個人情報取扱事業者の皆様へ
令 和 ５ 年 11 月 16 日
個人情報保護委員会事務局

個人情報データベース等不正提供等罪の適用事例等を踏まえた安全管理措置及び漏えい等の報告に関する留意点について（注意喚起）

今般、個人情報取扱事業者（個人情報の保護に関する法律（平成 15 年法律第 57 号。
以下「法」という。
）第 16 条第２項）の元従業者が、元勤務先が管理する名刺情報管理システムのログイン認証情報を不正に転職先の従業者に提供し、同システムを第三者が利用可能な状態に置いた事例、大手学習塾の元塾講師が当該学習塾の児童の個人情報をＳＮＳのグループチャットに投稿したとされる事例等、個人データ（法第 16 条第３項）の取扱いに関し、内部的な不正行為に起因する悪質な事例が増加している傾向があるものと思料されます。
個人情報取扱事業者の従業者等 1が、その業務に関して取り扱った個人情報データベース等2を自己若しくは第三者の不正な利益を図る目的で提供又は盗用した場合、行為者は１年以下の懲役又は 50 万円以下の罰金に処せられるところ（法第 179 条、
個人情報データベース等不正提供等罪）、上述の事例のうち、個人情報取扱事業者の元従業者が、元勤務先が管理する名刺情報管理システムのログイン認証情報を不正に転職先の従業者に提供し、同システムを第三者が利用可能な状態に置いた事例については、この個人情報データベース等不正提供等罪等により元従業者が逮捕・起訴され、有罪が確定しているところです。
これらの事例を踏まえ、法に基づく安全管理措置（法第 23 条）等及び漏えい等の報告（法第 26 条第１項）に関する留意点について、以下のとおり注意喚起を行います。個人情報取扱事業者の皆様におかれましては、本注意喚起の内容も踏まえ、引き続き、法の規律に従い、個人情報を適正に取り扱っていただくようお願いいたします。

1

個人情報取扱事業者（法人（法人でない団体で代表者又は管理人の定めがあるものを含む。
）である場合はその役員、代表者又は管理人）若しくは個人情報取扱事業者の従業者又はこれらであった者による行為が罰則の対象となります。
2
その全部又は一部を複製し、又は加工したものを含みます。

1

１

安全管理措置（法第 23 条）等に関する留意点
個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のために必要かつ適切な措置を講じる必要があります（法第 23 条）。
また、個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たり、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければなりません（法第 24 条）。
従業者等による故意の提供等の行為により漏えいする個人データには、大量かつ有用性が高い情報、機微な情報が含まれることがあるところ、従業者の教育、個人情報データベース等を取り扱う情報システムのアクセス制御・ログの定期的な分析等の必要かつ適切な安全管理措置を講じることは、法第 179 条に規定する行為を含む内部的な不正行為による個人データの漏えいを防止する観点からも重要です。
また、万が一、個人データの漏えい・漏えいのおそれが発覚した場合は、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「ＧＬ（通則編）」という。）「３－５－２ 漏えい等事案が発覚した場合に講ずべき措置」も参照の上、被害を最小限に留めるため、速やかに状況に応じた被害拡大防止のための措置を取ることも重要となります。
上記の観点からは、ＧＬ（通則編）の「10 (別添)講ずべき安全管理措置の内容」に示す安全管理措置のうち、特に以下の措置について、今一度確認・検討することが考えられます。個人情報取扱事業者の皆様におかれましては、以下の措置を含め、ＧＬ（通則編）及び「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ等を参考に、必要かつ適切な安全管理措置を講じてください。
組織的安全管理措置

・組織体制の整備
・個人データの取扱いに係る規律に従った運用
・個人データの取扱状況を確認する手段の整備・漏えい等事案に対応する体制の整備
・個人データの取扱状況の把握及び安全管理措置の見直し

人的安全管理措置・従業者の教育

物理的安全管理措置

・個人データを取り扱う区域の管理・機器及び電子媒体等の盗難等の防止
・個人データの削除及び機器、電子媒体等の廃棄

技術的安全管理措置

・アクセス制御・アクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う漏えい等の防止2

２

漏えい等の報告（法第 26 条第１項）に関する留意点
個人情報取扱事業者が、個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号。以下「規則」という。）第７条各号に掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会への報告義務を負うところ（法第 26 条第１項）、法第 179 条に規定する行為により個人データの漏えいが発生した場合は、通常、規則第７条第３号（不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態）等に該当し、報告対象事態に該当すると考えられます。
個人情報取扱事業者の皆様におかれましては、ＧＬ（通則編）「３－５個人データの漏えい等の報告等（法第 26 条関係）」も参照の上、どのような場合が報告対象事態に該当するか、報告対象事態が発生してしまった場合の漏えい等の報告の内容・方法・報告期限、及び内部的な報告体制等についても今一度確認いただき、上述の安全管理措置の一環として、平時から適切な組織体制を整備しておくことにも留意してください。

以上

3

【参考】
○個人情報の保護に関する法律（平成 15 年法律第 57 号）（抜粋）（安全管理措置）第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

（従業者の監督）
第 24 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（漏えい等の報告等）
第 26 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
２（略）

第 179 条

個人情報取扱事業者（その者が法人（法人でない団体で代表者又は管理人の定めのあるものを含む。第百八十四条第一項において同じ。）である場合にあっては、その役員、代表者又は管理人）若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、一年以下の懲役又は五十万円以下の罰金に処する。

4

○個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）（抜粋）（個人の権利利益を害するおそれが大きいもの）第７条

法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

二

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態○個人情報の保護に関する法律についてのガイドライン（通則編）
・10（別添）講ずべき安全管理措置の内容
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a10
・３－５ 個人データの漏えい等の報告等（法第 26 条関係）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-5
・３－５－２ 漏えい等事案が発覚した場合に講ずべき措置
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-5-2○「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ
https://www.ppc.go.jp/files/pdf/2305_APPI_QA.pdf

5