諮問庁：金融庁長官
諮問日：令和４年１月１９日（令和４年（行情）諮問第３０号）
答申日：令和４年７月２１日（令和４年度（行情）答申第１４９号）
事件名：特定金融機関に係る個人情報漏えい報告書の不開示決定（存否応答拒否）に関する件
答申書
第１ 審査会の結論
別紙に掲げる文書（以下「本件対象文書」という。）につき，その存否を明らかにしないで開示請求を拒否した決定は，妥当である。
第２ 審査請求人の主張の要旨
１ 審査請求の趣旨
行政機関の保有する情報の公開に関する法律（以下「法」という。）３条の規定に基づく開示請求に対し，令和３年９月８日付け金監督第２０１５号により金融庁長官（以下「金融庁長官」，「処分庁」又は「諮問庁」という。）が行った不開示決定（以下「原処分」という。）について，その取消しを求める。
２ 審査請求の理由
本件審査請求の理由は，審査請求書の記載によれば，おおむね次のとおりである（なお，意見書及び資料の内容は省略する。）。
金融分野における個人情報保護に関するガイドラインの２２条漏えい事案の３項目が，「特定金融機関の漏えい事件」の報告として，出されているのか，それとも出されていないのか，また，出されているとしたら「特定記号番号１」報告で明記されているはずなので，それを確かめるために公開を求めたところ，金融庁からは公開できないとのことでしたので，下記のように不服申し立てします。
（１）金融分野における個人情報保護に関するガイドラインは「第１条目的３金融分野における個人情報取扱事業者は，個人情報の漏えい，不正流出等を防止等するため，法律，施行令，基本方針及び本ガイドラインのほか，関係法令等に従い，個人情報の適正な管理体制を整備する必要がある。」とされています。そこで「特定金融機関の漏えい」にあたり，ガイドラインに沿って運営がされていたかどうかを知る上で，２２条の３項目を問いました。
第２２条漏えい事案等への対応（基本方針関連）
① 金融分野における個人情報取扱事業者は，個人情報の漏えい事案等の事故が発生した場合には，監督当局に直ちに報告することとする。
② 金融分野における個人情報取扱事業者は，個人情報の漏えい事案等の事故が発生した場合には，二次被害の防止，類似事案の発生回避等の観点から，漏えい事案等の事実関係及び再発防止策等を早急に公表することとする。
③ 金融分野における個人情報取扱事業者は，個人情報の漏えい事案等の事故が発生した場合には，漏えい事案等の対象となった本人に速やかに漏えい事案等の事実関係等の通知を行うこととする。
ア ①について
○○氏が，審査請求人宅に漏えい文書を置いていったのが特定日２，特定金融機関特定支店の２人が，審査請求人宅に来て，漏えい文書を見たのが特定日３，漏えいを東海財務局に特定記号番号２追加で報告したのが特定日４です。特定日３から特定日４の間に「特定金融機関」は審査請求人に「断固たる措置」をとると，特定日５証明郵便で送ってきています。２２条①を守るなら，特定記号番号１の特定日１に報告ができたはずです。特定日４の日付では発覚してから３ヶ月後となります。更に文書管理されているはずの文書が漏えいしたことを特定日３まで約４ヶ月知らなかったことになります。「監督当局に直ちに報告」となっています。この間当局は何も問題なしとしているので，「特定金融機関」の「監督当局に直ちに報告」はウソの日程が書いてあるのではと考えます。３ヶ月後では『直ちに』ではないからです。
イ ②について
「漏えい事案等の事実関係及び再発防止策等を早急に公表することとする。」となっているが未だに公表されていません。漏えいは「特定金融機関」も認めていますが，１０年経過しても事実関係及び再発防止策は公表されていません。
ウ ③について
「漏えい事案等の対象となった本人に速やかに漏えい事案等の事実関係等の通知を行うこと」となっています。通知をしたのかどうか，通知をしたというならば，『通知した』と公開してほしい。
（２）「特定金融機関」は漏えいした場合のガイドラインを守っていないし，報告が真実なのかも疑わしいと思います。
「金融分野における個人情報保護に関するガイドライン」（改正個人情報保護法の施行（平成２９年５月３０日）前のもの。以下「ガイドライン」という。）は，金融事業者が当然守っていくことと考えますが，「特定金融機関」は漏えいに関して２２条をまったく無視しています。情報の公開を求めたのは，この漏えい文書が，「いつ」，「どこから」，「誰に」よって持ち出されたかが問題だからです。今回求めたのは，「いつ」だけで，その点でガイドラインは，報告書があります。別紙様式１・別紙様式２を金融庁長官に報告するとなっています。
『特定金融機関』は報告していると思いますから，様式１・様式２の報告のうち発生年月日と発覚日の公開を求めました。別紙様式での報告がされていない場合，特定記号番号１の追加特定記号番号２・追加特定記号番号３で報告されていると，東海財務局との質疑応答で回答を得ています。
漏えい発生は，特定日２以前。審査請求人宅に○○氏が持ってきた日が特定日２だから，発覚は，特定日３，「特定金融機関」職員が審査請求人宅に来て漏えい文書を見た。報告は，特定日４，漏えいを報告した。特定金融機関は文書管理金庫からの文書漏えいを特定日３までは知らなかったわけで，金融庁に行った報告の発生が，特定日２以前だったなら，○○氏に問いただして漏えいした日を聞いたことになります。しかし，本部文書金庫から，一職員の○○氏では文書を持ち出せません。持ち出すには，金庫管理者の許可が必要ですが，文書の原本を出すはずがありません。
公開してほしいのは，文書漏えいの発生日です。金融庁は発生日を公開することで，特定金融機関が他の金融機関との関係で大きな問題になるとしていますが，文書漏えいは事実ですし，その漏えい発生日が分かることが大きな問題になる理由が分りません。
この漏えい事件の真相を「特定金融機関」は隠ぺいしていると思います。そのことを東海財務局に指摘しても，東海財務局が動かないので情報公開を求めました。１度目は「特定氏名」の公開だけで，９９．９９％が墨塗りでした。今回，私は『ガイドライン』を知りました。発生日等を報告することになっています。黒塗りのうち，発生日が何時になっているのか，この漏えい事件には必要です。『特定金融機関』がウソの報告をした可能性があるからです。事実なら，だまされたのは金融庁になります。東海財務局に何度も言いました。
最後に，私の手元にある漏えい文書は，原本です。原本がどうやって漏えいするか，○○氏は本部の金庫には入れません。金庫関係の人物の協力が入ります。少なくとも○○氏と金庫関係者の２人がこの漏えいには関わっています。原本の文書がしっかり管理されていないで漏えいしたならば，東海財務局は何らかの指導をしたと思いますが，無かったのです。本部の文書金庫からの漏えいなのに東海財務局から何もありません。ガイドラインを無視していても何もありません。９９．９９％墨塗りで分りませんが，「特定金融機関」の報告には，発生日＝特定日２以前，漏えいの発生場所＝特定金融機関本部の文書管理金庫になっているのか確かめる必要があります。この漏えい事件は犯罪です。それを１０年もはっきりさせなかった「特定金融機関」の責任は重く，同時に「特定金融機関」は組織的な犯罪になります。あってはならないことと思います。
発生日，発覚日，公示日の公開をしてください。これ以上の偽装・隠蔽は許されません。
第３ 諮問庁の説明の要旨
審査請求人は，令和３年８月１３日付け（同日受付）で，東海財務局長に対して行政文書開示請求（以下「本件開示請求」という。なお，本件開示請求は，法１２条１項に基づき，同月２３日付けで処分庁に移送された。）を行ったところ，処分庁は，同年９月８日付け行政文書不開示決定通知書（金監督第２０１５号）により，法９条２項に基づき，行政文書の全部を不開示とした処分（法８条の規定により，開示請求を拒否したもの。原処分）をした。
審査請求人は，原処分に対し審査請求（以下「本件審査請求」という。）をしたが，以下のとおり，原処分を維持すべきものと思料する。
１ 本件開示請求に係る行政文書について
本件開示請求に係る行政文書（本件対象文書）は，別紙のとおりである。
２ 原処分について
原処分は，「本件は，特定金融機関の特定日１付特定記号番号１の不祥事件の漏えいに係る個人情報漏えい等報告書について開示を求めるものである。本件対象文書の存否の情報を明らかにすると，特定の金融機関における個人情報漏えい事案の有無を公にすることとなる。一般に，特定の金融機関における個人情報漏えい事案の有無については，これを公にすることにより，特定の金融機関の事務管理の問題点や経営状態についての憶測を招き，当該金融機関の権利，競争上の地位その他正当な利益を害するおそれがあることから，法第５条第２号イの不開示情報に該当する。したがって，本件対象文書の存否を答えるだけで，法第５条第２号イの不開示情報を開示することとなる」として，法８条に基づき，本件開示請求に関し，その存否を明らかにせず不開示とする旨の決定を行った。
３ 審査請求人の主張について
（１）審査請求の趣旨
上記第２の１のとおり。
（２）審査請求の理由
上記第２の２のとおり。
４ 原処分の妥当性について
（１）本件対象文書について
本件審査請求は，上記のとおり，特定金融機関の特定日１付特定記号番号１の不祥事件の漏えいに係る個人情報漏えい等報告書を対象とするものである。
（２）本件対象文書の存否応答拒否について
ア 金融機関における漏えい事故発生時の監督当局への報告について（ア）個人情報の保護に関する法律及び同法施行令並びに同法７条１項に基づく政府閣議決定「個人情報の保護に関する基本方針」に基づき定められたガイドライン及びガイドライン１０条に定める安全管理措置の実施のために策定された「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」（以下「実務指針」という。）は，金融機関に対し，金融機関において個人情報の漏えいが明らかになった場合の対応（監督当局への報告，本人への通知及び対外公表を指す。）について，義務（努力義務を含む）を課している。具体的には，個人情報等の漏えい事案等の事故が発生した場合には，監督当局等に直ちに報告することとされている（ガイドライン２２条）。
（イ）本件対象文書は，個人情報漏えい等報告書であり，一般に，個人情報取扱事業者から監督当局に提出される個人情報漏えい等報告書には，漏えいした情報の内容，発生原因，公表（予定），本人への対応及び再発防止策等が記載されている。そして，個人情報漏えい等報告書の開示請求があった場合，仮に本件開示請求に係る行政文書が存在しこれを不開示としたとしても，監督当局がその存否を答えたことで，当該行政文書の存在自体が明らかとなり，当該事業者における個人情報漏えいの発生の有無（以下，第３において「存否情報」という。）が直ちに判明することとなる。
イ 存否情報の不開示情報該当性について
（ア）一般に，金融機関において個人情報の漏えいが発生した場合，その取り扱う情報の多くが機微なものであることから，これが開示されると顧客等の不安がいたずらに増幅される。例えば，漏えいした情報の量・性質等に鑑みて漏えい事案としては軽微であり，かつ二次被害や類似事案の発生がおよそ想定されないような場合であっても，金融機関の個人情報漏えい防止に係る内部管理態勢そのものに問題があるのではないか，二次被害や類似事案が発生するのではないかといった誤った憶測を招くおそれがあると考えられる。本件についてみると，特定金融機関は，審査請求人が主張する対象事案に関し，個人情報の漏えい事案が発生した旨の公表を行った事実はなく，存否情報は公になっていないといえるから，これを明らかにすれば，上記のとおり，特定金融機関の個人情報漏えい防止に係る内部管理態勢そのものに問題があるのではないか，二次被害や類似事案が発生するのではないかといった誤った憶測を招くおそれがあると考えられ，特定金融機関の社会的地位を不当に低下させるなど，特定金融機関の競争上の地位その他正当な利益を害するおそれがあるといえる。
したがって，存否情報は，法５条２号イの不開示情報に該当する。（イ）なお，審査請求人は，特定金融機関から流出した内部文書を自己が保有しているとして，特定金融機関から内部文書が流出した事実は明らかである旨主張している。しかしながら，法に基づく行政文書の開示・不開示の判断は，何人に対しても開示することができる情報であるか否かによるべきであって，存否情報の不開示情報該当性の判断においても同様であるところ，仮に個人情報漏えいの事実があり審査請求人において上記事実を把握していたとしても，上記の不開示情報該当性が覆るものではない。
したがって，審査請求人の上記主張は理由がない。
ウ 小括
以上によれば，本件対象文書の存否を答えること自体が，法５条２号イに該当する不開示情報を開示することになるため，法８条により本件対象文書の存否を応答せずに不開示とした原処分は妥当である。
５ 結語
よって，原処分は妥当であるから，諮問庁は，これを維持するのが相当であると思料する。
第４ 調査審議の経過
当審査会は，本件諮問事件について，以下のとおり，調査審議を行った。
① 令和４年１月１９日諮問の受理
② 同日諮問庁から理由説明書を収受
③ 同年２月２８日審査請求人から意見書及び資料を収受
④ 同年６月１６日審議
⑤ 同年７月１４日審議
第５ 審査会の判断の理由
１ 本件対象文書について
本件開示請求は，本件対象文書の開示を求めるものであり，処分庁は，その存否を答えるだけで，法５条２号イの不開示情報を開示することとなるとして，法８条に基づき，その存否を明らかにせずに開示請求を拒否する原処分を行った。
これに対し，審査請求人は，本件対象文書の開示を求めているところ，諮問庁は，原処分を妥当としていることから，以下，本件対象文書の存否応答拒否の妥当性について検討する。
２ 存否応答拒否の妥当性について
（１）当審査会において，金融庁策定の「金融機関における個人情報保護に関するＱ＆Ａ（平成１９年１０月１日）」を確認したところ，問Ⅴ－６に「金融機関において個人（顧客）情報の漏えい事案等が発生した場合の対応については，個人情報保護法の体系及び業法の体系において，以下の通り複数の義務（努力措置を含む。）が課されています」として詳細に記載されており，監督当局等への報告義務については，情報の漏えい等の対象が，個人データ，個人データ以外の個人情報又は金融機関自身の雇用管理情報であるか等により，報告義務が課されているもの，報告の努力義務にとどまるもの，あるいは報告が望ましいとされているだけのものなど，その義務の有無及び程度には様々なものがあると認められる。
（２）本件対象文書に係る事実関係において審査請求人が漏えいの対象と記載する事件が，上記（１）の情報の漏えい等の対象のうち，いずれに該当することになるのか定かではなく，情報の漏えい等が発生したとしても報告がなされない場合も想定されることからすれば，本件対象文書の有無が明らかになっても，直ちに情報の漏えい等の発生の有無が明らかになるとはいい切れない。
しかし，本件開示請求は，具体的な金融機関名及び事件を特定した上で，特定金融機関から監督当局である金融庁に提出された「個人情報等漏えい等報告書」の開示を求めるものであるから，本件対象文書の存否を明らかにすることは，特定金融機関において金融監督当局である金融庁に報告を要する程度の特定の個人情報漏えい事案が発生した事実の有無（以下「本件存否情報」という。）を明らかにすることになると認められる。
（３）本件存否情報は，特定金融機関にとって一般に公にされたくない特定金融機関の個人情報等の取扱いに関する内部管理態勢に係る機微な情報と認められることから，これを公にした場合，特定金融機関の内部管理態勢等についての憶測を招き，特定金融機関の社会的地位を不当に低下させるなど，特定金融機関の権利，競争上の地位その他正当な利益を害するおそれは否定できない。
（４）そうすると，本件存否情報を明らかにすることで，法５条２号イの不開示情報を開示することとなるため，法８条の規定により，その存否を明らかにしないで本件開示請求を拒否すべきものと認められる。
３ 審査請求人のその他の主張について
審査請求人のその他の主張は，当審査会の上記判断を左右するものではない。
４ 本件不開示決定の妥当性について
以上のことから，本件対象文書につき，その存否を答えるだけで開示することとなる情報は法５条２号イに該当するとして，その存否を明らかにしないで開示請求を拒否した決定については，当該情報は同号イに該当すると認められるので，妥当であると判断した。
（第４部会）
委員小林昭彦，委員塩入みほも，委員常岡孝好
別紙本件対象文書
特定金融機関の特定日１付特定記号番号１の不祥事件の漏えいがある。そこでガイドライン第２２条の第１項による個人情報漏えい等報告書（別紙様式１と２）の内発生日，発覚日，公表日を公開されたい。
出典：総務省ホームページ「情報公開・個人情報保護審査会 答申」（https://www.soumu.go.jp/main_sosiki/singi/jyouhou/toushin_r0403.html）を加工して作成（加工：TaiLexi AI）。
本文は公表資料（PDF 等）から機械的に抽出・整形したもので、改行や記号に誤りを含むことがあります。正確な文言は原本でご確認ください。