委託先の監督を怠る

NTT西日本は、テレマーケティング業務を子会社のNTTマーケティングアクトProCXに委託。ProCX社が利用していたコールセンターシステムを提供するNTTビジネスソリューションズの運用保守業務従事者が、システム管理者アカウントを悪用してNTT西日本の顧客データが保管されているサーバへアクセスし、2014年から約8年にわたって、顧客データを不正に持ち出し、第三者へ流出させていた。

総務省によると、ProCX社によるビジネスソリューションズのコールセンターシステムの利用については、個人データ取り扱いの委託に該当。それにもかかわらず、業務委託契約書などでいう業務委託には含まれないとして運用し、業務委託先の監督の対象としていなかったという。

委託契約の見直しや定期点検の実施など指導

子会社の監督が不十分だったとして、総務省はNTT西日本に対し、文書で行政指導を行った。

適切な委託先を選定し、委託先での個人データ取扱状況を把握できるように、業務委託契約の見直し、定期点検の実施、安全管理措置の確保、責任体制の構築などを求めた。特に、個人データの取り扱いを伴う外部サービスの利用については、確実な再発防止策を講じるように指導した。

また、利用者の利益保護の観点から、利用者への情報提供を継続するとともに、2次被害が発覚した場合には適切な対応を取るように求めた。

▽関連記事
WOWOWも約4万人の個人情報が流出か…NTT西日本子会社の不正流出問題
山田養蜂場400万件、森永乳業34万件の顧客情報が漏えいの可能性～NTT西日本子会社の不正持ち出し