山口県、県庁売店の利用者106人分の個人情報を商品取扱業者が自社カタログ送付に利用 — 職員が誤って口頭で許可

項目	内容
発生日	2026年1月ごろ（カタログ発送を了承） / 2026年6月9日（業者が発送）
対象組織・業界	山口県（地方職員共済組合山口県支部が運営する県庁売店）
攻撃手法	攻撃なし（第三者への個人情報の目的外提供・利用許可の誤り）
情報源	Security NEXT（2026年7月2日）

概要

山口県は、2026年7月2日、地方職員共済組合山口県支部が運営する県庁の売店が保有していた利用者の個人情報を、取引のある商品取扱業者が自社カタログの送付に利用していたことを公表しました。

対象は106人で、氏名等の個人情報と送付先情報が業者側で利用されました。同売店は職員らからのお中元等の申し込み時に業者へ情報を提供していましたが、2026年1月ごろ、業者から自社カタログを送付したいという相談があり、職員の認識に誤りがあったため、その利用を誤って許可しました。

2026年6月9日、業者が106人に対して過去の送付先や氏名・住所を記載した書類とカタログを発送したことにより、利用者からの連絡で事案が判明しています。

経緯

• 2026年1月ごろ: 取引のある商品取扱業者から自社カタログを送付したいと相談を受け、職員が個人情報の利用を誤って許可
• 2026年6月9日: 業者が106人に対し、過去の送付先や氏名・住所を印字した書類とカタログを発送
• 2026年6月11日: 利用者からの連絡により判明
• 2026年7月2日: 公表。連絡があった利用者への説明・謝罪、業者へのデータ削除依頼、カタログ送付先への謝罪文送付を実施

原因

原因は、職員の認識に誤りがあり、業者が自社の営業目的で個人情報を使用することを誤って許可したことです。売店が業者へ提供していた情報は、本来はお中元等の商品発送という目的に限定されたものであり、業者自身のカタログ送付は当初の提供目的の範囲外にあたります。

考えられる原因（推測）: 商品発送の委託先として既に個人情報を渡している相手であることから、「すでに情報を持っている業者だから、もう一度渡すわけではない」という理解のもとで許可された可能性が考えられます。個人情報の第三者提供では、提供済みの相手であっても利用目的の範囲が変わればあらためて本人の同意が必要になりますが、この区別は現場では直感に反しやすく、誤りが生じやすい論点です。加えて、業者からの相談に対する許可が口頭で完結しており、書面・決裁の過程で第三者がチェックする機会がなかったことが、誤った判断の是正を妨げたと考えられます。

対策

組織が学ぶべきこと

1. 「提供済みの相手」への追加利用許可は新たな第三者提供

本件の判断の誤りは、実務担当者が陥りやすい典型です。すでにデータを預けている委託先が、そのデータを自分の目的で使いたいと言ってきた場合、それは委託の継続ではなく新規の第三者提供にあたります。委託であれば委託元の目的の範囲内で使われますが、業者の自社カタログ送付は業者自身の目的です。この線引きを現場の判断に委ねると、本件のような誤りが生じます。委託先からの「データを使わせてほしい」という相談は、担当者判断で回答しないというルールが必要です。

2. 口頭での許可を成立させない

本件では利用許可が口頭で行われ、1月から6月まで誰にも検証されないまま業者の発送が実行されました。個人情報の取り扱いに関する外部との合意は、必ず書面化して決裁を通すことで、誤った判断が実行に至る前に止まる機会が生まれます。逆に言えば、口頭で完結する運用は、担当者一人の理解不足がそのまま組織の行為になる構造です。

3. 発覚が「本人からの連絡」だったという事実

1月の許可から6月の発送まで5か月、そして判明は本人からの連絡によるものでした。組織側には提供したデータが約定どおりに使われているかを確認する仕組みがなかったことになります。委託先へのデータ提供では、提供後の利用状況を定期的に確認する（利用目的・保管期間・削除の実施を書面で報告させる）運用が、外部からの指摘に依存しない発見手段になります。

ヤグラの視点 — 攻撃面の拡張：データを渡した先が、そのまま組織の攻撃面になる

サイバーセキュリティの文脈で「攻撃面（アタックサーフェス）の拡張」といえば、通常は海外子会社、SaaS、開発基盤、第三者接続といった技術的な接続点を指します。しかし本件が示しているのは、データを渡した先の組織そのものが、自組織の情報リスクの範囲に含まれるという、より根本的な形の攻撃面拡張です。

売店が業者に渡した106人分の氏名・住所は、渡した瞬間に自組織の統制の外に出ます。技術的な統制——アクセス権限、ログ監視、暗号化——はすべて自組織の境界の内側でしか機能しません。境界の外に出たデータについて組織が持てるのは、契約と、その履行を確認する仕組みだけです。本件はそこに空白があり、5か月後に本人からの連絡で発覚しました。

同じ構造は、規模を問わず多くの組織に存在します。委託先、業務提携先、システムベンダー、発送代行——どこに、どの範囲のデータを、どの目的で渡しているかの一覧を持っている組織は、実は多くありません。そして持っていなければ、渡した先で目的外利用が起きても気づけません。

技術的な露出面の棚卸しも重要ですが、本件のような契約と運用の空白は、製品ではなく台帳とレビューの仕組みで埋めるべき領域です。データを渡した先のリストを持ち、渡した目的を書面で確定させ、定期的に利用状況を確認する。地味ですが、これが第三者経由の漏えいに対する唯一の実効的な統制です。

今後の対応

同県は連絡があった利用者への説明と謝罪、商品取扱業者へのデータ削除依頼、カタログ送付先への謝罪文送付を実施しています。業者側でのデータ削除が完了したかどうかの確認状況は公表されておらず、続報を注視します。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）