個人情報保護委員会がトヨタを指導 クラウド設定ミスで個人データを漏えいした件

個人情報保護委員会が個人情報を漏えいしたトヨタを指導した。指導内容とは。

[後藤大地，有限会社オングス]

　個人情報保護委員会は2023年7月12日、トヨタ自動車に個人情報の保護に関する法律に基づく指導を行ったと発表した。トヨタ自動車が子会社のトヨタコネクティッドに取り扱いを委託した「T-Connect」と「G-Link」の個人データのうち、アジア、オセアニア地区の約230万人分の個人データが約10年間にわたり外部から閲覧可能な状態になっていた。日本の顧客情報は含まれない。

「トヨタ自動車株式会社による個人データの漏えい等事案に対する個人情報の保護に関する法律に基づく行政上の対応について（令和5年7月12日）」（出典：個人情報保護委員会のWebサイト）

約230万人分の個人データが外部から閲覧可能に　個人情報保護委員会が指導

　漏えいはクラウド環境の設定を行う従業員の研修不足とトヨタ自動車の個人データの取り扱い状況の把握不足が原因とされている。個人情報保護委員会の指導には「従業員教育」「適切なアクセス制御の実施」「委託先の適切な監督」などが含まれている。

　閲覧可能になっていた主なデータは以下の通りだ。

• 車載機ID
• 車台番号および車両の位置情報など（T-Connect）
• 更新用地図データおよび更新用地図データの作成年月日など（G-Link）

　報告されている主な指導の内容は以下の通りだ。

• 従業員に対して個人データの取り扱いに関してその取り扱いを周知徹底するように適切な教育を行うこと
• 本来アクセスすべきではないユーザーがサーバにアクセスすることがないように適切なアクセス制御を実施すること
• 委託先に対して自らが講ずべき安全管理措置と同等の措置が講じられるように適切な監督を行うこと