内の保有個人情報の漏えい等事案に対する個人情報の保護に関する法律に基づく行政上の対応について

令和５年６月 29 日

個人情報保護委員会は、資源エネルギー庁に対し、令和５年６月 29 日に個人情報の保護に関する法律第 157 条に基づく指導を、電力の送配電を行う事業者並びに一般送配電事業者のグループ会社又は同一会社の小売部門である電力の小売事業を行っている電力各社に対し、個人情報保護法第 147 条に基づく指導をそれぞれ行いましたので、お知らせいたします。

【連絡先】
個人情報保護委員会事務局
監視・監督室
電話：03-6457-9680（代）資源エネルギー庁が保有する「再エネ業務管理システム」内の保有個人情報の漏えい等事案に対する個人情報の保護に関する法律に基づく行政上の対応について
令 和 ５ 年 ６ 月 29 日
個人情報保護委員会
個人情報保護委員会は、資源エネルギー庁に対し、令和５年６月 29 日に個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 157 条に基づく指導等を、電力の送配電を行う事業者（以下「一般送配電事業者」という。）である北海道電力ネットワーク株式会社、東北電力ネットワーク株式会社、東京電力パワーグリッド株式会社、中部電力パワーグリッド株式会社、北陸電力送配電株式会社、関西電力送配電株式会社、中国電力ネットワーク株式会社、四国電力送配電株式会社、九州電力送配電株式会社及び沖縄電力株式会社（送配電部門）、並びに、一般送配電事業者のグループ会社又は同一会社の小売部門である電力の小売事業を行っている電力各社（以下「小売電気事業者」という。
）である北海道電力株式会社、東北電力株式会社、東京電力エナジーパートナー株式会社、中部電力ミライズ株式会社、北陸電力株式会社、関西電力株式会社、中国電力株式会社、四国電力株式会社、九州電力株式会社及び沖縄電力株式会社（小売部門）に対し、個人情報保護法第 147条に基づく指導等をそれぞれ行った。
事案の概要等並びに本事案における個人情報保護法上の問題点、個人情報保護法第 157 条に基づく指導等及び個人情報保護法第 147 条に基づく指導等の内容は以下のとおり。
１．事案の概要等⑴

事案の概要
資源エネルギー庁は、「再生可能エネルギー電気の利用の促進に関する特別措置法」（平成 23 年法律第 108 号。以下「再エネ特措法」という。）に基づく、再生可能エネルギーの固定価格買取制度（以下「FIT 制度」という。
）を運営する上で必要な手続を実施し、認定事業者（再生可能エネルギ
１ーによる発電を事業として実施することを計画し、その事業計画について経済産業省の認定を受けた事業者をいう。以下同じ。）に関する情報等を一元的に管理するための業務管理システム（以下「再エネ業務管理システム」という。）を管理運用している。
資源エネルギー庁は、一般送配電事業者に対し、FIT 制度運用の必要性から、再エネ業務管理システム内の保有個人情報を閲覧するためのアカウント（以下「再エネシステムアカウント」という。）として、ID 及びパスワードを発行している。
本事案は、小売電気事業者の従業者が、一般送配電事業者に付与された再エネシステムアカウントの ID 及びパスワードを利用して、再エネ業務管理システム内の保有個人情報を閲覧し、当該保有個人情報が漏えいした事案である。
⑵

小売電気事業者が再エネ業務管理システム内の保有個人情報を取得した目的
小売電気事業者が再エネ業務管理システム内の保有個人情報を取得した目的は、事案によって異なるがおおむね以下のとおりである。なお、小売電気事業者がその取得した保有個人情報を営業活動に利用した等の事実は認められない。
ア 交付金申請のエラー解消
イ 認定事業者からの照会対応【問合せ対応】
ウ FIT 認定に関する情報の確認【事務手続の効率化】
２．個人情報保護法上の問題点
本事案を端緒として、資源エネルギー庁、一般送配電事業者及び小売電気事業者において、以下のとおり、個人情報保護法上の問題点が認められた。
なお、その中には、本事案に直接関係する安全管理措置（個人情報保護法第 23 条又は第 66 条第１項）の不備（下記⑴ア、⑵、⑶）のほか、本事案に直接関係するものとまでは言い難いものの、行政機関の長等に求められる保有個人情報の漏えい等の防止その他の保有個人情報の安全管理措置の不備に関するもの（下記⑴イ）がある。
⑴ 資源エネルギー庁
２

ア

本事案に直接関係する安全管理措置の不備（ｱ）アクセス制御
・ 資源エネルギー庁は、一般送配電事業者に対して、再エネシステムアカウントの ID 及びパスワード管理に関する定めの整備及びその見直し並びにパスワードの変更や管理に関する指示等、再エネ業務管理システムにおける安全の確保に向けたアカウントの ID 及びパスワードの適切な管理のための措置を行っていなかった。
（ｲ）アクセス記録
・ 資源エネルギー庁は、再エネ業務管理システムについて、アクセスログを保存していたものの、アクセスログの定期的な分析等は実施していなかった。
（ｳ）監査及び点検の実施
・ 資源エネルギー庁は、一般送配電事業者に付与した再エネシステム
アカウント、当該アカウントの ID 及びパスワードがどのように利用されているか等について、長期間にわたり確認を行わなかった。
イ その他の保有個人情報の安全管理措置の不備（ｱ）アクセス制御
・ 資源エネルギー庁は、再エネ業務管理システム担当課室である新エネルギー課の一部職員のほか、経済産業省の各地方経済産業局の一部職員に再エネシステムアカウントを付与していたが、当該アカウントの ID 及びパスワードの管理については、当該職員任せにしており、定期的なパスワードの変更等の指示をしていなかった。
（ｲ）監査及び点検の実施
・ 監査担当部署は、監査対象となった課室が実施した自己点検の内容を確認するにとどまり、自ら証拠書類の確認や実地による確認を行っておらず、不十分な監査となっていた。
⑵ 一般送配電事業者
ア 安全管理措置の不備（個人情報保護法第 23 条）
・ 一般送配電事業者は、小売電気事業者が再エネシステムアカウントの ID 及びパスワードを利用することが可能な状態であったにもかかわらずこれを是正せず、アクセス制御を適切に実施していなかった。
３

⑶ 小売電気事業者
ア 不適正取得（個人情報保護法第 20 条第１項）
・ 本事案において、小売電気事業者が一般送配電事業者の再エネシステムアカウントを利用し、認定事業者の個人情報を取得して自社の業務のために利用する行為は、再エネ特措法第 19 条第１項第１号の趣旨に反するものであって社会通念上適正とは認められないといえる。
このため、小売電気事業者が、一般送配電事業者の再エネシステムア
カウントを利用し、自社の業務のために認定事業者の個人情報を取得する行為は、適正性を欠く方法による個人情報の取得行為であると認められる。
したがって、小売電気事業者による認定事業者の個人情報の取得は、個人情報保護法第 20 条第１項に規定する「偽りその他不正の手段」による個人情報の取得に該当する。
３．個人情報保護法第 157 条に基づく指導等及び個人情報保護法第 147 条に基づく指導等の内容⑴ 資源エネルギー庁
・ 今後、再エネシステムアカウントの ID 及びパスワードについて、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、定期的にパスワードを変更し、又は一般送配電事業者に対し、定期的にパスワードの変更を指示すること。
・ 今後、再エネ業務管理システム内の保有個人情報へのアクセス状況について、所定の手続を整備（改善を含む。）した上で、アクセスログを定期的に分析すること。
・ 今後、再エネ業務管理システム内の保有個人情報の管理の状況について、定期に、及び必要に応じ随時に監査（外部監査を含む。）を行うとともに、監査においては証拠書類の確認等を行うこと。

等⑵ 一般送配電事業者
・ 適切なアクセス制御が実施できるよう、定期的に監査を行う等して個人データの取扱状況を適切に把握すること。
⑶ 小売電気事業者
４等

・ 定期的に監査を行う等して個人情報の取扱状況を適切に把握するとともに、定期的な研修及び教育の実施を通じて、従業者に、個人情報の適正な取扱いを周知徹底すること。

等
以５上