メールマガジンアーカイブ（２０２６年６月）

※本記事は、２０２６年６月に、顧問先様へ配信したメールマガジンのアーカイブです。

万和法律事務所の弁護士福本・中島・千代・中尾です。

今回のメールマガジンでは、九州電力送配電による大規模な顧客情報紛失のニュースを題材に、企業における個人情報の管理体制と、委託先管理のあり方についてご紹介します。

———————————-以下引用————————————

九州電力子会社の九州電力送配電（福岡市）は８日、契約者名や住所など最大１０９０万件分の顧客情報を保存した外部記憶媒体を紛失したと発表した。九州全域の電気契約者ほぼ全てにあたる規模という。現時点で情報流出は確認されていないが、無断持ち出しの可能性があるとして福岡県警に被害届を提出している。

発表によると、保存していたのは、九州電力や新電力会社と契約を結んでいた個人・法人や、引っ越しなどの手続きをした顧客の情報。電話番号や契約する電力会社名も入っていた。銀行口座やクレジットカード情報、契約者の年齢は含まれていない。

データのバックアップ作業のため、委託先の従業員が４月２７日に持ち運び可能な外付けの記憶装置「ＳＳＤ」１個に顧客情報を保存し、サーバー室のキャビネットに保管したが、５月２６日に紛失が判明した。

（読売新聞　２０２５年６月８日）

———————————-引用ここまで————————————

本ニュースは、九州全域の電気契約者のほぼ全てにあたる最大１０９０万件という、極めて大規模な個人情報の紛失事案です。

注目すべきは、当事者が大企業であること以上に、紛失が「委託先の従業員」による「バックアップ作業」という、どの企業でも日常的に行われている業務の中で発生している点です。皆様にとっても決して他人事ではありません。

個人情報の保護に関する法律は、個人情報を取り扱う事業者に対し、主に次の義務を課しています。

第一に、安全管理措置義務です（同法２３条）。事業者は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、必要かつ適切な措置を講じなければなりません。

第二に、委託先の監督義務です（同法２５条）。事業者が個人データの取扱いを委託する場合、委託を受けた者に対し、必要かつ適切な監督を行わなければなりません。本ニュースのバックアップ作業のように業務を外部に委託している場合、委託元は「任せきり」では足りず、委託先が適切な安全管理措置を講じているかを継続的に監督する責任を負います。仮に委託先の従業員の行為によって漏えい等が生じた場合でも、委託元である事業者自身の監督義務違反が問われ得る点に注意が必要です。

万一、個人データの漏えい・滅失・毀損（又はそのおそれ）が生じた場合、一定の要件を満たす事態については、個人情報保護委員会への報告と、本人への通知が義務付けられています（同法２６条）。

今回のニュースのような大企業でなくとも、皆様には次の点をご確認いただくことをお勧めします。

第一に、外部記憶媒体（ＵＳＢメモリ・外付けＳＳＤ等）の取扱いルールの整備です。誰が、いつ、どのデータを、どの媒体に保存し、どこに保管・持ち出すのかを記録・管理する体制が整っているか、改めてご確認ください。可能な限り、保存データの暗号化やパスワード設定を行うことが、万一の紛失時の被害を大きく軽減します。

第二に、委託契約の点検です。バックアップ・クラウド保存・データ入力など、個人情報の取扱いを外部に委託している場合、委託契約書に安全管理措置や再委託に関する条項、漏えい時の報告義務が適切に定められているか、そして実際に委託先がこれを遵守しているかをご確認ください。

契約書を締結しているだけでは十分ではありません。

・暗号化されているか

・持ち出し記録が残るか

・再委託先まで管理できているか

・委託先の担当者教育はされているか

といった事項の確認が必要です。

第三に、漏えい時対応の準備です。どのような場合に委員会への報告・本人通知が必要となるのか、社内の連絡体制を含めて、平時から確認しておくことが望まれます。

当事務所では、

・委託契約書のチェック

・個人情報管理規程の整備

・漏えい対応マニュアルの作成

・従業員向け研修

など、企業の実情に応じた支援を行っています。

「今の契約内容で十分か」「現在の運用で法的リスクはないか」といった点検だけでも対応しておりますので、お気軽にご相談ください。

（文責：弁護士　中尾二郎）

※本メールマガジンの転載、紹介は可能です。但し、全文を必ず掲載して下さい。