諮問庁：個人情報保護委員会委員長
諮問日：令和３年２月９日（令和３年（行情）諮問第４２号）
答申日：令和３年１０月４日（令和３年度（行情）答申第２６５号）
事件名：特定会社から提出された個人情報等漏えい等報告書等の不開示決定（存否応答拒否）に関する件
答申書
第１ 審査会の結論
別紙の１に掲げる文書（以下「本件対象文書」という。）につき，その存否を明らかにしないで開示請求を拒否した決定は，妥当である。
第２ 審査請求人の主張の要旨
１ 審査請求の趣旨
行政機関の保有する情報の公開に関する法律（以下「法」という。）３条の規定に基づく開示請求に対し，令和２年１２月１４日付け個情第１５７４号により個人情報保護委員会事務局長（以下「処分庁」という。）が行った不開示決定について，妥当な措置であったのか審査請求する。
２ 審査請求の理由（添付証明資料は省略する。）
（１）個人情報保護委員会（以下「委員会」という。）から示された「不開示理由」
該当の行政文書の存否を答えることは，特定会社から委員会に対し，「個人情報等漏えい等報告書」又はそれに相当する文書が提出されたという事実の有無という法５条２号イ並びに６号柱書き及びイの不開示情報を開示することになるため，法８条の規定に基づき，その存否を明らかにせずに開示請求を拒否することとされた。
（２）本件に関する特定会社の個人情報漏えい事案の経緯等
以下に示す通り，特定会社が個人情報漏えいを発生させたことについては，特定会社及びその代理人が既に認めるところであり，個人情報漏えいの客体たる書類の写しは現状においても請求人の手元に保管されている。
＜特定会社が発生させた個人情報漏えい事案の経緯及び証明資料説明＞
① 特定地方裁判所における特定番号事件において，被告である特定会社が，裁判所及び原告である請求人（審査請求人を指す。以下同じ。）に対して，本来請求人に関する個人情報を提示するべきところ，請求人とは別人に関する個人情報を記した書面を誤って送付した。これを受けた請求人が，別人の個人情報が誤送付されたことに気づき，特定会社代理人に連絡した（添付証明資料１）。
請求人は，特定会社代理人からの要請により該当の個人情報が記された書類の現物を次の弁論準備手続期日に返却したが，その際，全ての訴訟資料をスキャナで取り込み電子データとして保存していることを示し，それを消去することはできないことを申し立てたところ，特定会社代理人から一旦は了解されたものの，後日，当該データを廃棄するよう依頼を受けた（添付証明資料２）。
② 添付証明資料１に示す通り，請求人に関する書面が欠落になっていることを示し，請求人はこれを要求していたが，特定会社は欠落資料を紛失していたため次の弁論準備手続期日（特定年月日Ａ）に提出することができず，提示されたのは半月以上遅れてからであった（添付証明資料３）。
③ 上記①冒頭に示した訴訟が和解となった時点で，請求人が全体を振り返って確認すると，上記①にかかる個人情報漏えいに関して，特定会社は対象者への対応をしていないことが判明した。
請求人からの指摘により，特定会社は対象者への対応を怠っていたことを認め，個人情報漏えいが発生してから１年以上を経過した後に対象者への対応を行っている。但し，上記②に示した請求人に関する個人情報の一時紛失に関しては，請求人からの申し出にもかかわらず，何の対応もされていない（添付証明資料４）。
④ 特定会社の内部手続においては，個人情報漏えいが発生した場合，漏えい先に対しては，「廃棄を依頼するだけでは不十分」とされている（添付証明資料５，アンダーラインは請求人が施した）が，特定会社は内部規定に反して，代理人からの「依頼文書の発送」だけで結了としている（添付証明資料６に「データ廃棄のお願いと，個人情報を流出した元社員へは，お知らせとお詫びを書面にて発送し，対応済み」との見解が示されている）。
情報漏えいとなった書面（他人の人事評価資料）は，現在も請求人の手元に存在しており，証明資料として提出が必要であれば，請求人は電子ファイルからハードコピーを印刷して委員会に提出することが可能である。但し，当該資料は人事評価の評価結果を示すものであり，特定会社においては要配慮個人情報にも匹敵するような厳秘個人情報であるため，慎重な取り扱いが必要である。
（３）個人情報漏えい事案等発生時の公表義務
平成２９年２月に委員会及び金融庁によって策定された金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（以下「実務指針」という。）２－６－１には，「漏えい事案等が発生した場合には，二次被害の防止・類似事案の発生回避等の観点からの漏えい事案等の事実関係及び再発防止策等の早急な公表を実施しなければならない。」と示されており，金融機関は原則として漏えい事案等の事実関係及び再発防止策等を公表することが義務付けられている。そして，これが義務規定であることは，平成２９年３月に委員会事務局及び金融庁によって策定された金融機関における個人情報保護に関するＱ＆Ａ（以下「Ｑ＆Ａ」という。）問Ⅳ－６に示されている。（参考）従業員の人事管理情報は，その性格上，容易に個人情報を検索できる個人情報データベースを構成するものであり，事業主が，開示，内容の訂正，追加又は削除，利用の停止，消去及び第三者への提供の停止を行うことのできる権限を有する個人データであるから，典型的な「保有個人データ」である。したがって，「個人情報」が適用される金融分野ガイドライン１７条の努力規定ではなく，「個人データ」が適用される実務指針２－６－１によって「個人情報保護法の体系における安全管理措置」（義務規定）が採られなければならない。
なお，上記の規定があるにもかかわらず，特定会社は本件該当事案の公表を行っていないが，それはＱ＆Ａの問Ⅳ－１８に「公表することによりかえって二次被害等が発生・拡大するおそれがある場合や，漏えい等が生じた情報の量・性質等に鑑みて，漏えい事案等としては軽微であり，かつ二次被害の防止・類似事案の発生回避等の観点から必要でないことが十分に説明できる場合には，必ずしも公表する必要はありません。」という例外規定があるためである。
本件については，発生件数が１件のみであり，かつ，特定会社としては既に解決済事案としていることから，例外規定のうちの「二次被害等が発生・拡大するおそれがある場合」には該当しないことは明らかである。ゆえに，特定会社が本件事案を公表していないのは，原則として公表することになっているが，軽微事案であるため十分に説明が可能であることから公表を省略しているものである。
（４）個人情報漏えい事案等発生時の報告義務
Ｑ＆Ａの問Ⅳ－１１により「漏えい事案等が発生した場合には，監督当局等への報告を実施しなければならないと」されており（義務規定），特定会社においては雇用管理情報の漏えい事案の場合は個人情報保護マニュアル５２条により，「平成２９年個人情報保護委員会告示第１号（以下「告示第１号」という。）に基づき報告を行う」こととされているので，本件に関しては委員会に報告されることになっている。なお，告示第１号において，「速やかに報告するよう努める。」と努力規定であることが示されているが，金融機関である特定会社は個人情報保護マニュアル５２条により「報告を行う」と明記することにより，義務規定としている。
（５）不開示理由に対する請求人の見解
上記（２）に示す通り，特定会社が本件の開示請求に係る個人情報漏えいの事案を発生させたことについては，請求人にとって既に判明している事項であり，かつ，特定会社とも個人情報漏えい事案発生の認識は共有されているものであるから，請求人に対して個人情報漏えいの存否が明らかにされる情報が提示されたとしても，それを以て新たに個人情報漏えいの事実が判明するものではない。
また，原則として情報漏えいの事実は公表されているものであるが，本件は軽微事案であって，その説明が可能であることから公表が省略されているに過ぎないのであるから，情報開示によって個人情報漏えいの事実関係が示されたとしても，法５条２号イ並びに６号柱書き及びイの不開示情報には該当しない。
よって，個情第１５７４号「行政文書不開示決定通知書」の不開示理由は意味をなさないことから，請求人は不開示決定が不当であることを主張し，審査を請求する。
（６）該当文書の開示を求める理由
特定会社は，組織的に個人情報漏えいに関する事実を隠蔽していると考えられるため，開示文書又は報告未済に関する事実関係を明らかにする。
第３ 諮問庁の説明の要旨
審査請求人が，委員会に対して令和２年１０月７日付け（同月９日委員会受付）で行った行政文書開示請求（以下「本件開示請求」という。）に関し，委員会が同年１２月１４日付け個情第１５７４号にて不開示決定（存否応答拒否）を行ったところ，これに対し審査請求があったが，以下のとおり原処分を維持すべきものと思料する。
１ 本件開示請求に係る行政文書について
本件開示請求に係る行政文書（本件対象文書）は，別紙に掲げる文書である。
２ 原処分について
原処分は，本件対象文書の存否を答えることは，特定会社から委員会に対し「個人情報等漏えい等報告書」又はそれに相当する文書が提出されたという事実の有無という法５条２号イ並びに６号柱書き及びイの不開示情報を開示することになるため，法８条の規定に基づき，本件開示請求に対し，その存否を明らかにせずに不開示とする旨の決定を行ったものである。
３ 原処分の妥当性について
（１）本件対象文書について
本件対象文書は，審査請求人の主張する別紙記載の「２該当事案」に関し，特定会社が委員会あてに提出したとされる「個人情報等漏えい等報告書」又はそれに相当する文書である。
一般に，事業者から委員会に提出される個人データ漏えい等報告書には，漏えいした情報の内容，発生原因，公表（予定），本人への対応及び再発防止策等が記載されている。そして，第三者からある事業者を特定して個人データ漏えい等報告書の開示請求があった場合，仮に本件開示請求に係る行政文書が存在しこれを不開示としたとしても，委員会がその存否を答えたことで，当該行政文書の存在自体が明らかとなり，当該事業者における個人情報漏えいの発生の有無（以下，第３において「存否情報」という。）が直ちに判明することとなる。
（２）存否情報の不開示情報該当性について
ア 一般に，事業者において個人情報の漏えいが発生した場合，当該事実が開示されると顧客等の不安がいたずらに増幅される。例えば，漏えいした情報の量・性質等に鑑みて漏えい事案としては軽微であり，かつ二次被害や類似事案の発生がおよそ想定されないような場合であっても，事業者の個人情報漏えい防止に係る内部管理態勢そのものに問題があるのではないか，二次被害や類似事案が発生するのではないかといった誤った憶測を招くおそれがあると考えられる。
イ 本件についてみるに，特定会社において，審査請求人の主張するような個人情報漏えい事案が発生した旨の公表を行った事実はなく，存否情報は公になっていないといえるから，これを明らかにすれば，上記のとおり，当該金融機関の個人情報漏えい防止に係る内部管理態勢そのものに問題があるのではないか，二次被害や類似事案が発生するのではないかといった誤った憶測を招くおそれがあると考えられ，当該金融機関の社会的地位を不当に低下させるなど，当該金融機関の競争上の地位その他正当な利益を害するおそれがあるといえる。
したがって，存否情報は，法５条２号イの不開示情報に該当する。
ウ また，一般に，個人データ漏えい等報告書は，事業者から委員会に対し非公表を前提に提供される情報であることから，存否情報を公にした場合，委員会における今後の監督活動に係る事務に関し，委員会による正確な事実の把握を困難にするおそれや，事業者から非協力的又は消極的な対応がなされ，今後の監督活動に係る事務の適正な遂行に支障を及ぼすおそれがあるといえる。
したがって，存否情報は，法５条６号柱書き及びイの不開示情報に該当する。
エ なお，審査請求人は，審査請求書において，特定会社が本件開示請求に係る個人情報漏えい事案を発生させたことについて，審査請求人にとって既に判明している事項であり，かつ，審査請求人と特定会社との間でも認識は共有されているものであるから，審査請求人に対して個人情報の漏えいの存否が明らかにされる情報が提示されたとしても，それを以て新たに個人情報の漏えいの事実が判明するものではない旨主張する。
しかしながら，法に基づく行政文書の開示・不開示の判断は，何人に対しても開示することができる情報であるか否かによるべきであって，存否情報の不開示情報該当性の判断においても同様であるところ，仮に審査請求人において個人情報漏えいの事実を把握していたとしても，上記の不開示情報該当性が覆るものではない。したがって，審査請求人の上記主張には理由がない。
オ 以上により，本件対象文書の存否を答えること自体が，法５条２号イ並びに６号柱書き及びイに該当する不開示情報を開示することになるため，法８条により本件対象文書の存否を応答せずに不開示とした原処分は妥当である。
４ 審査請求人のその他の主張について
審査請求人は，その他種々主張するが，いずれも上記判断を左右するものではない。
５ 結論
以上のとおり，原処分は妥当であることから，本件審査請求は棄却すべきと考える。
第４ 調査審議の経過
当審査会は，本件諮問事件について，以下のとおり，調査審議を行った。
① 令和３年２月９日諮問の受理
② 同日諮問庁から理由説明書を収受
③ 同年９月３日審議
④ 同月２８日審議
第５ 審査会の判断の理由
１ 本件対象文書について
本件開示請求は，本件対象文書の開示を求めるものであり，処分庁は，その存否を答えることは，法５条２号イ並びに６号柱書き及びイの不開示情報を開示することとなるとして，法８条に基づき，その存否を明らかにせずに開示請求を拒否する決定（原処分）を行った。
これに対し，審査請求人は，原処分は不当であるなどと主張し，原処分の取消しを求めていると解されるところ，諮問庁は，原処分は妥当であるとしていることから，以下，本件対象文書の存否応答拒否の妥当性について検討する。
２ 存否応答拒否の妥当性について
（１）上記第３の３の諮問庁の説明につき，当審査会事務局職員をして更に確認させたところ，諮問庁は，おおむね以下のとおり補足して説明する。
ア 審査請求人は，実務指針２－６－１により，金融機関は原則として漏えい事案等の事実関係及び再発防止策等を公表することが義務付けられており，これが義務規定であることは，Ｑ＆Ａ問Ⅳ－６に示されている旨主張する。
イ 上記アのＱ＆Ａ問Ⅳ―６「個人情報等の漏えい事案等が発生した場合，金融機関は監督当局等に報告する義務があるのか。」の参考（２）（個人情報保護法の体系における努力措置）（努力義務規定）の（注１）においては，「金融機関自身の雇用管理情報，株主情報の漏えい事案等への対応については，個人データの漏えい等の事案が発生した場合等の対応について（平成２９年個人情報保護委員会告示第１号）によることとなります。ただし，報告の方法については，個人情報保護委員会に対して報告してください。」と記載されている。審査請求人が主張する，特定会社が審査請求人に誤って送付したとされる別人の人事評価関連書類なるものは，特定会社の雇用管理情報に関するものと考えられ，仮に当該情報が漏えいした場合は，上記Ｑ＆Ａ問Ⅳ－６に従い，告示第１号により委員会に報告することになる。
ウ 告示第１号の「３個人情報保護委員会等への報告」では，「個人情報取扱事業者は，漏えい等事案が発覚した場合は，その事実関係及び再発防止策等について，個人情報保護委員会等に対し，次のように速やかに報告するよう努める。（略）」と定めている。
上記規定は，事業者に対して漏えい報告の義務を課すものではなく，飽くまで努力義務として定めたものであるから，上記アの審査請求人の主張は失当である。
（２）諮問庁から，実務指針，Ｑ＆Ａ及び告示第１号の提示を受け，当審査会において確認したところ，その規定内容は，上記（１）イ及びウの諮問庁の説明に符合する内容であると認められる。
（３）これを検討するに，本件対象文書に係る事実関係において，審査請求人が漏えいの対象と記載する他人の人事評価書類について，上記（１）のとおり，告示第１号の３により委員会への報告が努力義務とされており，情報の漏えい等が発生したとしても報告がなされない場合も想定されることからすれば，本件対象文書の有無が明らかになっても，直ちに情報の漏えい等の発生の有無が明らかになるとは言い切れない。しかしながら，本件開示請求は，具体的な会社名及び事案を特定した上で，特定会社から委員会に提出された「個人情報等漏えい等報告書」又はそれに相当する文書の開示を求めるものであるから，本件対象文書の存否を明らかにすることは，特定会社において監督官庁等である委員会に報告を要する程度の特定の個人情報漏えい事案が発生した事実の有無（以下「本件存否情報」という。）を明らかにすることになると認められる。
本件存否情報は，特定会社にとって一般に公にされたくない特定会社の個人情報等の取扱いに関する内部管理態勢に係る機微な情報と認められることから，これを公にした場合，特定会社の内部管理態勢等についての憶測を招き，特定会社の社会的地位を不当に低下させるなど，特定会社の権利，競争上の地位その他正当な利益を害するおそれは否定できない。
（４）なお，審査請求人は，審査請求書（上記第２の２）において，本件対象文書に係る事実関係については，公表が省略されているに過ぎないのであるから，開示されるべきであるなどと主張しているところ，当該事実関係が既に公表されているもの，又は公表されていないが，法令・慣行上公表されなくてはならないものであれば，本件存否情報を公にしても，特定会社の権利，競争上の地位その他正当な利益を害するおそれは認められないものとも考えられるため，以下，この点につき，念のため検討する。
当審査会において特定会社のウェブサイトを確認したところ，本件対象文書に係る事実関係において審査請求人が漏えいの対象と記載する「人事評価関連書類」に関し，特定会社において，情報漏えい等が発生した旨の公表を行った事実は認められない。
また，公表の要否については，Ｑ＆Ａの問Ⅳ－１８に「公表することによりかえって二次被害等が発生・拡大するおそれがある場合や，漏えい等が生じた情報の量・性質等に鑑みて，漏えい事案等としては軽微であり，かつ二次被害の防止・類似事案の発生回避等の観点から必要でないことが十分に説明できる場合には，必ずしも公表する必要はない」と記載されていることが認められ，特定会社にその判断が委ねられているものということができる。
そうすると，本件対象文書に係る事実関係については，既に公表されている情報とはいえず，かつ，法令・慣行上公表されなくてはならない情報とも認められないから，審査請求人の上記主張は採用できない。（５）したがって，本件対象文書の存否を答えるだけで，法５条２号イの不開示情報を開示することとなるため，同条６号柱書き及びイについて判断するまでもなく，法８条の規定により，その存否を明らかにしないで本件開示請求を拒否すべきものと認められる。
３ 審査請求人のその他の主張について
審査請求人はその他種々主張するが，いずれも当審査会の上記判断を左右するものではない。
４ 本件不開示決定の妥当性について
以上のことから，本件対象文書につき，その存否を答えるだけで開示することとなる情報は法５条２号イ並びに６号柱書き及びイに該当するとして，その存否を明らかにしないで開示請求を拒否した決定については，当該情報は同条２号イに該当すると認められるので，同条６号柱書き及びイについて判断するまでもなく，妥当であると判断した。
（第１部会）
委員小泉博嗣，委員池田陽子，委員木村琢麿
別紙
１ 本件対象文書
特定会社から個人情報保護委員会あてに提出された「個人情報等漏えい等報告書」又はそれに相当する文書。ただし，後述（下記２）の事案に該当するもの。
２ 該当事案
訴訟において提示する証拠資料を取り違えて別人の個人情報を漏えいした。（１）当該事案の発生経緯
現在は既に和解済であるが，請求人は特定会社に対して訴訟を起こしていた。
当該訴訟の過程において，特定会社が答弁に関する証憑として裁判所及び請求人に対して，本来は請求人に関する個人情報資料を送付するべきところ，誤って他の特定会社社員に関する個人情報資料を提示した（個人情報漏えい事案）。
また，本来，請求人に提示するべき個人情報資料は所在不明となっていた。当該資料は数週間後に改めて請求人宛て送付されたが，請求人は副本等から復元されたものであって，原本自体は紛失されたのではないかとの疑念を抱いている。特定会社は一時的な紛失事案であると主張しているが，一時的にせよ紛失の事案であり，紛失中に漏えい等がされなかったとの説明があってしかるべき事案である（個人情報紛失事案）。
（２）個人情報漏えい等の事故が発生した場合の報告先
金融分野において個人情報の漏えい事案が発生した場合の一般的な報告先は，「金融分野における個人情報保護に関するガイドライン１７条」により監督当局たる金融庁であるが，漏えいされた個人情報が「従業員情報」である場合は同ガイドラインの対象外となり，告示第１号によって対応されることとなっている。
なお，告示第１号によれば，「速やかに報告するよう努める」という表現により，報告は努力目標的な対応と考えられるが，特定会社の内部規程において，雇用管理情報を漏えいした場合は同告示に基づき報告することが義務付けられている（参考添付）。
３ 報告日の特定
該当の個人情報漏えい事案が発覚したのは特定年月日Ｂであり，事案の判明後速やかに報告されなければならないが，この事案に関する特定会社の事故対応処理は１年以上遅延したことから，委員会への報告日は不明である。したがって，開示文書に関しては，特定年月日Ｂ以降現在に至るまでの期間について調査されたい。
出典：総務省ホームページ「情報公開・個人情報保護審査会 答申」（https://www.soumu.go.jp/main_sosiki/singi/jyouhou/toushin_r0306.html）を加工して作成（加工：TaiLexi AI）。
本文は公表資料（PDF 等）から機械的に抽出・整形したもので、改行や記号に誤りを含むことがあります。正確な文言は原本でご確認ください。