大阪府委託業務のメール誤送信1団体のアドレス流出と公表までを整理する

資料で確認できること

参画団体2団体を宛先欄に入れて送信

大阪府は2026年10月15日、食品ロス削減キャンペーンのキックオフイベント運営業務を担う委託事業者が、イベント参画団体AとBへメールを送る際、両団体のメールアドレスを宛先欄に入れたため、互いに見える状態になったと公表しました。

発生は9月25日です。メールは府にもCCで送られ、府が内容を確認して宛先欄の状態に気づきました。府が流出した個人情報として示したのは、イベント参画団体1団体のメールアドレスです。もう一方の団体のメールアドレスはホームページで公開されていたと説明しています。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

当事者の説明

9月25日と28日に説明・謝罪し、削除を依頼

府は9月25日に参画団体Aへ電話で経緯を説明して謝罪し、当該メールの削除を依頼して了承を得たとしています。9月28日には参画団体Bにも説明・謝罪し、削除を依頼して了承を得たと説明しています。

府は委託事業者に、ほかにも複数のメールアドレスを宛先欄に入れて誤送信したメールがないか調査するよう指示しました。委託事業者からは、ほかに誤送信はないとの報告を受けたとしています。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

当事者の説明

BCC未使用と、送信前の確認体制を原因として説明

公表資料では、委託事業者が複数の送信先にBCCを使わず、宛先確認とダブルチェックも不十分だったこと、個人情報を含むメール送信時のダブルチェックが徹底されていなかったことを原因として挙げています。

再発防止策として、個人情報を含むメールのBCC使用、宛先・CC・BCC・添付ファイル・本文の確認、複数宛先では担当者以外による確認、社内周知を求めたとしています。府職員にも事案を共有し、委託業務を含むメール送信ルールを再度注意喚起したと説明しています。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

未確認の点

削除の実行、公表までの判断、二次利用は資料だけでは分からない

10月16日の確認時点で、削除依頼への了承後に受信端末やバックアップを含めて削除が完了したか、メールアドレスが転送・保存・二次利用されたか、この事案に起因する迷惑連絡などがあったかは、確認した公表資料だけでは確定できません。

発生から20日後の10月15日に公表した理由や、その間の確認・報告手続の詳細も資料には示されていません。遅れを断定的に批判する根拠はありませんが、発生・説明・調査・公表の判断を時系列で示すことは、委託業務への信頼を確かめるうえで重要です。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

確認の範囲

このコラムの確認範囲

本稿は2026年10月16日に取得した大阪府の10月15日付報道発表をもとに整理しました。JBJは大阪府、委託事業者、参画団体への直接取材、元メール、削除状況、委託事業者の内部記録の独立調査を行っていません。掲載画像は送信前確認の姿勢を表した説明用イメージで、実際の府職員・委託事業者・参画団体・画面・メール・個人情報・事案の記録ではありません。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

JBJの見解

小さな件数でも、当事者には管理できない不安が残る

メールアドレス1件という数字は、大規模流出と比べれば小さく見えます。しかし当事者にとっては、相手方がどのように保存・削除したか、今後どこから連絡が来るかを完全には管理できません。件数だけで影響を軽く扱うべきではありません。

一方、この事案を多数の個人情報や広範な名簿が流出した出来事として広げる根拠もありません。大阪府が示した対象、経緯、削除依頼、再発防止策の範囲で確認します。

JBJの見解

元メール、説明、削除依頼、再発防止を別々に記録する

同様の事案で当事者になった場合は、元メールの受信日時と宛先表示、送信者、閲覧できた情報、説明と謝罪を受けた日時、削除依頼の内容、不審な連絡の有無を分けて残してください。第三者のアドレスを再転載せず、必要な範囲を安全に保存します。

委託元は、委託事業者からの報告だけでなく、対象範囲、当事者への連絡、追加調査、再発防止の実施状況を確認できる形で残す必要があります。チェック項目を増やすだけでなく、送信方法を仕組みで制限できるかも検討すべきです。

• 資料 01大阪府：個人情報（電子メールアドレス）の流出について

JBJの見解

責任と改善を確認し、無関係な職員や団体への攻撃を広げない

委託事業者には、確認手順が機能しなかった理由と再発防止の実行が問われます。委託元の大阪府にも、委託先を含む情報管理を確認し、当事者が不安を相談できる説明を続ける責任があります。これらは具体的な行為と管理に向けた正当な批判です。

同時に、確認された1団体のメールアドレス流出から、関係のない府職員や参画団体の人格を攻撃したり、未公表の個人情報を推測したりする理由はありません。JBJは、実際の誤送信と管理責任を明記し、対象外の人や情報へ批判を広げません。