トヨタに行政指導、委託先子会社が個人データ管理のクラウドを誤設定

個人情報保護委員会は、トヨタ自動車に対して個人情報保護法のもと7月12日に行政指導を行った。同社が策定した再発防止策を確実に実施するよう求めている。

業務委託先である関連会社のトヨタコネクティッドが提供する車両利用者向けサービスにおいて、クラウド環境の設定に誤りがあり、約10年間にわたって収集した個人データが外部よりアクセスできる状況にあり、流出した可能性があることが判明したもの。

同社では5月12日に約215万人、5月31日に約26万件が影響を受けたことを明らかにしており、あわせると約241万件にのぼる。個情委では、指導の対象件数を約230万人分としているが、それぞれの発表より数字を丸めて計算したため、このような数字になったという。

個情委は、今回の行政指導でクラウド環境へ保存された車載機ID、車台番号、位置情報などが個人情報として認識されておらず、適切に扱われていなかったと指摘。

さらに設定の不備にくわえて、委託先におけるクラウド環境のアクセス制御について監査や点検を実施しておらず、委託先の状況を適切に把握していなかった点を問題点として挙げた。

個情委は、トヨタ自動車に対して従業員へ個人データの適切な取り扱いについて周知徹底し、教育を行なうなど人的な安全管理措置を実施するよう求めたほか、アクセス制御などの技術的な安全管理措置、自社と同等の安全管理措置が講じられるよう委託先の監督を行なうよう指導。同社が策定した再発防止策を確実に実施するよう求めた。

（Security NEXT - 2023/07/13 ）ツイート

トヨタに行政指導、委託先子会社が個人データ管理のクラウドを誤設定

関連リンク

PR

関連記事