尼崎市：給付金事務の委託先社員が、全市民の住民基本台帳を入れたUSBメモリーを紛失した

1. 2022-06-21

   委託先BIPROGYの関西支社の社員が、コールセンターでのデータ移管のため、データを入れたUSBメモリーをかばんに入れて市の施設から持ち出した。作業の後に飲食店に寄り、帰宅時にかばんを紛失したことに気づいた。 [1]

2. 2022-06-22

   社員が心当たりの場所を探したが見つからず、警察署に遺失物届を出した。午後3時45分ごろ、会社から市に電話で第1報があった。 [1]

3. 2022-06-23

   公表した。USBメモリーにはパスワードが付き、中身は暗号化されていて、外部への漏えいは確認されていない。 [1]

4. 2022-06-24

   紛失していたUSBメモリーが見つかったと発表した。 [2]

5. 2022-09-21

   個人情報保護委員会が、BIPROGYに個人情報保護法に基づく指導を行った。 [3]

6. 2022-12-12

   BIPROGYが第三者委員会の調査報告書を受け取り、役員の処分を公表した。 [4] [5]

USBメモリーには、全市民の住民基本台帳の情報46万517人分（氏名、住所、生年月日、性別など）、住民税の税情報36万573件、臨時特別給付金の対象世帯の情報、生活保護と児童手当を受ける世帯の口座情報（1万6,765件と6万9,261件）が入っていた。原因は、持ち出し方法の許可がなかったこと、個人で持ち歩いたこと、作業後にデータを消さなかったことなど。 [1]

個人情報保護委員会は、立入検査などの結果、BIPROGYの管理に次の問題があったと指摘した。社員が許可を得ずにUSBメモリにデータを保存し、鍵のないかばんで持ち出し、飲食をしながら持ち歩いて紛失した。リスクを組織で分析して承認する体制がなかった。入退室の管理や、電子媒体を鍵のかかる場所に保管する措置が不十分だった。再委託先の取り扱いを把握していなかった。 [3]

指導の内容は、委託を受けるすべての事業でリスクに応じた安全管理の体制を整えて規律の遵守を確認すること、すでに決めた再発防止策を確実に実施すること、再委託先の取り扱いを把握できるようモニタリングを強めること。委員会は、尼崎市などの調査結果を見て、追加の対応が必要かを引き続き検討するとした。 [3]

報告書は、情報セキュリティの規則を守らないことが常態化し、承認のない再委託も珍しくなかったなど、構造的な問題を指摘した。BIPROGYは、社長が月額報酬の20％を3か月、事業サービス担当の役員とCISOが10％を1か月、自主的に返納するとした。 [4] [5]