資料７
公表資料

令和６年〇月〇日
個人情報保護委員会

一般送配電事業者及び関係小売電気事業者による新電力顧客の個人情報の不適切な取扱い事案における再発防止策の実施状況及び全社的総点検の結果について

・ 個人情報保護委員会（以下「当委員会」という。
）は、電力の送配電を行う事業者（以下「一般送配電事業者」という。
）及びそのグループ会社又は同一会社の小売部門である電力の小売を行っている事業者（以下「関係小売電気事業者」という。
）に対し、令和５年６月 29 日に個人情報の保護に関する法律（平成 15年法律第 57 号。以下「法」という。）第 147 条の規定による指導を行うとともに、法第 146 条第１項の規定に基づき再発防止策の実施状況及び個人情報の取扱いに関する全社的総点検の結果等について報告を求めた。
・ 一般送配電事業者及び関係小売電気事業者の再発防止策の実施状況について確認したところ、現時点において当委員会の各事業者に対する個別の指導事項に係る改善措置に一定の取組が認められた。当委員会は、今後も引き続き再発防止のための措置の実施状況を注視していく。
・ 個人情報の取扱いに関する全社的総点検の結果、一部の事業者に不適切な事象（計 23 件。北陸電力送配電株式会社及び北陸電力株式会社４件、関西電力送配電株式会社及び関西電力株式会社３件、中国電力ネットワーク株式会社及び中国電力株式会社５件並びに九州電力送配電株式会社及び九州電力株式会社 11件）が認められたところ、以下のとおり対応する。
事象の原因は、一般送配電事業と関係小売電気事業の分社時である令和２年４月又は当該システムの開設時に発生した不備であり、当該時期は当委員会が令和５年６月 29 日付けで一般送配電事業者及び関係小売電気事業者に対して法に基づく改善指導を行った対象期間内であること、かつ当該不備については、所要の改善措置が既になされている又は行われる予定となっており、一定の取組が認められることから、今回重ねての指導は行わないこととするが、今後も引き続き再発防止のための措置の実施状況を注視していく。
なお、関西電力株式会社が保有する業務システム及び情報共有基盤に関する調査（下記表「全社的総点検で判明した主な事象の概要」(2)ア））については、同社による調査が継続中であり、調査結果を踏まえて今後の対応を検討する。

1

〇本件事案の発生時において認められた問題点と指導事項についての主な改善状況
一般送配電事業者
問題点該当する事業者

指導事項についての改善状況

実施した事業者

中部電力パワーグリッド(株)・新電力顧客の個人データが閲覧可能となっていたシステム（以下「本件システム」という。）の画面における当該情

中部電力パワーグリッド(株)北陸電力送配電(株)報の非表示やマスキングによる情報遮断措置を行った。

関西電力送配電(株)・法第 23 条が求める安

東北電力ネットワーク(株)全管理措置のうち、技術的安全管理措置及び組織的安全管理措置に関西電力送配電(株)不備があった。

中国電力ネットワーク(株)・本件システム上の新電力顧客の個人データを閲覧できる設定がなされた端末（以下「送配電用設定端末」という。
）

四国電力送配電(株)を起動させる際に、ＩＤカードを使った個人認証によるアクセス制御を導入し、関係小売電気事業者が新電力顧客の個九州電力送配電(株)人データを閲覧できないようにした。

沖縄電力(株)

技術的安全管理措置

中国電力ネットワーク(株)東北電力ネットワーク(株)・現在も本件システムの物理的分割がなされていない一般送配電事業者は、他の一連の措置により本件システムの論理

東北電力ネットワーク(株)的分割を当面維持しつつ、令和８年３月から令和 13 年３月末までの間に、システムの物理的分割を実現し、関係小売中部電力パワーグリッド(株)電気事業者による新電力顧客の個人データへのアクセスを完全に遮断することを目指している。

北陸電力送配電(株)関西電力送配電(株)中国電力ネットワーク(株)沖縄電力(株)

組織的安全管理措置
・本件システムのアクセスログを定期的に解析し、関係小売電気事業者による本件システムへの不適切なアクセスがな中部電力パワーグリッド(株)いかを確認することとした。

関西電力送配電(株)中国電力ネットワーク(株)四国電力送配電(株)九州電力送配電(株)沖縄電力(株)・「三線ディフェンス」（第一線（本支店営業部や営業事務所で従業者の個人データの取扱いをチェックする）、第二線

東北電力ネットワーク(株)（本部の情報通信等・総務担当部署が第一線の行為規制の遵守状況を監視する）及び第三線（監査部署が、第一線によ中部電力パワーグリッド(株)る再発防止策及び行為規制の遵守、並びに第二線による第一線の監視を監査する））の機能を強化するため、行為規制

北陸電力送配電(株)の遵守状況や中立性を評価する委員会を第二線や第三線に新設するなど、監査機能に外部専門家を加えたシステム監

沖縄電力(株)査を導入する等の改革を行った。
・法第 23 条が求める安

東北電力ネットワーク(株)物理的安全管理措置

東北電力ネットワーク(株)全管理措置のうち、物・送配電用設定端末の配置と管理方法を従業者に教育し、当該端末を配置した部屋を施錠し、当該端末が配置された自社

理的安全管理措置に不の委託先用スペースと関係小売電気事業者の委託先用スペースを隔壁で分割し、物理的に隔離した。

備があった。

2

・法第 23 条が求める安

東北電力ネットワーク(株)人的安全管理措置

全管理措置のうち、人

中部電力パワーグリッド(株)・行為規制の遵守と個人情報保護の徹底に関する社長ほか幹部から全従業者へのメッセージ、行為規制や個人情報保護に 中部電力パワーグリッド(株)東北電力ネットワーク(株)的安全管理措置に不備

北陸電力送配電(株)特化した研修や理解度テスト、情報セキュリティに関する社内での情報発信、ケーススタディを用いた職場でのディスカ 北陸電力送配電(株)があった。

関西電力送配電(株)ッション等を実施した。

関西電力送配電(株)中国電力ネットワーク(株)中国電力ネットワーク(株)四国電力送配電(株)四国電力送配電(株)九州電力送配電(株)九州電力送配電(株)沖縄電力(株)沖縄電力(株)・法第 25 条が求める委

関西電力送配電(株)

委託先の監督託先への必要かつ適切

中国電力ネットワーク(株)・委託した個人データの取扱状況を把握するため、関電システムズ（株）、関電サービス（株）及び本件システムを 関西電力送配電(株)な監督が十分でなかっ四国電力送配電(株)利用する他の委託会社を監査したところ、前回指導時以降における情報管理体制や本件システムの管理に問題は認めた。

九州電力送配電(株)られなかった。

沖縄電力(株)・最終保障供給の業務委託契約に基づき委託先（委託を受けた関係小売電気事業者を含む。）が必要な本件システム 中国電力ネットワーク(株)内の個人データを、委託業務部署のみ閲覧できるようアクセス制限した。また、非常災害時対応の委託業務の際に本件システムにアクセスするカードを委託先に都度貸与し解除時に返却させ、返却の都度ＩＤ及びパスワードをランダムなものに変更することとした。
・災害等非常時に限って本件システム上の個人情報を利用することを、機密保持・安全管理に関する報告事項に追加

四国電力送配電(株)した。
・非常災害時における委託先への端末の貸与・返却の状況を管理し、災害時終了後に全端末の返却を確認することと九州電力送配電(株)した。また、貸与の都度ＩＤ及びパスワードを設定し、貸与終了後、パスワードを変更した。加えて、内部監査においてシステムのＩＤ及びパスワード並びに端末の管理を確認することとした。
・委託先の従業者に個人データの適正な管理を教育することを委託契約書に定め、委託先の従業者に委託元の従業者沖縄電力(株)と同等の教育ができるよう支援する等の取組を行った。
・離島等供給契約の受付・料金計算事務や防災体制発令時における広報業務の委託業務について、 個人情報保護や 中国電力ネットワーク(株)セキュリティに関するチェックリスト、機密保持・安全管理報告書の毎年の提出や監査により委託先の安全管理措置の遵守状況を確認することとした。
・委託先による本件システムへのアクセスログを確認し、委託業務以外での本件システムの利用がないことを確認し中国電力ネットワーク(株)た。

四国電力送配電(株)3関係小売電気事業者
問題点

該当する事業者指導事項についての改善状況

実施した事業者

中部電力ミライズ(株)・電気事業法の遵守並びにＩＤ及びパスワードの厳正管理等、個人情報の適正な取得に重点を置いた全従業者

中部電力ミライズ(株)関西電力(株)向け研修と理解度チェックを行い、分析結果を以降の教育に反映することとした。

く」個人情報の取得に該当し、法第 20 条第１中国電力(株)・毎年実施される個人情報に関する各部署の自己点検の項目に「個人情報の適正な取得」を追加し、点検結果

中部電力ミライズ(株)項（適正な取得）の規定に違反していた。

四国電力(株)を集約することとし、点検結果の有効性の確認のため、部署への訪問、聞き取り調査及び現地調査を行うこと

関西電力(株)九州電力(株)とした。また、全社的な個人情報の適正管理の取組を推進する部署が各部署をモニタリングすることとした。 中国電力(株)・一般送配電事業者と共同利用していた個人

東北電力(株)情報データベース等からの新電力顧客の個人情報の取得は、「不適法な」又は「適正性を欠適正な取得・行為規制の遵守やコンプライアンスを推進する部署を新設し、法令遵守及び再発防止策の実施状況を確認し、 東北電力(株)さらに、監査部署が、不正の手段による個人情報の取得がないかを監査の重点事項とし、各部署の自己点検と四国電力(株)行為規制や情報管理を推進する部署による確認が機能しているかも監査することとした。また、社外有識者等の第三者による助言及び指導を受ける仕組みを導入した。
・全従業員向け e ラーニングによる研修、各職場でのディスカッション及びメールマガジンの配信等により、 関西電力(株)従業員の個人情報の適正な取扱いに関する意識を醸成することとした。
・支店営業部や営業センター等 （第一線）に対する本部（第二線）の指導による再発防止策の有効性を監査部

九州電力(株)署（第三線）が監査したり、特定の事項に係る再発防止策の取組みへの監査（テーマ監査）を行うことにより、不適正な手段による顧客情報の取得が行われていないかをチェックすることとした。
・法第 23 条が求める安全管理措置のうち、組

東北電力(株)

織的安全管理措置に不備があった。

中部電力ミライズ(株)組織的安全管理措置
・全営業所の個人情報保護や情報セキュリティルールの遵守状況を定期的に確認する点検の際や、監査部署等

東北電力(株)関西電力(株)が行為規制の遵守状況を定期的に確認する際、「個人情報の適正な取得」を重点化することとした。

中部電力ミライズ(株)中国電力(株)関西電力(株)四国電力(株)中国電力(株)九州電力(株)・監査部署等が、個人情報の適正な取得に関する従業者の意識が研修で定着しているかを確認することとした。 東北電力(株)中部電力ミライズ(株)中国電力(株)・本件システム上の新電力顧客の個人データの閲覧及び利用が、委託業務時に限定されているかについて、定四国電力(株)期的に監査を行うこととした。

九州電力(株)・法第 23 条が求める安全管理措置のうち、人

東北電力(株)

人的安全管理措置

的安全管理措置に不備があった。

中部電力ミライズ(株)・電気事業法上の行為規制の理解浸透に必要な教育・研修、適正な手段での個人情報の取得を行動指針に明記

北陸電力(株)した。

関西電力(株)・個人情報の適正な取扱い及び個人情報の目的外利用の禁止に係る遵守事項、並びに本件事案の問題点を、行

中部電力ミライズ(株)中国電力(株)

為規制や個人情報保護に関する定期的な教育・研修に反映させた。

北陸電力(株)東北電力(株)四国電力(株)関西電力(株)九州電力(株)中国電力(株)四国電力(株)4

・外部専門家による研修を行うこととした。

東北電力(株)・行為規制や法令遵守の徹底に関する従業者向け社長メッセージを行った。

北陸電力(株)・コンプライアンス研修において、①一般送配電事業者が保有するシステムのＩＤ及びパスワードの委託業務

九州電力(株)以外の目的での利用禁止、②非常災害対応に係る委託業務の終了後に一般送配電事業者から取得したデータ・資料を破棄・返却することについて、教育した。
・全従業者を対象とするグループ討議において、「適正な取得」の規定違反とＩＤ及びパスワードの管理不備を九州電力(株)指定課題とした。
・法第 25 条が求める委託先への必要かつ適切な監督が十分でなかった。

東北電力(株)

委託先の監督・関係小売電気事業者は、安全管理措置の徹底を含む個人データの適正な取扱いを委託先に注意喚起した。さらに、関係小売電気事業者と一般送配電事業者の両社から委託されている委託先の研修室を各社専用研修室に区分けするとともに、委託先用執務室への入室制限や委託業務スペースへの隔壁の新設による執務室の区分けを実施した。

5

東北電力(株)〇全社的総点検で判明した主な事象の概要
該当する事業者

事象の概要

改善措置

(1)北陸電力(株)ア)及び化された際、情報遮断すべきとの認識が薄く、検討対象から漏れたことが原因で、電気料金の支払いに係る北陸電力(株)の顧客の口座情報北陸電力(株)が北陸電力送配電(株)と共用する営業システムにおいて、令和２年４月に北陸電力(株)から北陸電力送配電(株)が分社

北陸電力送配電を、北陸電力送配電(株)において閲覧できる状態であることが判明した。ただし、北陸電力送配電(株)は当該情報を業務に利用していない。

(株)

イ)

北陸電力送配電(株)が管理し、かつ北陸電力(株)との共同利用の対象外である電柱敷地管理及び電柱添架契約に関する情報を、北陸電力(株)が営業システム上で閲覧できる状態であることが判明した。ただし、閲覧した情報を電力小売業務や私的目的に利用した実績はな

北陸電力送配電(株)のシステム画面において表示されないよう、マスキング処理を行った。
北陸電力(株)の当該システム画面に当該情報が表示されないようシステム改修を実施した。

く、新電力顧客情報も含まれていない。
ウ)

北陸電力送配電(株)が管理し、かつ北陸電力(株)との共同利用の対象外である電柱等支障移設に関する情報が、北陸電力(株)におい北陸電力(株)の当該情報の利用権限を削除した。て営業システムの画面で閲覧できる状態であり、北陸電力(株)が顧客からの問い合わせへの対応のために当該情報を利用していたことが判明した。ただし、新電力顧客情報は含まれていない。
(2)関西電力(株)ア)及びする顧客の個人データへのアクセス権限の設定や顧客情報に係る共同利用プライバシーポリシーの遵守状況について調査を実施中である。 である。

関西電力(株)は、関西電力送配電(株)と共同利用するシステムや情報共有基盤（ファイル等を保管するデータストレージ等）で保有

当該調査を完了するには、まだ時間を要する見込み

関西電力送配電イ)

関西電力(株)が管理し、関西電力送配電(株)と共同利用する両社のＩＴコストの視覚化を目的とするウェブサイトに関し、①関西電両社は、他方の会社の業務委託先従業者情報を閲覧(株)

力送配電(株)の業務委託先の従業者の個人データが、関西電力(株)の従業者によっても閲覧できる状態であること及び②関西電力(株)の業できないよう、アクセス権を制限する措置を実施し務委託先の従業者の個人データが、関西電力送配電(株)の従業者によっても閲覧できる状態であること、が判明した。ただし、両社とも、 た。
閲覧可能な状態であった情報を利用していない。
(3)中国電力(株)ア)及びム画面の一部に表示されていたことが判明した。ただし、中国電力ネットワーク(株)は、当該情報を利用していない。

中国電力ネットワーク(株)との共同利用の範囲に含まれない中国電力(株)の顧客の口座情報が、中国電力(株)が保有する本件システ

中国電力(株)は、中国電力ネットワーク(株)からのアクセスの大部分を占める、 電気料金を照会する

中国電力ネット

画面のアクセスを遮断し、その他の画面のアクセスワーク (株)遮断やマスキング処理を段階的に実施した。
イ)

中国電力(株)のカスタマーセンターにおいて、中国電力ネットワーク(株)のスマートメーターの運用を管理するシステム上の新電力

中国電力ネットワーク(株)は、中国電力(株)の当該顧客の個人データを閲覧し、自己の業務に利用していたことが判明した。

システムへのアクセス権限を削除した。

ウ)

中国電力ネットワーク(株)が電力を供給するために必要な電線の引込柱を照会するシステム上の新電力顧客の個人データを、中国電

中国電力ネットワーク(株)は、中国電力(株)が当該力(株)において閲覧できる状態であることが判明した。ただし、中国電力(株)は、当該新電力顧客の個人データを業務上何らかの用途に用情報にアクセスできないよう当該システムを改修いたことはない。

した。

(4)九州電力(株)ア)

九州電力送配電(株)の当該電子帳票へのアクセス及びの個人データを、九州電力送配電(株)の従業者が閲覧し、自己の業務に使用していた。なお、当該個人データは、当該両会社による共同利九州電力送配電用の対象ではなく、新電力顧客の個人データも含まれていない。

(株)

イ)

九州電力送配電(株)及び九州電力(株)が共有するシステム上で、九州電力(株)が保有し管理する、低圧料金に係る電子帳票上の顧客

九州電力(株)が分社前に顧客から取得し、九州電力送配電(株)が承継した本件システムに残された電気料金振替決済用の顧客の口座情報が、九州電力送配電(株)によって閲覧できる状態となっていた。ただし、九州電力送配電(株)は九州電力(株)からの分社（令和２年４月）後は、当該情報を利用していない。

6

権限を削除した。

九州電力送配電(株)は、当該顧客の口座情報を削除することとした。