個人情報保護委員会（以下「当委員会」という。）は、令和５年 11 月 29 日、青森県上北郡野辺地町（以下「野辺地町」という。）における個人情報等の取扱いについて、野辺地町長に対し、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 157 条に基づく指導等を行った。
１．事案の概要
本件は、野辺地町健康づくり課において、同課で使用していたＵＳＢメモリ（以下「本件ＵＳＢ」という。）が紛失し、本件ＵＳＢに記録されていた町民に関する保有個人情報の漏えいのおそれが発生した事案である。
２．漏えいしたおそれのある保有個人情報とその件数
本件により漏えいしたおそれのある保有個人情報は、氏名、生年月日、性別、住所、健康診断結果及び新型コロナワクチン接種履歴等であり、本人数は 12,856 名である（本件が発覚した時点で死亡していた者 547 名を除く。また、健康診断結果が漏えいした本人数は 51 名である。）。
３．個人情報保護法上の問題点
個人情報保護法第 66 条第１項は、「行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。」と規定している。しかしながら、野辺地町では、個人情報等の取扱いについて、以下の問題点が認められた。
(1) 電子媒体等を持ち運ぶ場合の漏えい等の防止の不徹底（物理的安全管理措置の不備）
野辺地町では、本件ＵＳＢを定められた場所に保管していたものの、当該保管場所の施錠が行われていなかった上、本件ＵＳＢには、パスワード等によるアクセス制御も行われていなかった。
(2) 個人情報の取扱状況を確認する手段の整備の不徹底（組織的安全管理措置の不備）
野辺地町では、保管場所からのＵＳＢメモリの持ち出し、返却に関する管理台帳を作成しておらず、ＵＳＢメモリの取扱状況について確認できる適切な手段が整備されていなかった。
(3) 漏えい等安全管理上の問題への不十分な対応（組織的安全管理措置の不備）
野辺地町から当委員会に漏えい等報告（速報）が提出されたのは当該事案の発覚後 28 日目であり、当委員会への速やかな漏えい等報告が行われなかったことから、個人情報保護法第 68 条第１項の規定に則った適正な取扱いがなされておらず、保有個人情報の漏えい等の安全管理上の問題への対応が不十分であった。
４．個人情報保護法第 157 条に基づく指導及び第 156 条に基づく資料提出等の求めの内容
(1) 個人情報保護法第 66 条第１項、個人情報の保護に関する法律についてのガイドライン（行政機関等編）及び個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）に基づき、必要かつ適切な措置を講ずること。
(2) 既に策定した再発防止策を確実に実施するとともに、爾後、適切に運用し、継続的に保有個人情報の漏えい等の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講ずること。
(3) 再発防止策の実施状況について、関係資料を提出の上、令和５年 12 月 28 日（木）までに説明するよう求める。
リリース文（アーカイブ）
