尼崎市USBメモリ紛失事故でBIPROGYに行政指導 - 委託元は監督対象外

個情委では調査の結果を踏まえ、事故には再委託先、再々委託先なども関与しているが、業務全般を受託、管理していたBIPROGYに対して行政指導を行った。

個人データを取り扱う受託事業において、リスクに応じ、網羅的に適切な措置を検討するよう組織的安全管理措置を求めた。管理規程や受託元との取り決めを踏まえ、必要に応じたルールや管理体制の見直しなどもあわせて求めている。

くわえて物理的、技術的安全管理措置や、責任者が再委託先などにおける個人データの取扱状況を適切に把握できるよう、モニタリングの強化など実施するよう指導した。

さらに同社に限らず、業務の委託元や再委託先など含め、関係者全体において個人情報を適切に取り扱う状況を醸成することが重要として抜本的な問題解決に向けた対応を求めており、今後尼崎市における調査結果なども踏まえて、追加対応の要否について検討するとしている。

委託元である尼崎市については、現行法の個人情報保護法では自治体は対象外であり、個情委の監督下にない。各自治体がみずから定めた個人情報保護条例のもと対応が進められることとなる。

この点については、2021年改正個人情報保護法で改正されており、2023年4月の完全施行以降は、自治体も個人情報保護法の対象となり、個情委の監視、監督対象となる。個情委では各自治体に対して今回の問題を踏まえた個人情報の適正な取扱いを確保するよう注意を喚起している。

（Security NEXT - 2022/09/22 ）ツイート