【大分・竹田】市課長が情報6万件を不正取得、公用機器25台持ち帰り　約8年間見抜けず、公表も9カ月後

大分県竹田市の50代男性課長が、他部署のアカウントを使って市民や職員の情報約6万件を不正に取得し、公用パソコンなど25台を無断で自宅へ持ち帰っていたことが分かった。

不正アクセスは2018年ごろから続いていたとされ、市が異常を把握したのは2026年1月8日。市は10月20日付で男性課長を停職6カ月の懲戒処分とし、課長補佐級へ降任させた。処分を公表したのは翌21日だった。

市は外部への情報流出を確認していないと説明している。

しかし、今回の問題は情報漏えいの有無だけではない。他部署の個人情報を長期間取得できたこと、電算室から25台もの公用機器が持ち出されたこと、その行為を約8年間防げなかったことにある。

さらに、発覚から市民への公表まで約9カ月を要した。情報管理と説明責任の両面で、市の対応が問われている。

「人事情報を知りたかった」他部署のIDで市民情報まで取得

竹田市の公式発表によると、男性課長は2018年ごろから、ほかの課のアカウントとパスワードを利用し、庁内ネットワークへ不正にアクセスしていた。

市の聞き取りに対し、男性課長は人事情報に関心があり、職員の情報を集めたかったという趣旨の説明をしている。

ところが、取得した情報は職員の人事関係だけではなかった。市民の個人情報も含まれ、合わせて約6万件に上る。

人事情報への関心が、なぜ市民の個人情報の取得にまで及んだのか。

約6万件のうち、市民の情報と職員の人事情報がそれぞれ何件だったのか。住所や生年月日など、どのような項目が含まれていたのかも明らかになっていない。

また、約6万件は取得した情報の件数であり、6万人分の個人情報が取得されたと確認されたわけではない。

市は、情報の具体的な内容と対象人数を説明する必要がある。

電算室から公用機器25台を持ち出し　市の規則は何のためにあったのか

不正アクセスに加え、男性課長は市役所の電算室に保管されていた公用パソコンやハードディスクなど、計25台を無断で自宅に持ち帰っていたと報じられている。

竹田市が公表した処分資料では「複数台」と記載されているが、具体的な台数は示されていない。

市には「竹田市電子計算組織の管理運営に関する規則」がある。

第19条では、電磁的記録を外部へ持ち出す場合に保護管理者の承認を必要としている。

第20条では、電算室の施錠と入室許可、入退室管理台帳への記録を定めている。

さらに第23条は、端末の操作を承認された職員に限定し、業務ごとにパスワードを照合する仕組みを求めている。

規則は存在していた。それにもかかわらず、別部署のアカウントを使った情報取得と、大量の公用機器の持ち出しが起きた。

25台は一度に持ち出されたのか。それとも長期間にわたり、少しずつ自宅へ運ばれたのか。

電算室の入退室台帳には記録が残っているのか。機器の所在を定期的に確認していなかったのか。

市の規則で定められた管理が、実際にどこまで行われていたのかが重要となる。

外部流出がなければ問題はないのか　個人情報保護法が求める管理

竹田市は、操作ログなどを検証した結果、外部への情報流出は確認されていないと説明している。

一方、取得された情報は業務用ハードディスクに保管されていたと報じられている。持ち出された25台すべての回収状況や、各機器に保存されていた情報の詳細は確認できていない。

外部流出が確認されていないことと、情報が適切に管理されていたことは別の問題だ。

個人情報保護法66条は、地方公共団体を含む行政機関などに、保有個人情報を適切に管理するための安全管理措置を義務付けている。

同法67条は、職員らが業務で知り得た個人情報を不当な目的で利用することを禁じている。

職員であっても、職務と無関係の情報を自由に取得してよいわけではない。

今回の事案では、他部署のアカウントをどのように入手したのか、通常の業務権限で防げなかった理由は何かが明らかになっていない。

市は、男性課長の行為だけでなく、アクセス権限の設定やパスワード管理に問題がなかったかを検証する必要がある。

なお、不正アクセス禁止法などに基づく刑事責任については、具体的なアクセス方法や認証の仕組みなどを踏まえた判断が必要となる。

1月8日に発覚、10月21日に公表　9カ月間の判断経緯は

市の発表では、事案が発覚したのは2026年1月8日だった。

当時の情報推進課が管理するネットワーク対応ハードディスク「テラステーション」で異常を検知。内部調査によって男性課長の不正アクセスが判明した。

市は同日、該当端末と接続された外付けハードディスクをネットワークから遮断して回収。1月20日には竹田警察署に相談し、その後、警察が男性課長の自宅から複数の公用機器を押収した。

市は警察に被害届も提出しているという。

それでも、市民に事案が公表されたのは10月21日だった。

公表が約9カ月後になった理由について、市は警察の捜査への影響を考慮したと説明している。

捜査への配慮は必要だが、情報の不正取得が判明した自治体には、個人情報の保護に関する対応も求められる。

個人情報保護法68条は、個人の権利利益を害するおそれが大きい一定の漏えい等について、個人情報保護委員会への報告と本人への通知を義務付けている。

今回の事案が、その報告・通知義務の対象に当たるかは、情報の内容や不正取得の状況などを確認しなければ判断できない。

竹田市が同委員会に報告したのか。対象となった市民や職員への通知を検討したのか。

警察への相談日や機器の押収については明らかになった一方、個人情報保護の観点から市がいつ、どのような判断をしたのかは公表されていない。

停職6カ月と降任　管理職5人への対応は訓告・注意

竹田市は男性課長について、地方公務員法29条に基づく懲戒処分として停職6カ月とした。

処分理由は、法令等違反、職務上の義務違反、全体の奉仕者にふさわしくない非行の3項目。

さらに、同法28条に基づく分限処分として、適格性の欠如を理由に課長補佐級へ降任させた。

一方、市は情報管理責任者など3人と、当時の所属長2人の計5人に対し、文書訓告から厳重注意までの指導上の措置を取った。

これら5人への対応は懲戒処分ではない。

約8年間にわたる不正アクセスが疑われ、25台の機器が無断で持ち出されていたとすれば、管理職がどのような点検を行っていたのかも確認しなければならない。

5人はどの業務を管理していたのか。機器の持ち出しやアクセス権限の問題を把握する機会はなかったのか。

市は管理職への措置を公表したものの、それぞれの管理責任と判断理由については詳しく説明していない。

ログイン方法を変更　しかし不正を8年間防げなかった原因は未公表

市は再発防止策として、パソコンへのログイン方法を変更し、電算室への入室方法と許可する職員の範囲を見直した。

さらに、全職員へのセキュリティ研修や、各課における情報資産管理の徹底を進める方針だ。

今回の問題が発覚したことで、ログイン方法や入室管理の変更が必要になったという事実は重い。

従来の仕組みで何が不足していたのか。

不正アクセスの記録を定期的に点検していたのか。公用パソコンやハードディスクの保管台数と所在を確認していたのか。異動した職員のアクセス権限は適切に管理されていたのか。

市の公式資料からは、こうした管理の具体的な運用状況を読み取れない。

再発防止策の実効性を判断するためにも、今回の不正を長期間発見できなかった原因について、より詳しい説明が必要だ。

特記事項

本記事は、竹田市の公式発表資料および関係報道に基づき構成した。約6万件の情報取得と公用機器25台の持ち出しについては、追加報道に基づく。

週刊TAKAPI 編集部／松本・成田