デジタル庁が公表した150名分の個人情報漏えいは、原因が「作業手順書の曖昧な記載」だと明記されています。公表された原因は外部からの攻撃ではなく、他省庁へ渡すファイルの作り方を誤ったことです。共同利用される国の基盤で、何が問われたのかを読みます。
デジタル庁は2026年8月7日、国家資格等情報連携・活用システムの運用で、各資格管理団体の職員150名の個人情報が漏えいしたと発表した。同年7月6日、デジタル庁が他省庁へ送付した同システムの「ログイン履歴」ファイルに、関係者以外の氏名、ユーザーID、所属等のコードが記載されているとの連絡が送付先の省庁担当者からあり、事象が確認された。
本来は送付先の省庁担当課ユーザのみのログイン履歴を作成すべきところ、運用の作業手順書の曖昧な記載により作業誤りが生じ、他の資格管理団体のユーザが含まれた状態でファイルが作成されていた。当該ファイルは送付先で第三者に転送されておらず、削除済みで、二次被害は確認されていない。
同庁はチェック体制の強化や作業手順書の点検等により再発防止に努めるとしている。
From: 
職員の個人情報の漏えいについて｜デジタル庁
【編集部解説】
まず押さえておきたいのは、デジタル庁が公表した原因が外部からの攻撃ではないことです。書かれているのは、他省庁へ渡すファイルを作る過程で作業誤りが起きた、という経緯だけです。
漏えいした情報の中身も、正確に読む必要があります。公表されたのは、介護福祉士や社会保険労務士といった資格保有者の登録者名簿ではなく、本システムにログイン履歴のある各資格管理団体の職員150名の情報です。項目は氏名、ユーザーID、所属等のコードで、マイナンバーや資格情報は挙がっていません。なお、この150名自身が何らかの資格を持っているかどうかは公表されていません。
では軽微かというと、そう単純でもありません。氏名とユーザーIDが並び、そこに所属等のコードが添えられた一覧は、そのシステムに誰が入っているかを示す、利用者名簿に近い性質を持ちます。コードの体系や具体的に何を指すかまでは公表されていません。一般論として、業務システムの利用者名簿は、その人になりすました働きかけの出発点になり得る材料です。ただし本件で悪用の兆候は確認されておらず、ファイルは送付先で第三者に渡らず削除済みだとデジタル庁は明記しています。
そのうえで、この発表でもっとも目を引くのは原因の書き方です。「運用の作業手順書の曖昧な記載により作業誤りが発生」。バグでもサーバーの設定ミスでもなく、手順書の記載が曖昧だったことが原因だと、当局自身が書いています。技術的な不具合ではなく、文書の書き方の問題として原因が示されている点は、行政の漏えい公表としては目を引きます。
なぜ手順書の曖昧さが個人情報の漏えいまで届くのか。ここに共同利用基盤という構造が効いてきます。
このシステムは、資格管理者が個別にシステムを開発しなくて済むよう、共同利用できる形で構築されました。マイナンバー法の改正等により、デジタル庁が対象として公表している国家資格等は130にのぼり、2024年8月6日から順次稼働して、現在は介護福祉士や社会保険労務士、小型船舶操縦士など22資格で手続が可能になっています。
デジタル庁の説明によれば、送付用のファイルは本システムから抽出した複数のデータをもとに作られました。そこから送付先の担当課のユーザーだけを選び出すはずが、他の資格管理団体のユーザーが残った。つまり抽出のもとになったデータには、複数の団体のユーザーが含まれていたことになります。内部のデータベース構造は公表されていません。
今回デジタル庁が公表した直接原因は、外部へ渡すファイルを作成する作業の誤りです。一方、団体間のアクセス制御やデータ分離がどう実装されているかは公表されていません。そこに問題があったともなかったとも、公表資料からは言えないということです。公表文から確かに読み取れるのは、外部提供用ファイルを作成する作業で、作業手順書の曖昧な記載が作業誤りの原因になったことです。
共同利用そのものは、重複投資を避ける合理的な設計です。ただし、一つの作業ミスが複数組織にまたがって届くという性質と表裏でもあります。今回、誤りは送信側の点検では検知されませんでした。ファイルはいったん他省庁へ渡り、受け取った担当者が中身に気づいて初めて発覚した。漏えいは送付の時点ですでに成立していたことになります。
制度上、どこまでが求められているのか
デジタル庁は個人情報保護法上の「行政機関」にあたります。行政機関の長等は、保有個人情報に係る本人の数が100人を超える漏えい等が生じたとき、施行規則43条4号に基づき個人情報保護委員会へ報告することが求められます。報告を要する事態では本人への通知も原則として必要で、通知が困難で代わるべき措置をとる場合などの例外が定められています（法68条）。民間事業者の基準は、個人データに係る本人が1,000人を超える場合です。人数の基準だけを比べれば、行政機関等のほうが一桁低い水準で報告が求められます。150名は、この100人という線を超えています。
一方で、デジタル庁の公表文には、委員会への報告や本人への通知に関する記載がありません。報告していないという意味ではなく、公表された文章の範囲では確認できない、ということです。行政機関の漏えい公表としては、この二つに触れる形式のほうが読み手には親切でしょう。
【関連記事】
東芝が厚労省のTeamsデータ約750万件を誤削除｜行政文書も消失、クラウド時代の公文書管理を問う
厚生労働省のTeamsデータが東芝の作業ミスで消失した事案。行政ITにおける人の作業の誤りという点で今回と重なる。
生命保険契約照会システムで情報漏えいのおそれ、約3万7000件が対象となる可能性 WEB申請は停止中
生命保険契約照会システムでの漏えいのおそれを扱った記事。要配慮個人情報の該当性と報告義務を整理している。
【編集部後記】
国の行政機関等が個人情報保護委員会に報告した漏えい等事案の発生原因を令和7年度分で見ると、誤交付・誤送付・誤廃棄・紛失が合わせて54.8%を占めています。報告理由が「本人100人超」に該当したものも30.6%ありました。
今回のデジタル庁の事案も、作業誤りという点ではこの大分類に重なります。それでも公表文が印象に残るのは、原因を作業誤りで止めず、その手前にある手順書の記載まで書いたからです。
【用語解説】
国家資格等情報連携・活用システム
マイナンバーを使って国家資格の申請・変更・証明をオンライン化するために、デジタル庁が構築した国の基盤。資格管理者が個別にシステムを開発しなくて済むよう、共同利用できる形で構築され、2024年8月から提供が始まった。
資格管理団体
各国家資格の登録・審査・証明の事務を担う団体。本件で漏えいが公表されたのは、資格保有者の名簿ではなく、この団体に所属し本システムにログイン履歴のある職員150名の情報である。
ログイン履歴
本件で他省庁へ送付されたファイルの名称。デジタル庁によると、このファイルには氏名、ユーザーIDおよび所属等のコードが記載されていた。ファイルは本システムから抽出した複数のデータをもとに作成されており、ログの内部構造は公表されていない。
所属等のコード
デジタル庁が漏えい項目として公表した情報の一つ。氏名やユーザーIDと並んで記載されていた。コードの体系や具体的に何を指すかまでは公表されていない。
保有個人情報
行政機関等の職員が職務上作成・取得し、組織的に利用するものとして保有している個人情報のうち、行政文書等に記録されているもの。個人情報保護法上、安全管理措置の対象となり、一定の重大な漏えい等が生じた場合には個人情報保護委員会への報告等が求められる。
漏えい
外部への流出だけでなく、本来渡すべきでない相手に個人情報が渡った状態を含む。個人情報保護委員会のガイドラインは、書類や電磁的記録の誤送付・誤送信を漏えいの具体例として明示している。
二次被害
漏えいした情報が実際に悪用されることで生じる被害。なりすましや不審な連絡などが典型で、漏えいの発生とは別に確認される事実である。
共同利用
複数の組織が同一のシステムや基盤を共有して使う方式。重複投資を避けられる一方、外部へデータを切り出す際の選別を誤ると、影響が組織の境界を越えて及ぶ。
【参考リンク】
国家資格等のオンライン・デジタル化｜デジタル庁（外部）
国家資格等情報連携・活用システムの公式ページ。対象となる130の資格と、現在すでに手続が可能な22資格の一覧を掲載している。
個人情報の保護に関する法律についてのガイドライン（行政機関等編）｜個人情報保護委員会（外部）
法68条に基づく報告対象を定めた公式ガイドライン。本人100人超という基準と、誤送付も漏えいに含まれる旨を明記している。
漏えい等の対応とお役立ち資料｜個人情報保護委員会（外部）
漏えい等が起きた際の報告先と報告様式をまとめた公式ページ。行政機関等と民間事業者とで、報告を出す窓口が分かれている。
デジタル庁（外部）
デジタル社会形成の司令塔となる行政機関の公式サイト。本件システムを所管しており、報道発表はプレスルームに掲載される。
【参考記事】
デジタル庁から個人情報漏えい 手順書ミスが原因、団体職員150人分の氏名など誤送付（外部）
デジタル庁の発表を当日に報じたニュース記事。職員150人分という規模と、手順書のミスが原因である点を簡潔に伝えている。
個人情報保護委員会 令和7年度年次報告（PDF）（外部）
国の行政機関等の報告248件の内訳を掲載。100人超該当が30.6%、ヒューマンエラーが合計54.8%を占める。
令和6年度個人情報保護委員会 年次報告（外部）
前年度にあたる令和6年度の数値。報告221件、100人超該当34.4%、ヒューマンエラー61.1%と、今年度より高い。
個人情報保護委員会「令和7年度年次報告」公表 ～ 名簿業者への勧告・命令事例も記載（外部）
令和7年度年次報告を整理した記事。行政機関等への監視として漏えい等報告2,278件を処理したことを伝えている。
令和7年度上半期における個人情報保護委員会の活動実績について（PDF）（外部）
年度途中の集計。法68条に基づく報告1,250件のうち、国の行政機関等は130件と記載されている。
