【日本】NTT西日本子会社、個人情報保護法違反で行政指導。過去事案の原因究明すらできず

　個人情報保護委員会は1月24日、NTT西日本100%子会社のNTTマーケティングアクトProCXとNTTビジネスソリューションズに対し、行政勧告と行政指導を発出した。

　今回の事案では、NTTマーケティングアクトProCXが実施していたコールセンター事業に関し、コールセンター業務で用いるシステムの保守運用を同社からNTTビジネスソリューションズに委託。2021年から2023年までの間、システム保守運用業務に従事していたのNTTビジネスソリューションズの従業員が、委託元の顧客及び住民等に関する個人データ等合計約928万人分を不正に持ち出していた。影響受けたのは民間企業30社、独立行政法人1機関、地方自治体38団体。

　NTTマーケティングアクトProCXは、2022年に委託元一つから、個人データの漏洩に関する調査依頼を受けており、NTTビジネスソリューションズ共に調査を実施していたが、当時十分な調査が実施できておらず、不正な漏洩を検知できていなかった。

　さらに、NTTマーケティングアクトProCXは、過去調査において十分な調査が行われなかった経緯及び原因を未だに明らかにできておらず、個人情報保護委員会への報告もできていないと判断。同時にNTTビジネスソリューションズも同様と判断された。個人情報保護委員会は今回、両社は自力での改善はできないとの結論を出し、行政勧告と行政指導の発出に至った。

　今回の行政指導では、両社に対し、2月39日までに過去調査における不適切な調査報告に至った経緯及び原因を報告するよう命令。さらに、組織的安全管理措置の不備を是正することを勧告し、さらにNTTマーケティングアクトProCXに対しては委託先の監督不備を是正するよう指導。是正の状況を3月39日までに報告するよう命じた。

【参照ページ】株式会社NTTマーケティングアクトProCX及びNTTビジネスソリューションズ株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について

株式会社ニューラル サステナビリティ研究所